Deux violations dans le secteur de la santé, une mauvaise semaine pour les données des patients

Un nouveau récapitulatif d'incidents de sécurité compilé par Secret CISO met en lumière à quel point les organisations de santé restent exposées aux cyberattaques motivées par l'extorsion. Parmi les événements marquants : une violation chez OnePoint Patient Care qui aurait touché 800 000 patients en soins palliatifs, et une tentative d'extorsion de données de 1,3 téraoctet revendiquée contre le géant pharmaceutique Novo Nordisk.

L'incident chez OnePoint Patient Care est particulièrement préoccupant en raison de ce qui a été exposé. Selon les rapports, les dossiers compromis combinent informations médicales, détails d'assurance et données d'identité, exactement la combinaison qui rend les violations touchant les soins palliatifs et les services connexes si dommageables. Le groupe INC Ransom a revendiqué la responsabilité de l'attaque, la positionnant comme l'un des événements de violation de données de santé les plus importants signalés ce mois-ci.

Séparément, Novo Nordisk a fait face à une tentative d'extorsion impliquant 1,3 To de données selon les rapports. Bien que les détails complets de ce qui a été dérobé restent limités dans les rapports publics, l'ampleur seule signale le type de vol de données à grande échelle devenu courant dans les campagnes de rançongiciels à double extorsion, où les attaquants chiffrent les systèmes et menacent de divulguer les fichiers volés à moins d'être payés.

Pourquoi les données des soins palliatifs et pharmaceutiques sont une cible de choix

Les dossiers de santé sont précieux pour les attaquants précisément parce qu'ils sont rarement isolés. Le dossier d'un patient en soins palliatifs comprend généralement l'historique clinique, les identifiants d'assurance et les informations d'identité personnelle, tous au même endroit. Cette combinaison permet aux criminels de tenter des fraudes à l'assurance, des vols d'identité et des campagnes d'hameçonnage ciblées en utilisant des détails qui semblent légitimes parce qu'ils le sont.

Ce n'est pas un schéma isolé. Les groupes de rançongiciels se sont de plus en plus concentrés sur les prestataires de soins de santé et les services connexes parce que les données sont sensibles, les enjeux opérationnels sont élevés, et les organisations se sentent souvent pressées de payer rapidement pour éviter de perturber les soins aux patients. Les agences fédérales ont signalé cette tendance à plusieurs reprises ; des avis conjoints sur des menaces comme le rançongiciel Gunra, par exemple, ont spécifiquement pointé le ciblage du secteur de la santé et du secteur financier comme une préoccupation croissante. Une analyse connexe de ce même avis a noté comment les tactiques agressives de double extorsion, voler les données avant de les chiffrer, sont devenues une pratique standard dans de multiples opérations de rançongiciels, pas seulement celles nommées dans ce récapitulatif particulier.

Une condamnation rare : la peine d'un affilié de Conti

Au milieu des nouvelles de violations, le récapitulatif a également rapporté une issue judiciaire concrète : un tribunal américain a condamné un ressortissant ukrainien à quatre ans de prison pour son rôle dans les attaques du rançongiciel Conti. Conti était l'une des opérations de rançongiciels les plus prolifiques et destructrices des dernières années, extorquant un grand nombre d'organisations avant que son infrastructure ne soit perturbée. Les condamnations directement liées au gang ont été rares, ce qui rend cette peine notable même si le rôle de l'individu n'était qu'une pièce d'une entreprise criminelle bien plus vaste.

L'affaire rappelle que les actions des forces de l'ordre contre les opérateurs de rançongiciels se produisent bel et bien, même des années après une attaque, mais elles surviennent rarement à l'échelle ou à la vitesse nécessaires pour empêcher de nouvelles violations de se produire entre-temps. Les vulnérabilités zero-day de Windows activement exploitées, également signalées dans le même récapitulatif, soulignent que les attaquants continuent de trouver de nouveaux points d'entrée même pendant que d'anciennes affaires suivent leur cours devant les tribunaux.

Ce que cela signifie pour vous

Si vous ou un membre de votre famille avez eu affaire à un prestataire de soins palliatifs, une compagnie d'assurance ou un service pharmaceutique lié à ces incidents, il vaut la peine de traiter vos dossiers médicaux et d'assurance comme potentiellement exposés. Les violations de données de santé comme celles-ci ne produisent souvent pas de fraude financière immédiate, mais les informations médicales et d'identité volées peuvent circuler pendant des mois ou des années avant d'être utilisées à mauvais escient.

Pour les utilisateurs au quotidien, quelques habitudes pratiques font une grande différence : surveiller les relevés d'assurance pour des réclamations inconnues, se méfier des courriels d'hameçonnage qui mentionnent de vrais prestataires médicaux, et utiliser des mots de passe uniques pour les portails de santé. Lors de l'accès à des comptes médicaux sensibles sur des réseaux publics ou partagés, un VPN ajoute une couche de protection en chiffrant votre connexion, bien qu'il n'empêchera pas une violation du côté du prestataire. La véritable défense contre des incidents comme la violation de OnePoint Patient Care doit venir des organisations qui détiennent les données, pas seulement des individus dont les données ont été volées.

Points clés à retenir

  • Vérifiez les notifications de violation si vous avez utilisé récemment des services de soins palliatifs, de pharmacie ou des services médicaux connexes, et lisez-les attentivement plutôt que de les parcourir en diagonale.
  • Demandez une copie de vos dossiers médicaux et de vos relevés d'assurance périodiquement pour détecter rapidement toute activité non autorisée.
  • Utilisez des identifiants forts et uniques sur chaque portail de santé, et activez l'authentification multifacteur lorsqu'elle est proposée.
  • Traitez les revendications des groupes de rançongiciels avec prudence mais sans les écarter ; la vérification prend du temps, mais l'exposition sous-jacente est souvent réelle.
  • Gardez à l'esprit que des condamnations comme celle de l'affilié de Conti montrent que la responsabilité est possible, mais la prévention dépend encore des pratiques de sécurité des organisations à qui vous confiez vos données.