Un géant de la santé rejoint la vague d'extorsion

McKesson, l'une des plus grandes entreprises au monde traitant des données de santé, a divulgué une violation majeure après qu'un groupe d'extorsion a prétendu avoir volé des centaines de millions de dossiers depuis ses systèmes cloud. Selon la divulgation, les données volées incluraient des identifiants de patients, des détails médicaux, des messages entre médecins et patients, ainsi que des dossiers liés à des maladies en phase terminale et aux causes de décès. Les attaquants auraient obtenu l'accès en hameçonnant les identifiants d'authentification unique (SSO) des employés, puis auraient exigé une rançon de 55 millions de dollars. McKesson a refusé de payer.

L'ampleur et la sensibilité des données impliquées font de cet incident l'un des plus préoccupants du secteur de la santé à survenir cette année. Contrairement aux violations limitées aux noms et numéros de comptes, celle-ci toucherait les catégories les plus intimes de données personnelles : communications médicales privées et dossiers de fin de vie. Cette distinction est extrêmement importante pour les personnes dont les données ont été exposées, car ce type d'informations ne peut être réinitialisé comme un mot de passe ni remplacé comme une carte de crédit.

Pourquoi le hameçonnage SSO fonctionne toujours

La méthode d'attaque décrite dans cet incident, le hameçonnage des identifiants d'authentification unique des employés pour accéder aux systèmes cloud, n'est pas une technique nouvelle, mais elle reste redoutablement efficace. Les systèmes SSO sont conçus pour simplifier l'accès en permettant à un seul ensemble d'identifiants de déverrouiller plusieurs outils internes et plateformes cloud. Cette commodité est précisément ce qui en fait des cibles attrayantes : une seule tentative de hameçonnage réussie contre un employé peut potentiellement ouvrir la porte à des systèmes contenant des centaines de millions de dossiers.

Ce schéma de vol d'identifiants comme point d'entrée n'est pas propre aux équipes de ransomware. Des opérateurs liés à des États ont utilisé des tactiques similaires pour atteindre des systèmes sensibles, comme le montre de récents reportages sur les allégations selon lesquelles des logiciels malveillants occidentaux ciblaient les téléphones de responsables russes et sur l'avertissement de Singapour concernant des attaques APT liées à des États contre les infrastructures nationales. Que l'attaquant soit un groupe criminel d'extorsion ou une unité parrainée par un État, la faiblesse sous-jacente est souvent la même : un seul identifiant de connexion compromis peut se transformer en une exposition massive de données.

Les enjeux de confidentialité du vol de données médicales

Ce qui distingue cet incident des violations d'entreprises typiques, c'est la nature des données prétendument dérobées. Les informations financières peuvent être surveillées et gelées. Les détails médicaux, les conversations entre médecins et patients, et les dossiers documentant une maladie en phase terminale ou une cause de décès ne peuvent être ni modifiés ni réémis. Si ces dossiers ont réellement été exfiltrés à l'échelle alléguée, les personnes concernées font face à une exposition de leur vie privée à long terme sans remède simple.

Il y a aussi la question du levier de pression. Les demandes de rançon fondées sur des données médicales et de fin de vie sont particulièrement coercitives, car la menace n'est pas seulement une perte financière, mais aussi la possible divulgation publique de certains des moments les plus privés de la vie d'une personne ou du deuil d'une famille. La décision de McKesson de ne pas payer la rançon de 55 millions de dollars suit un schéma recommandé par de nombreux experts en sécurité et agences de lutte contre la criminalité, car le paiement ne garantit pas la suppression des données et peut encourager d'autres attaques. Mais refuser de payer signifie également que les données volées peuvent encore refaire surface publiquement ou être vendues, laissant les personnes concernées sans grand contrôle sur ce qui se passera ensuite.

Ce que cela signifie pour vous

Si vous avez déjà interagi avec le réseau de soins de santé de McKesson, que ce soit en tant que patient, prestataire ou organisation partenaire, cette violation rappelle que les violations de données médicales ont des conséquences bien au-delà d'une simple réinitialisation de mot de passe. Surveillez les notifications officielles de violation, souvent exigées par la loi lorsque des informations de santé personnelles sont impliquées, et prenez au sérieux toute communication de McKesson ou des prestataires de soins affiliés.

Plus largement, cet incident souligne à quel point la protection moderne des données dépend de défenses au niveau des employés, comme la sensibilisation au hameçonnage et l'authentification multifacteur, puisqu'un seul identifiant SSO volé aurait suffi, selon les rapports, à exposer des dossiers liés à certaines des parties les plus sensibles des antécédents médicaux des personnes.

Points d'action concrets

  • Surveillez les notifications officielles de violation de McKesson ou de tout prestataire de soins connecté, et lisez-les attentivement plutôt que de les écarter comme étant routinières.
  • Restez vigilant face aux tentatives de hameçonnage faisant référence à cette violation ; les attaquants exploitent souvent la couverture médiatique des incidents majeurs pour lancer des escroqueries de suivi.
  • Si vous recevez des offres de protection d'identité ou de surveillance du crédit liées à cette violation, envisagez d'y adhérer, mais vérifiez que l'offre provient directement de McKesson ou d'un partenaire vérifié.
  • Utilisez des mots de passe uniques et forts et activez l'authentification multifacteur sur tous les portails de soins de santé que vous contrôlez, car le vol d'identifiants reste le point d'entrée le plus courant dans ce type d'incidents.
  • Restez informé sur la façon dont les organisations de santé répondent aux tentatives d'extorsion à grande échelle, car l'issue de cette affaire pourrait influencer la manière dont d'autres entreprises géreront des demandes de rançon similaires à l'avenir.

La violation de données chez McKesson est un exemple frappant de la façon dont le hameçonnage d'un seul ensemble d'identifiants de connexion peut exposer des informations médicales profondément personnelles à une échelle considérable. Alors que de plus en plus d'incidents de ce type refont surface, rester vigilant face aux notifications de violation et adopter des pratiques de sécurité de compte solides restent les défenses les plus pratiques dont disposent les individus.