Une intrusion manuelle reposant sur des identifiants volés, et non sur un logiciel malveillant, est au cœur de l'affaire de la violation de données d'Oracle Health et des dossiers patients. Selon un rapport de la société de sécurité Rescana, l'attaque contre les systèmes d'Oracle Health (anciennement Cerner) aurait exposé près de 20 millions de dossiers patients dans environ 80 hôpitaux américains. Les détails constituent un rappel utile qu'un nom d'utilisateur et un mot de passe valides peuvent être plus dangereux qu'un exploit.
Cet article passe en revue ce qui a été prétendument dérobé, comment l'attaquant est entré, et les mesures pratiques que les patients et les utilisateurs ordinaires peuvent prendre dès maintenant.
Quelles données ont été exposées dans la violation d'Oracle Health
Selon le rapport de Rescana, l'attaquant a exfiltré de grands volumes d'informations de santé électroniques protégées (ePHI). Les catégories citées incluent :
- Noms
- Numéros de sécurité sociale
- Numéros de dossier médical
- Diagnostics et médicaments
- Résultats d'examens
- Images médicales
- Noms des médecins
Cette combinaison est importante. Un numéro de sécurité sociale seul est déjà un problème sérieux, mais associé à des diagnostics, des médicaments et le nom d'un médecin traitant, il donne à un criminel un profil détaillé. Les données de santé ne peuvent pas être réémises comme un numéro de carte de crédit, le risque peut donc perdurer pendant des années.
Les données volées auraient été utilisées dans une tentative d'extorsion, l'attaquant exigeant une rançon. Pour l'ampleur plus large de l'incident, consultez notre couverture précédente : Violation de données d'Oracle Health aurait touché 20 millions de personnes. Le chiffre provient de reportages plutôt que d'un décompte unique confirmé, il convient donc de traiter le nombre exact avec une certaine prudence.
Comment des identifiants volés ont contourné les défenses sans logiciel malveillant
L'une des conclusions les plus notables est ce que les enquêteurs n'ont pas vu. Selon le rapport, il n'y a aucune preuve de déploiement de logiciel malveillant, de rançongiciel ou d'outils automatisés. L'attaque était manuelle, reposant uniquement sur le vol d'identifiants et un accès direct aux serveurs.
C'est pourquoi ce type d'intrusion est difficile à détecter. Les outils de sécurité recherchent souvent des fichiers malveillants, des processus inhabituels ou des schémas d'attaque connus. Une personne qui se connecte avec de vrais identifiants ressemble, à première vue, à un utilisateur autorisé. Les pare-feu et autres défenses périmétriques sont conçus pour tenir les intrus à l'extérieur, mais ils ont peu à dire face à quelqu'un qui entre avec une clé valide.
Le schéma n'est pas propre au secteur de la santé. D'autres incidents récents dans notre couverture pointent vers le même thème de l'accès comme maillon faible, notamment la violation de Novo Nordisk liée à des jetons GitHub exploités. Des entreprises différentes, des détails différents, mais le fil conducteur commun est que du matériel d'accès volé peut ouvrir des portes que les défenses techniques supposent fermées.
Pour les organisations, les leçons sont bien connues : imposer l'authentification multifacteur sur chaque voie d'accès distante et administrative, mettre hors service les systèmes hérités ou les isoler soigneusement, surveiller les connexions inhabituelles et limiter ce à quoi un seul compte peut accéder. Les notifications de certains hôpitaux décrivent l'environnement affecté comme des systèmes Cerner hérités, ce qui souligne pourquoi les infrastructures plus anciennes méritent un examen supplémentaire.
Ce que les patients affectés devraient faire maintenant
Si votre hôpital ou prestataire utilise des systèmes Oracle Health ou Cerner, vous pourriez recevoir une notification par courrier ou par e-mail. Voici un ordre d'opérations raisonnable.
- Lisez attentivement toute notification de violation. Elle devrait expliquer ce qui a été dérobé et peut offrir une surveillance de crédit gratuite ou une protection d'identité. Utilisez-la si elle est proposée.
- Confirmez que les notifications sont réelles. Les escrocs exploitent souvent l'actualité des violations. Contactez votre prestataire en utilisant un numéro de téléphone provenant de son site web officiel, et non d'un message inattendu.
- Gelez votre crédit. Un gel auprès des trois principaux bureaux de crédit est gratuit et bloque la plupart des tentatives d'ouverture de nouveaux comptes en votre nom. Vous pouvez le lever temporairement lorsque vous avez besoin de crédit.
- Examinez les relevés d'assurance. Consultez les formulaires d'explication des prestations pour des services que vous n'avez pas reçus. L'usurpation d'identité médicale peut apparaître là en premier.
- Surveillez les messages de type extorsion. Si un inconnu fait référence à votre diagnostic ou à vos médicaments, ne payez pas et ne répondez pas. Signalez-le à votre prestataire et envisagez de le signaler aux autorités.
Sécuriser vos identifiants de portail santé et de compte
Puisque les identifiants ont été le point d'entrée dans ce cas, vos propres connexions méritent d'être renforcées, en particulier pour les portails patients, les e-mails et tout ce qui est lié à l'assurance.
- Utilisez un mot de passe unique pour chaque compte. Un gestionnaire de mots de passe rend cela réaliste. La réutilisation est ce qui transforme une fuite en plusieurs.
- Activez l'authentification multifacteur. Une application d'authentification ou une clé matérielle est plus robuste que les codes SMS lorsqu'elle est disponible.
- Sécurisez d'abord votre e-mail. Votre boîte de réception est la voie de réinitialisation pour presque tout le reste.
- Méfiez-vous de l'hameçonnage. Les e-mails et textos sur le thème des violations vous poussent souvent à « vérifier » une connexion. Rendez-vous directement sur le site.
- Évitez le Wi-Fi public pour les connexions sensibles, ou utilisez un VPN réputé si vous devez le faire. Un VPN protège le trafic en transit, mais il n'aurait pas empêché une violation sur les serveurs d'un prestataire.
Le secteur de la santé a été une cible récurrente. Notre reportage sur les attaques liées à ShinyHunters impliquant Abbott et NAIC montre comment les groupes d'extorsion poursuivent des données sensibles liées à la santé dans tout le secteur.
Ce que cela signifie pour vous
Vous ne pouvez pas contrôler la façon dont le fournisseur d'un hôpital stocke vos dossiers, mais vous pouvez limiter les dégâts en cas de fuite. L'idée centrale est de rendre les données volées moins utiles : gelez votre crédit pour que votre numéro de sécurité sociale ne puisse pas facilement ouvrir de nouveaux comptes, et utilisez des mots de passe uniques avec l'AMF pour qu'une connexion volée ne puisse pas en déverrouiller d'autres. Restez vigilant face aux messages qui mentionnent vos données de santé, car l'extorsion et l'hameçonnage suivent souvent des violations comme celle-ci.
Points clés à retenir
- L'intrusion signalée chez Oracle Health était manuelle et pilotée par les identifiants, sans preuve de logiciel malveillant ou de rançongiciel.
- Les données exposées comprennent, selon les rapports, des numéros de sécurité sociale, des diagnostics, des médicaments, des résultats d'examens et des images médicales.
- Vérifiez toute notification de violation, gelez votre crédit et surveillez vos relevés d'assurance.
- Utilisez des mots de passe uniques et l'AMF sur les portails et les e-mails.
Pour une vue d'ensemble de l'affaire de la violation de données d'Oracle Health et des dossiers patients, lisez notre couverture du chiffre de 20 millions de personnes, puis prenez quelques minutes aujourd'hui pour verrouiller vos propres comptes.
