Une nouvelle vague d'incidents de sécurité remet les organismes de santé sous les projecteurs, et deux des plus notables impliquent des groupes d'extorsion faisant des réclamations agressives concernant des données de patients. Une importante demande de rançon liée à McKesson a été signalée, bien que l'entreprise n'ait pas confirmé l'ampleur complète de l'incident ni le nombre d'individus uniques potentiellement concernés. L'enquête sur cette réclamation est en cours. Parallèlement, Berlin est engagée dans une impasse avec le groupe de ransomware Rhysida, une affaire qui souligne à quel point les systèmes gouvernementaux et du secteur public restent dans la ligne de mire des attaquants motivés par des gains financiers.

Ces deux histoires s'inscrivent dans un schéma que les chercheurs en sécurité suivent depuis des années : les groupes d'extorsion prolifiques privilégient de plus en plus les réclamations à grand volume contre des cibles liées au secteur de la santé, car le gain, à la fois financier et réputationnel, est énorme. Comprendre ce qui est réellement connu, et ce qui ne l'est pas, importe pour quiconque dont les dossiers médicaux pourraient se trouver dans un système dont il n'a jamais entendu parler.

Ce qui est reproché à McKesson et Rhysida

Selon les rapports, un groupe d'extorsion a formulé une importante demande de rançon liée à McKesson, l'un des plus grands distributeurs de produits pharmaceutiques et de services de santé du pays. McKesson n'a pas confirmé l'ampleur totale de l'incident présumé ni le nombre d'individus uniques dont les données pourraient être impliquées, et l'enquête est toujours en cours. Ce manque de confirmation est courant dans les premiers stades de ces divulgations : les groupes d'extorsion publient fréquemment des réclamations gonflées ou non vérifiées pour faire pression sur les victimes afin qu'elles paient, et les organisations ont souvent besoin de semaines ou de mois pour déterminer ce qui a réellement été accédé.

À Berlin, le groupe de ransomware Rhysida serait engagé dans une impasse d'extorsion avec une cible gouvernementale. Rhysida a été lié à une série d'attaques très médiatisées contre des institutions publiques, et les incidents de ransomware gouvernementaux comportent leur propre ensemble de complications : les responsables doivent peser la responsabilité publique, les restrictions légales sur le paiement des rançons et la perturbation opérationnelle des services essentiels, pendant que les attaquants exercent une pression par le biais de menaces de fuite.

Ces deux incidents font partie d'un ensemble plus large d'histoires qui circulent, notamment une résurgence de tactiques d'ingénierie sociale qui abusent des éléments d'interface utilisateur de confiance pour tromper les victimes, et des vulnérabilités critiques persistantes dans des plateformes web largement déployées comme WordPress. Pris ensemble, ils dressent le portrait d'attaquants qui exploitent plusieurs angles simultanément : l'exploitation technique, la manipulation humaine et le vol de données à haute valeur.

Pourquoi les dossiers de santé sont une cible de choix pour les groupes d'extorsion

Les incidents de ransomware liés aux violations de données de santé se reproduisent pour une raison simple : les dossiers médicaux sont particulièrement précieux et difficiles à remplacer. Contrairement à un numéro de carte de crédit, un diagnostic, un historique d'ordonnances ou un identifiant d'assurance ne peuvent pas simplement être annulés et réémis. Cette permanence donne aux groupes d'extorsion un levier, à la fois sur les organisations qui détiennent les données et sur les individus dont les informations sont exposées.

Les grands distributeurs et les entreprises liées au secteur de la santé comme McKesson se trouvent également au centre d'énormes pipelines de données, touchant les pharmacies, les hôpitaux et les assureurs. Un seul point de compromission peut avoir des répercussions en cascade touchant des millions de dossiers, même si les réclamations initiales de l'attaquant s'avèrent exagérées. Cette échelle est précisément ce qui rend ces organisations attrayantes pour les groupes d'extorsion prolifiques cherchant à maximiser un gain à partir d'une seule intrusion.

Ce que les patients peuvent faire lorsque leurs données médicales sont exposées

Pendant que les enquêtes sur des incidents comme la réclamation de McKesson se poursuivent, les patients n'ont pas à attendre passivement. Si vous avez reçu des soins par l'intermédiaire d'un prestataire, d'une pharmacie ou d'un assureur qui dépend d'un grand distributeur ou d'un fournisseur de technologies de santé, il vaut la peine de surveiller les notifications officielles de violation plutôt que de se fier aux spéculations des médias. Les organisations sont généralement tenues de notifier les individus concernés une fois que l'ampleur d'un incident est confirmée.

En attendant, surveiller vos comptes et documents d'identité pour détecter toute activité inhabituelle est une précaution raisonnable. Les expositions de données personnelles à grande échelle ne se limitent pas au secteur de la santé : la récente violation de l'enregistrement à l'hôtel Reqrea qui a exposé plus d'un million de passeports rappelle que les documents d'identité, pas seulement les dossiers médicaux, peuvent tomber entre de mauvaises mains par le biais d'industries sans rapport. Si vous avez séjourné dans un hôtel ou utilisé un service de santé lié à une violation signalée, consulter les trackers de notifications de violation et vérifier vos propres dossiers pour détecter des signes d'utilisation abusive est une habitude sensée, pas une surréaction.

Comment les VPN et les outils de confidentialité s'intègrent dans une réponse post-violation

Aucun VPN ni outil de confidentialité ne peut annuler une violation qui a déjà eu lieu, mais les habitudes de confidentialité plus larges qu'ils encouragent réduisent votre exposition aux conséquences. Un VPN chiffre votre connexion afin que, à l'avenir, moins de vos activités de navigation et de compte soient visibles par des tiers qui pourraient tenter d'exploiter des identifiants volés ou des détails personnels issus d'une violation. Associer cela à un gestionnaire de mots de passe, des mots de passe uniques pour les portails de santé et d'assurance, et l'authentification à deux facteurs rend plus difficile pour les attaquants de passer d'un ensemble de données divulguées à vos autres comptes.

Il vaut également la peine de se rappeler que les tactiques d'ingénierie sociale, comme celles qui abusent des éléments d'interface utilisateur de confiance mentionnés dans le tour d'horizon plus large des histoires de sécurité récentes, suivent souvent une violation. Une fois que les attaquants ont votre nom, votre prestataire ou vos détails de compte, ils peuvent élaborer des tentatives de hameçonnage plus convaincantes. Être sceptique face aux messages non sollicités faisant référence à un incident récent de ransomware lié à une violation de données de santé, même s'ils semblent officiels, est une défense pratique.

Ce que cela signifie pour vous

La réclamation de rançon contre McKesson et l'impasse de Berlin avec Rhysida sont encore en cours de développement, et ni l'ampleur complète ni le nombre confirmé d'individus affectés ne sont connus à ce jour. Cette incertitude est frustrante, mais cela ne signifie pas que vous êtes impuissant. Surveiller les notifications officielles, renforcer la sécurité de vos propres comptes et traiter avec prudence les communications inattendues concernant vos dossiers de santé sont des mesures que vous pouvez prendre dès maintenant, quelle que soit la conclusion de ces enquêtes spécifiques.

Les cas de ransomware liés aux violations de données de santé continueront de se produire tant que les dossiers médicaux resteront précieux et difficiles à remplacer. Les organisations impliquées ont la responsabilité de sécuriser ces données, mais une défense personnelle en couches, des identifiants uniques, une surveillance et un scepticisme sain envers les messages non sollicités, reste votre meilleure protection pendant que les enquêtes se déroulent. Restez attentif aux mises à jour de McKesson et d'autres organisations concernées, et n'attendez pas un titre pour revérifier vos propres comptes.