Les systèmes physiques d’un hôpital deviennent la cible

Le Centre des sciences de la santé de Winnipeg, le plus grand hôpital du Manitoba, enquête sur un incident de rançongiciel qui a perturbé les systèmes de maintenance des installations, notamment les contrôles d’accès aux portes ainsi que le chauffage, la ventilation et la climatisation (CVC). L’attaque ne semble pas avoir directement visé les dossiers de santé électroniques, mais le fait qu’un opérateur de rançongiciel ait pu atteindre les systèmes d’automatisation du bâtiment à l’intérieur d’un grand hôpital constitue en soi un développement notable qui mérite d’être approfondi.

Pour l’instant, l’hôpital affirme que les soins aux patients n’ont pas été touchés et qu’une enquête est en cours. L’identité de l’acteur malveillant à l’origine de l’attaque par rançongiciel contre le Centre des sciences de la santé n’a pas été confirmée publiquement. Cette incertitude est courante dans les premières heures suivant la divulgation d’un rançongiciel : les organismes donnent généralement la priorité au confinement et à la continuité des opérations avant de nommer un attaquant ou de confirmer l’étendue de l’exposition des données.

Pourquoi les serrures de porte et la CVC sont importantes pour la vie privée

Il est facile de supposer qu’une attaque par rançongiciel visant les systèmes de contrôle d’accès et de climatisation est un problème d’installations plutôt qu’un problème de confidentialité. Cette hypothèse ne tient pas vraiment dans un environnement hospitalier. Les systèmes de contrôle d’accès consignent souvent qui entre dans les zones réglementées, comme les pharmacies, les archives, les salles de serveurs ou les unités de soins. Si ces journaux, identifiants ou bases de données de contrôle d’accès ont été touchés par les opérateurs du rançongiciel, cela constitue en soi des données opérationnelles sensibles qui pourraient être exposées ou manipulées.

Les systèmes de CVC, quant à eux, sont fréquemment connectés aux mêmes réseaux internes que ceux qui gèrent les autres infrastructures du bâtiment et de l’informatique. Dans de nombreuses organisations, les systèmes d’automatisation du bâtiment n’ont jamais été conçus avec la même rigueur de sécurité que les systèmes informatiques cliniques, alors qu’ils se trouvent sur des réseaux interconnectés. Une compromission qui commence dans un coin moins surveillé du réseau, comme un thermostat intelligent ou un lecteur de carte d’accès, peut parfois servir de tremplin vers des systèmes plus sensibles si la segmentation du réseau n’est pas en place. Que cela se soit produit ici ou non n’est pas encore confirmé, mais l’incident constitue une étude de cas utile sur la façon dont un rançongiciel n’a pas besoin de toucher directement une base de données de patients pour soulever de réelles préoccupations en matière de vie privée et de sécurité.

Le schéma plus large : les groupes de rançongiciels diversifient leurs cibles

Le secteur de la santé est depuis longtemps une cible attrayante pour les groupes de rançongiciels, car les hôpitaux ne peuvent pas facilement se déconnecter, ce qui crée une pression pour payer rapidement. Ce qui est remarquable dans l’incident du Centre des sciences de la santé, c’est le ciblage spécifique des systèmes d’infrastructure physique plutôt que, ou en plus, des dossiers cliniques. Cela reflète une tendance plus large des groupes d’extorsion à sonder chaque système connecté pour obtenir un levier, et non seulement les bases de données contenant des renseignements personnels sur la santé.

Cela reflète également ce qui se passe dans d’autres secteurs. Les groupes d’extorsion revendiquent de plus en plus l’accès à des organisations de toutes sortes, parfois avec des allégations non vérifiées utilisées uniquement comme tactiques de pression. Le cas récent concernant la revendication non vérifiée de rançongiciel de ShinyHunters contre Ernst & Young montre comment ces groupes médiatisent les violations présumées, parfois avant que les faits ne soient entièrement confirmés, pour maximiser le préjudice à la réputation et pousser les victimes à négocier. Les organisations canadiennes, y compris les établissements de santé publics, ne sont pas à l’abri de ce mode opératoire.

Ce que cela signifie pour vous

Si vous êtes un patient du Centre des sciences de la santé de Winnipeg, rien n’indique actuellement que les dossiers de santé personnels aient été compromis, et l’hôpital a déclaré que les soins aux patients ne sont pas affectés. Cela dit, les enquêtes sur les rançongiciels évoluent, et l’étendue complète des systèmes ou des données touchés prend souvent des jours ou des semaines à déterminer. Il est raisonnable de suivre les communications officielles de l’hôpital plutôt que de se fier uniquement aux rumeurs sur les médias sociaux ou aux premiers reportages.

Plus largement, cet incident nous rappelle que le risque pour la vie privée ne se limite pas aux réservoirs de données évidents comme les dossiers médicaux ou les systèmes de facturation. Tout système connecté à l’intérieur d’une organisation, des serrures de porte aux thermostats, est un point d’entrée potentiel ou une source potentielle de données opérationnelles exposées. Pour les organismes de santé canadiens et les autres exploitants d’infrastructures critiques, cet incident renforce l’importance de la segmentation du réseau entre les systèmes cliniques, administratifs et de gestion du bâtiment, ainsi que des audits réguliers des fournisseurs tiers qui gèrent ces systèmes.

Points clés à retenir

Pour les patients : surveillez les mises à jour officielles du Centre des sciences de la santé de Winnipeg et des autorités sanitaires du Manitoba plutôt que les affirmations non vérifiées qui circulent en ligne. Pour les équipes informatiques et de sécurité des hôpitaux et autres installations critiques : cet incident est un argument solide pour examiner comment les systèmes d’automatisation du bâtiment et de contrôle d’accès sont segmentés des réseaux centraux, et pour s’assurer que les plans de réponse aux incidents tiennent compte de l’infrastructure physique, et pas seulement des violations de données. Un rançongiciel ne s’annonce pas toujours par une base de données divulguée ; il se manifeste parfois par une porte qui ne s’ouvre pas ou un système qui ne refroidit plus, et à ce moment-là, la fenêtre d’intervention se referme déjà.