Cybermenaces et données de santé
Les données de santé, données sensibles par excellence, sont de plus en plus convoitées. Or, les hôpitaux et les établissements de santé se font de plus en plus régulièrement attaquer : mal protégées, les données des patients sont pourtant éminemment sensibles, et doivent être sécurisées.
Il ne se passe pas une journée ou une semaine sans que la presse ne se fasse l’écho d’une attaque de plus ou moins grande envergure sur un établissement de santé. Un des derniers cas en date est celui du Presbyterian Medical Center d’Hollywood, victime d’un ransomware, qui a payé en février 2016 une rançon de plus de 17.000 dollars en bitcoin pour récupérer ses données.
En 2015 aux Etats-Unis, la compagnie d’assurance santé américaine CareFirst a annoncé s’être fait pirater son système informatique. Les hackers auraient en leur possession les données personnelles de plus d’un million d’assurés – accès à l’espace client (login et mot de passe), dates de naissance, adresses e-mail… L’attaque se serait passée en juin 2014, mais elle n’aurait été découverte qu’en 2015, lorsque la compagnie d’assurance a voulu vérifier que son système informatique était intact après le piratage de plusieurs grands groupes spécialisés dans la santé, dont Anthem et Premera
Concernant Anthem, un grand nom de l’assurance santé aux Etats-Unis, les pirates ont mis la main en janvier 2015 sur des données de dizaines de millions de clients, comprenant leurs noms, dates de naissance, numéros de sécurité sociale, informations médicales, revenus…
Une hausse de 600 % d’attaques contre les hôpitaux
La revue MIT Tech Review prédisait que 2015 sera "l'année du Hack des hôpitaux" et, selon les calculs de Websense, on devait enregistrer en 2015 une hausse de 600% d’attaques contre les établissements hospitaliers. Enfin, un rapport sur les cybermenaces dans le secteur de la santé a été écrit en 2014 par Lynne A. Dunbrack, Vice-Présidente des Recherches à l’Institut IDC Health Insights. Elle stipule que « pour les organisations du monde de la santé, la question n'est pas de savoir si elles vont se faire attaquer, mais quand ».
En France, Labio, un laboratoire de biologie médicale a aussi été attaqué en 2015. 40.000 identifiants et des centaines de bilans médicaux et d’analyses sanguines se sont retrouvés entre les mains du groupe de hackers Rex Mundi, qui a exigé 20.000 euros de rançon en échange de la non-publication de ces données. Le laboratoire n’a pas cédé, et les bilans non cryptés de quelques patients ont été divulgués sur Internet pendant quelques jours.
Le problème est que les établissements de santé, aux budgets souvent restreints, notamment en termes de sécurité, semblent être des proies plus faciles que des banques : et le jeu en vaut la chandelle, puisque des données de santé sont très sensibles, et peuvent se monnayer fort cher sur le marché noir.
Selon le site Internet du Figaro en 2015, les hackers revendent également ces données aux compagnies d’assurance, qui peuvent alors ajuster leurs tarifs grâce à des informations plus précises, ou bien à l’industrie pharmaceutique…