Un des plus grand cyber-attaques sanitaire de l’histoire s’est produite en février de cette année 2024. Et elle a mis en évidence la vulnérabilité du secteur de la santé. Change Healthcare, une entreprise qui traite les paiements et les ordonnances médicales aux États-Unis, a subi une attaque du groupe de ransomware Blackcat, qui a empêché les hôpitaux et les centres médicaux de délivrer des ordonnances, de recevoir des paiements et d'effectuer d'autres fonctions critiques.
Ce cas est l’un des nombreux cas qui surviennent dans le secteur de la santé. Et ce domaine est devenu l'une des principales cibles des cybercriminels au cours des dernières années. Selon l'étude réalisée par l'ENISA (Agence de l'Union européenne pour la cybersécurité), l'agence de l'Union européenne chargée de garantir un niveau commun élevé de cybersécurité dans toute l'Europe, sur les menaces de cybersécurité en matière de santé dans l'UE, Ce secteur enregistre 8% des incidents de cybersécurité. Cela place le secteur de la santé derrière l'administration publique (19 %), mais devant d'autres secteurs tels que la banque (6 %), les transports (6 %) ou l'énergie (4 %).
D'autres rapports, comme celui de Sophos sur l'état des ransomwares dans le secteur de la santé en 2023, montrent que le taux d'attaques de ransomwares dans le secteur de la santé était de 60 %. Cet indice révèle que, pratiquement, Ces attaques ont doublé par rapport à 2021 alors que 34% ont été informés.
La raison pour laquelle le secteur de la santé est une cible récurrente des cyberattaques est simple– Les hôpitaux et les prestataires stockent des informations critiques et privées sur les patients. En fait, les prestataires de soins de santé sont les plus touchés, représentant 53 % du total des incidents. Et bien que les hôpitaux soient moins bien classés, avec 42 % des cas signalés, ils sont souvent plus vulnérables.
Cette vulnérabilité est l’un des facteurs qui ont accru les cyberattaques, mais pas le seul ni le plus important. « Les entreprises de soins de santé sont plus susceptibles de payer une rançon lorsque leurs informations sont compromises. Parce qu'il y a des vies qui en dépendent, parce que Ils exploitent un environnement hautement réglementé pour la protection des donnéescar ils risquent une perte de réputation et des sanctions administratives… Les criminels le savent », reconnaît Francisco Valencia, PDG de Secure&IT, une société informatique espagnole spécialisée dans la cybersécurité.
Outre le extorsionles informations sur la santé peuvent être utilisées à diverses fins illicites, telles que Vol d'identité vague vente au marché noir. Selon le rapport réalisé par l'ENISA, un dossier médical peut coûter entre 30 et 900 euros, tandis qu'une carte de crédit peut être vendue entre 1 et 5 euros.
“Los datos médicos comprenden información confidencial relacionada con la salud de los individuos, incluyendo datos personales, historiales clínicos, resultados de pruebas diagnósticas, procedimientos médicos, medicaciones recetadas y cualquier otro detalle que pueda ser relevante para el diagnóstico, tratamiento o seguimiento de la salud d'une personne. Ces données sont très sensibles et sont protégées par des lois et réglementations strictes dans la plupart des pays en raison de leur caractère privé et de leur potentiel d’utilisation de manière nuisible s'ils tombent entre de mauvaises mains », explique le PDG de Secure&IT.
Ces dommages peuvent survenir, par exemple, si ces informations médicales sont divulguées à l'entreprise où travaille un certain patient ou à son assureur. « Si vous divulguez des problèmes de santé qui pourraient être perçus comme limitants, le patient pourrait être victime de discrimination ou être soumis à des décisions d'emploi injustes, telles que des licenciements, l'attribution de tâches moins souhaitables ou le refus de promotions. De plus, selon la nature des informations médicales divulguées, le patient pourrait être confronté à des difficultés financières, telles que la perte de l'assurance maladie, le refus de couverture ou l'augmentation des primes en raison de conditions préexistantes », souligne l'expert.
Même si les cyberattaques ont pour objectif principal vol de données sensiblestels que les dossiers médicaux, les informations financières et d'autres données personnelles, ainsi que peut affecter la prestation des services et la qualité des soins que le patient reçoit. En effet, les conséquences d’une cyberattaque dans le secteur de la santé peuvent aller au-delà d’une simple violation de données. Ils peuvent être vraiment dévastateurs. « Ce type d’attaque représente un réel danger pour la santé des patients. Imaginez un scénario dans lequel les systèmes informatiques d'un hôpital seraient compromis, entraînant la désactivation d'équipements médicaux critiques ou la modification des dossiers de médicaments. Les conséquences pourraient être catastrophiques : retards dans les soins, erreurs de diagnostic, voire administration de traitements incorrects. Ainsi, nous pouvons affirmer que les risques pour la santé des patients sont réels et potentiellement mortels », déclare Francisco Valencia.
Les attaques par déni de service (DDoS), qui visent à surcharger les systèmes informatiques d'une organisation avec un faux trafic, les rendant inaccessibles aux utilisateurs légitimes. Les attaques DDoS peuvent provoquer de graves perturbations dans les établissements de santé.
Vol de brevets ou de données de recherche
Bien que les prestataires de soins de santé et les hôpitaux soient les plus touchés, dans le secteur de la santé, d’autres entités telles que les autorités sanitaires et l’industrie pharmaceutique ont également été ciblées. « Il existe d’autres groupes de données très valorisés : ceux de brevets, développements industriels et rechercheet ceux des siens gestion de l'hôpital», prévient Francisco Valencia. Et il ajoute : « Nous faisons référence aux données stratégiques qui rendent une entreprise compétente et qui concernent les composants d’un vaccin ou d’un certain médicament. De l’autre, il y a les données sur les personnes qui prêtent assistance ou sur les achats effectués par les hôpitaux.»
Les données de recherche sur les médicaments ou les produits de santé peuvent avoir une valeur élevée sur le marché noir, soit pour les vendre à des concurrents intéressés à obtenir un avantage concurrentiel, soit pour extorquer les sociétés pharmaceutiques par le chantage. Mais ils conduisent aussi à fabriquer de faux médicaments qui sont généralement vendus sur le dark web. « Ils recherchent un groupe de personnes qui ont une pathologie spécifique pour leur vendre leur solution miraculeuse. Beaucoup de ces personnes cherchent désespérément une solution à leur pathologie et s’accrochent parfois à des brins de paille. Ils sont donc victimes de fraudes de ce type », explique Francisco Valencia.
Facteurs qui aggravent le problème dans le secteur de la santé
Le manque de ressources, la complexité des systèmes informatiques et le manque de sensibilisation du personnel soignant aggravent cette situation. Selon des études de référence, les principales portes d'entrée des cyberattaques dans le secteur de la santé comprennent mauvaise configuration de sécurité, erreurs humaines en fonctionnementles attaques d’ingénierie sociale et les attaques de la chaîne d’approvisionnement.
« Quelqu’un qui se consacre au marché noir des données de santé ne va pas abandonner ses efforts parce que nous chiffrons les données. C'est toujours une guerre et, malheureusement, le crime a une longueur d'avance. Nous devons donc toujours être à jour pour réduire le risque autant que possible », explique Valencia. Et il ajoute : « D’ailleurs, il arrive que les cybercriminels ne se croient pas des criminels, ils se prennent pour Robin des Bois. « Beaucoup attaquent parce qu'ils comprennent qu'il est injuste d'avoir des soins de santé à deux vitesses dans le monde. »
La première chose, selon l'expert, nécessite développer des mesures organisationnelles. « Il faut répondre aux questions : qui doit accéder aux données médicales ? Quand et pour quoi ? » précise-t-il. Le cryptage des informations, le contrôle de l'accès avec l'identification de la personne, la prévention de leur exposition et le stockage des informations de manière dissociée seraient des mesures technologiques qui atténueraient l'impact en cas de vol. Javier Martí, responsable de la cybersécurité chez Secure&IT, souligne : « La cybersécurité dans le secteur de la santé est un défi que nous ne pouvons ignorer. Des mesures strictes doivent être prises pour protéger les informations des patients et garantir la confiance dans le système de santé. Parce que, Si nous continuons à recourir au chantage, nous contribuons à rentabiliser la cybercriminalité et nous ne pourrons pas y mettre un terme..
