Archives par mot-clé : santé

Cybersécurité, Entreprise, santé, Vie privée

Des patients abandonnés dans le flou après une cyberattaque

Presque un an après la fuite massive de données médicales au Royaume-Uni, des centaines de milliers de patients restent sans réponse sur la nature des informations exposées par les cybercriminels.

Le 3 juin 2024, une cyberattaque d’une ampleur inédite frappait Synnovis, prestataire majeur de services de pathologie pour le National Health Service (NHS) à Londres. Derrière cette opération, le groupe de ransomware Qilin, connu pour ses tactiques de chantage numérique, avait réussi à infiltrer les systèmes du laboratoire et à s’emparer de données médicales critiques. Près d’un an plus tard, le silence qui entoure encore l’incident révolte les experts et inquiète les patients. Car malgré l’ampleur de la fuite, potentiellement plus de 900 000 personnes concernées, une majorité d’entre elles n’a toujours reçu aucune notification. Et certaines informations, comme des diagnostics de cancer ou d’infections sexuellement transmissibles, ont déjà été publiées sur le dark web.

Un silence inquiétant

Le scénario est digne d’un thriller numérique, mais il est bien réel. L’attaque, qui a paralysé une partie des activités de diagnostic sanguin dans les hôpitaux londoniens, a mis en lumière une vulnérabilité structurelle dans la gestion informatique du système de santé britannique. Si, dès les premières heures de la crise, l’urgence était d’ordre logistique, assurer les transfusions malgré la perte des systèmes de compatibilité sanguine, la question de la protection des données personnelles a rapidement émergé comme une problématique tout aussi cruciale.

Synnovis, à l’époque, avait indiqué avoir immédiatement lancé une procédure d’eDiscovery, un processus numérique d’analyse de contenu destiné à identifier les fichiers compromis et les personnes concernées. En septembre, soit trois mois après l’attaque, l’entreprise annonçait que le processus était « avancé« . Pourtant, au mois de mai suivant, aucun patient n’a été officiellement averti que ses données avaient été exposées.

Selon les résultats d’une analyse indépendante menée par la société CaseMatrix, spécialiste des violations de données, les documents volés contiennent des informations personnelles particulièrement sensibles. Il ne s’agit pas seulement de noms, de dates de naissance ou de numéros NHS. Des rapports médicaux, des formulaires de pathologie et d’histologie, qui détaillent les symptômes, les antécédents et les suspicions de maladies graves, font partie de la fuite.

« Les formulaires incluent des descriptions explicites de diagnostics liés à des cancers, des IST ou d’autres affections graves. Ces informations ont été publiées sur des forums accessibles aux cybercriminels« , alerte un analyste de CaseMatrix.

Le caractère profondément intime de ces données fait peser un risque évident sur les libertés individuelles, notamment en cas d’usurpation d’identité ou de stigmatisation. Pourtant, le droit britannique en matière de protection des données, notamment encadré par le Règlement général sur la protection des données (RGPD) et ses déclinaisons nationales, est sans équivoque : les personnes dont les données sensibles ont été compromises doivent être informées « dans les plus brefs délais« , dès lors que la fuite présente un risque élevé pour leurs droits.

Des responsabilités diluées

Face à la pression médiatique et politique, Synnovis a maintenu une ligne défensive prudente. Dans ses rares déclarations, la société insiste sur la complexité de l’analyse des données volées et sur la nécessité de « confirmer avec certitude » les personnes concernées avant d’émettre toute notification. Mais cette prudence se heurte à l’impatience croissante des organisations partenaires et à l’incompréhension des patients.

Les NHS Trusts qui collaborent avec Synnovis, notamment Guy’s and St Thomas’ et King’s College Hospital, affirment qu’ils n’ont reçu aucune information concrète sur les fichiers les concernant. « Nous sommes toujours en attente des résultats du processus de découverte électronique« , explique l’un de leurs porte-parole, renvoyant systématiquement la responsabilité vers le prestataire de laboratoire.

Cette posture en cascade, où chacun renvoie la balle à l’autre, a pour effet direct une opacité préjudiciable pour les personnes concernées. Pour le régulateur britannique, l’Information Commissioner’s Office (ICO), il ne s’agit pas d’un simple retard administratif. Le non-respect de l’obligation d’information pourrait justifier des sanctions, notamment si la lenteur du processus d’analyse n’est pas jugée proportionnelle à la gravité de l’incident.

« Lorsqu’une violation entraîne la fuite de données médicales, les individus doivent être avertis sans attendre s’ils courent un risque important. Il en va de leur droit à la vie privée et à la sécurité », rappelle une directive de l’ICO.

Une crise sanitaire doublée d’une crise de confiance

La cyberattaque n’a pas seulement mis à mal la sécurité des données. Elle a également perturbé gravement les activités médicales quotidiennes du NHS. En juin et juillet 2024, plusieurs hôpitaux londoniens ont dû reporter des interventions chirurgicales en raison du manque de résultats de laboratoire disponibles. Le service de transfusion sanguine a dû, dans certains cas, recourir à des donneurs universels faute de pouvoir vérifier les groupes sanguins spécifiques. Cette gestion dans l’urgence a démontré à quel point l’écosystème médical dépend de ses infrastructures numériques.

Mais si la réponse opérationnelle semble avoir été progressivement restaurée, Synnovis affirme que ses systèmes critiques ont été reconstruits dès septembre, la question de la confiance dans les institutions médicales demeure. Le manque de communication proactive, le délai dans l’identification des victimes et l’absence d’accompagnement psychologique ou juridique renvoient à une crise éthique.

De nombreux patients, ayant appris l’existence de la fuite via les médias ou des forums spécialisés, vivent aujourd’hui dans l’angoisse. Certains craignent que des informations gênantes sur leur santé puissent être utilisées à des fins malveillantes. D’autres dénoncent un double standard : « Si c’étaient des données bancaires, tout le monde aurait été alerté en 48 heures« , déplore une patiente interrogée anonymement.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Le coût humain de la cybersécurité négligée

Il est encore difficile d’estimer le coût total de la cyberattaque. Les pertes financières pour Synnovis n’ont pas été rendues publiques, mais les coûts liés à la restauration des systèmes, aux audits de sécurité et aux potentielles poursuites judiciaires pourraient atteindre plusieurs millions de livres. À cela s’ajoutent les dommages d’image, ainsi qu’un éventuel encadrement réglementaire plus strict de la part des autorités sanitaires britanniques.

Mais au-delà des aspects économiques, c’est le coût humain de cette négligence numérique qui soulève des inquiétudes. La santé, domaine parmi les plus sensibles en matière de données personnelles, reste une cible privilégiée des cybercriminels. Dans un monde où les dossiers médicaux sont de plus en plus numérisés, l’attaque contre Synnovis agit comme un signal d’alarme.

Les experts en cybersécurité soulignent la nécessité de revoir en profondeur les protocoles de protection et de réaction des établissements de santé. Former le personnel, renforcer les pare-feu, crypter les données à plusieurs niveaux : les solutions existent, mais nécessitent des investissements souvent repoussés.

Une alerte mondiale

L’incident Synnovis dépasse les frontières britanniques. Il s’inscrit dans une tendance mondiale préoccupante : l’explosion des cyberattaques contre les hôpitaux, cliniques et laboratoires. En 2023, des établissements en France, en Allemagne et aux États-Unis ont été pris pour cible, souvent avec des méthodes similaires de rançongiciel. Et les motivations des pirates vont bien au-delà du simple gain financier : les données de santé, revendues sur le dark web, valent plus cher que les numéros de cartes bancaires.

Alors que Synnovis affirme aujourd’hui que son processus d’analyse est « presque terminé » et qu’il prépare les notifications aux patients et aux organisations concernées, beaucoup s’interrogent : pourquoi tant de lenteur ? Et surtout, comment éviter que de tels scandales ne se reproduisent ?

« Dans un secteur aussi sensible, l’opacité n’est pas une option. Il faut restaurer la confiance, non seulement par des mots, mais par des actes« , souligne un avocat spécialisé en droit du numérique.

Quelle responsabilité collective face aux cybermenaces ?

La cyberattaque contre Synnovis met en lumière un paradoxe majeur : à mesure que la médecine progresse grâce au numérique, elle devient aussi plus vulnérable. Comment garantir la confidentialité et la sécurité des données médicales dans un système de santé soumis à des tensions budgétaires et à des transformations rapides ? Et quelle part de responsabilité incombe aux prestataires privés, aux autorités sanitaires et aux patients eux-mêmes dans cette nouvelle donne numérique ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, santé

Un sac poubelle remplis de données de santé retrouvé dans la rue

Des informations confidentielles sur les patients d’un espace de santé retrouvées dans une poubelle !

Une nouvelle faille de protection des données impliquant le NHS au Royaume-Uni est attribuée à un étudiant en médecine qui aurait placé trop de confiance dans ses sacs poubelles. Une enquête a été lancée suite à la découverte de données médicales confidentielles éparpillées dans une ruelle de Jesmond, un quartier aisé de Newcastle, dans le nord-est de l’Angleterre. L’étudiant en médecine aurait jeté les documents dans ses déchets domestiques, qui ont été placés dehors pour la collecte, mais par un moyen ou un autre, les documents se sont retrouvés dans une ruelle adjacente à Lonsdale Terrace, où ils ont été découverts par un passant.

Il semble que les documents et les données appartenaient à au moins deux patients et comprenaient une lettre envoyée au médecin d’un patient portant la mention « Privé et Confidentiel« .

Les informations incluaient des détails personnels et sensibles sur les patients. Le Dr Rajesh Nadkarni a déclaré qu' »un étudiant en médecine en stage chez CNTW était en possession d’informations cliniques confidentielles dans le cadre de son travail de stage. […] Tous les étudiants en médecine reçoivent une formation sur la gouvernance de l’information, et les étudiants en stage chez CNTW assistent à une séance d’accueil et reçoivent un dossier d’information qui souligne l’importance de la confidentialité, ainsi que nos politiques et processus qui soutiennent cela.« 

Un peu comme les soignants que je peux croiser et qui continuent de s’envoyer par courriel ou messageries des informations de santé sensibles parce que « C’est plus pratique » ! (TR)

Cybersécurité, Piratage, santé

Hausse des attaques d’ingénierie sociale dans le secteur des services d’assistance informatique en santé

Le ministère américain de la santé et des services sociaux (HHS) a récemment publié une alerte à destination des opérateurs de services d’assistance informatique dans le secteur de la santé, signalant une augmentation notable des attaques d’ingénierie sociale. Ces attaques, particulièrement sophistiquées, visent à détourner des fonds vers des comptes bancaires contrôlés par les attaquants.

Selon le bureau de la sécurité de l’information du HHS et le centre de coordination de la cybersécurité du secteur de la santé, les acteurs de la menace procèdent souvent par appel téléphonique, se faisant passer pour des employés des services financiers de l’entreprise ciblée. Ils parviennent à usurper les numéros de téléphone pour qu’ils affichent un indicatif régional qui semble local.

L’alerte précise que ces individus sont capables de fournir des informations personnelles sensibles validant leur fausse identité, telles que les derniers chiffres du numéro de sécurité sociale et d’autres données démographiques, obtenues via des sites de réseautage professionnel ou des violations de données précédentes.

Exploitation des failles de sécurité

L’attaquant prétend souvent que son téléphone est endommagé et qu’il ne peut ni passer d’appels ni recevoir des jetons de vérification multifactorielle (MFA). Cette même ruse est utilisée, depuis quelques semaines, sur WhatsApp. Des parents reçoivent de leur présumé enfant un message sur WhatsApp leur indiquant un changement de numéro. N’y répondez pas, il s’agit d’un piège.

Pour le secteur de la santé, cette ruse l’amène à convaincre le service d’assistance d’enregistrer un nouveau dispositif pour l’accès MFA, permettant ainsi l’accès non autorisé aux ressources de l’entreprise. Une fois cet accès obtenu, les attaquants redirigent les paiements bancaires vers des comptes sous leur contrôle, avant de transférer les fonds à l’international.

Implications pour la sécurité des informations financières

Les attaquants ciblent ensuite les informations de connexion aux sites des payeurs et modifient les instructions ACH pour que les paiements soient redirigés vers des comptes américains qu’ils contrôlent. Ces actions sont souvent suivies par l’accès aux comptes de messagerie des employés, d’où ils envoient des instructions modifiées aux processeurs de paiement.

Le HHS note que des tactiques similaires ont été utilisées par le groupe de menace connu sous le nom de Scattered Spider lors d’une attaque de ransomware contre une organisation du secteur de l’hôtellerie et du divertissement en septembre 2023. De plus, l’usage potentiel d’outils d’usurpation d’identité vocale basés sur l’IA a été signalé comme une complication supplémentaire dans ces attaques.

Mesures recommandées pour renforcer la sécurité

Pour contrer ces menaces, le HHS recommande plusieurs stratégies de mitigation. Parmi celles-ci, l’utilisation de Microsoft Authenticator et/ou Google Authenticator avec correspondance de numéros pour l’authentification, ne plus utiliser les SMS comme option MFA, la sécurisation de l’enregistrement MFA et SSPR en exigeant une authentification depuis un réseau approuvé, et le blocage de l’accès externe aux fonctionnalités d’administration de Microsoft Azure et Microsoft 365 via une stratégie d’accès conditionnel.

Cybersécurité, santé

Guide CNIL : durées de conservation des données dans le secteur social et médico-social

Dans le domaine complexe et crucial des secteurs social et médico-social, la gestion des données est une préoccupation majeure. Pour aider les acteurs de ces secteurs à naviguer efficacement dans ce paysage, un nouveau référentiel a été élaboré par la CNIL. Son objectif ? Guider de manière opérationnelle les acteurs dans l’identification et la détermination des durées de conservation pertinentes pour les traitements qu’ils mettent en œuvre.

Ce référentiel s’avère être une ressource inestimable pour les responsables de traitement. Il les oriente vers les durées de conservation obligatoires, conformément à la réglementation en vigueur, notamment le code de l’action sociale et des familles ainsi que le code de la santé publique. De plus, il met en lumière les durées recommandées par la CNIL, offrant ainsi des points de repère essentiels pour déterminer la durée pertinente.

Il est important de noter que ce référentiel ne prétend pas à l’exhaustivité. Il se concentre sur les traitements les plus fréquents dans ces secteurs d’activité. Cependant, pour une gestion encore plus efficace des durées de conservation, une fiche pratique dédiée est mise à disposition de tous les acteurs, qu’ils soient salariés, bénévoles, ou autre, afin de leur offrir des recommandations pratiques pour la gestion quotidienne des durées de conservation des données.

Un référentiel indispensable qui, espérons le, pourra éviter de voir des fuites comme celles repérées par le blog ZATAZ, référence mondiale concernant les fuites de données et la lutte contre le cybercrime, ICI et LA.

À qui s’adressent ces ressources ?

Le référentiel et la fiche pratique sont conçus pour répondre aux besoins de l’ensemble des organismes, qu’ils soient privés ou publics, opérant dans les secteurs social et médico-social. Cela inclut, entre autres, les services mandataires et judiciaires à la protection des majeurs (SMJPM), les services d’accompagnement à la vie sociale (SAVS), les établissements et services d’aide par le travail (ESAT), les établissements d’hébergement pour personnes âgées dépendantes (EHPAD), et bien d’autres.

Un guide complet pour aller encore plus loin

Pour ceux qui souhaitent approfondir leurs connaissances en matière de gestion des durées de conservation des données, la CNIL a publié en 2020 un guide pratique plus général. Ce guide a pour objectif de répondre aux questions les plus courantes des professionnels concernant le principe de limitation de la conservation des données. Il détaille les éléments clés de cette obligation et offre des conseils pratiques pour faciliter sa mise en œuvre au sein des organismes, qu’ils soient publics ou privés.

Ce nouveau guide 2023 a été élaboré en partenariat avec le Service interministériel des archives de France (SIAF), et il met en relation les obligations du RGPD (Règlement général sur la protection des données) avec celles du code du patrimoine. Une ressource inestimable pour tous ceux qui cherchent à naviguer dans le labyrinthe complexe de la gestion des données dans le secteur social et médico-social.

Cybersécurité, santé

Le Royaume-Uni publie une stratégie pour protéger le National Health Service des cyberattaques

Le gouvernement britannique a publié mercredi sa nouvelle stratégie de cybersécurité pour le National Health Service, visant à rendre le secteur de la santé du pays « considérablement durci aux cyberattaques, au plus tard en 2030 ».

Le gouvernement britannique a publié une stratégie de cybersécurité visant à protéger le National Health Service (NHS) contre les cyberattaques d’ici 2030. Cette stratégie a été élaborée suite aux incidents de WannaCry en 2017 et d’Advanced l’année dernière, qui ont mis en évidence les risques que les attaques peuvent poser sur la fourniture de soins de santé.

Bien que la stratégie indique que le NHS est mieux protégé contre les attaques non ciblées, elle souligne qu’il reste des défis importants nécessitant des améliorations continues de la cybersécurité dans le secteur. Les incidents liés aux rançongiciels constituent désormais la majorité des réunions de gestion de crise du gouvernement britannique « Cobra ».

La stratégie vise à façonner un objectif commun à travers les soins de santé et sociaux contre les risques les plus critiques. Toutefois, le NHS n’étant pas un organisme unique, mais un ensemble décentralisé de plusieurs systèmes de santé publics fournis par des milliers d’organisations de santé et de services sociaux distincts, chaque organisation doit assumer la responsabilité de sa propre cybersécurité. Pour aider les organisations de santé et de protection sociale, le gouvernement a mis en place un centre d’opérations de cybersécurité (CSOC) surveillant les systèmes locaux dans tout le pays pour détecter les premiers signes de cyber-vulnérabilités et inscrivant plus de 1,67 million d’appareils sur Microsoft Defender pour Endpoint.

Cartographier les fournisseurs

En outre, la stratégie prévoit la cartographie des fournisseurs les plus critiques d’ici 2024 et le développement d’un cadre pour soutenir les centres d’opérations de sécurité locaux. Les difficultés auxquelles le gouvernement est confronté dans la protection du NHS découlent de la complexité du secteur, composé de systèmes interdépendants avec des risques et des besoins différents.

La stratégie reconnaît que la cybermenace la plus importante à laquelle le secteur est confronté est le rançongiciel, mais elle met également en garde contre d’autres menaces moins répandues, telles que les acteurs étatiques cherchant à accéder à des informations sensibles, ou des personnes travaillant dans ou à proximité du secteur de la santé et de la protection sociale cherchant à abuser de leur accès privilégié.

Après l’attaque contre le fournisseur de logiciels Advanced l’année dernière, le département de la santé a commencé à analyser la chaîne d’approvisionnement critique, un processus qui comprenait l’essai d’outils d’assurance, l’élaboration d’un plan d’engagement et l’élaboration de critères de criticité. Le NHS développe actuellement un nouveau produit pour cartographier ses fournisseurs les plus critiques d’ici 2024.

Dans une déclaration conjointe publiée parallèlement à la stratégie, le CISO et le directeur exécutif des National Cyber Operations au NHS ont déclaré que chaque organisation de santé et de protection sociale doit assumer la responsabilité de sa propre cybersécurité, avec les équipes de sécurité nationale définissant la direction et fournissant un support central.

Bien que la stratégie soit ambitieuse, il reste encore du travail à faire pour renforcer la cybersécurité dans le secteur de la santé. La publication de cette stratégie est une étape importante dans la protection du NHS contre les cyberattaques, mais cela nécessitera une collaboration continue entre le gouvernement et les organisations de santé et de protection sociale pour renforcer la résilience de l’ensemble du secteur.

cyberattaque, santé

Les cyberattaques entraîneraient une augmentation des décès dans les hôpitaux

Les cyberattaques contre les établissements médicaux entraîneraient, selon des chercheurs, une probabilité d’augmentation du taux de mortalité des patients.

L’étude, menée par le Ponemon Institute, un groupe de réflexion à Washington, a interrogé plus de 600 professionnels des technologies de l’information de plus de 100 établissements de santé. Les résultats de l’étude fournissent la preuve la plus concrète à ce jour que le piratage persistant des centres médicaux américains entraîne une détérioration de la qualité des soins aux patients et une augmentation de la probabilité de leur décès.

Les deux tiers des personnes interrogées qui ont subi des attaques de rançongiciels ont déclaré que ces attaques perturbaient les soins aux patients. 59 % des personnes interrogées ont signalé une augmentation de la durée de séjour des patients à l’hôpital, ce qui a entraîné une surcharge des ressources. Près d’un quart ont déclaré que les attaques avaient entraîné une augmentation du nombre de décès dans leurs établissements.

Lors d’une attaque par rançongiciel, les pirates accèdent aux réseaux informatiques d’une organisation, les bloquent et exigent un paiement. Ces dernières années, ces piratages sont devenus un véritable désastre pour le secteur de la santé. Les hôpitaux ne signalent pas toujours les cas dont ils ont été victimes. Cependant, depuis 2018, le nombre d’attaques documentées a augmenté chaque année depuis 2018, atteignant 297 l’année dernière, selon une étude de Recorded Future.

Au cours des trois dernières années, plus de la moitié des organisations de soins de santé de l’enquête ont été infectées par des logiciels malveillants au cours des trois dernières années, selon une étude de Ponemon.

Les établissements de soins de santé vont des chaînes d’hôpitaux géants aux petites cliniques privées avec seulement quelques employés et peu ou pas de professionnels de l’informatique ou de la cybersécurité. Les dernières cyberattaques de Centres hospitaliers, en France, ont remis sur la table cette problématique sécuritaire.

Les grands réseaux hospitaliers peuvent avoir des spécialistes de la sécurité de l’information plus qualifiés, mais ces hôpitaux sont également des cibles plus importantes. Une attaque peut ralentir les soins aux patients dans des centaines d’hôpitaux à travers le pays, comme cela s’est produit lors de l’attaque de 2020 contre les services de santé universels.

« Mais il est clair depuis longtemps que les cyberattaques persistantes contre les hôpitaux font des ravages sur les patients »  indique Korman, vice-président de la société de cybersécurité Claroty.

« Nous savons que les retards d’assistance affectent le taux de mortalité, et nous savons que les cyberattaques causent des retards« , a déclaré le le Ponemon Institute.

Base de données, Chiffrement, cryptage, cryptolocker, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, Leak, Logiciels, Particuliers, Piratage, ransomware, ransomware, Sauvegarde, Securite informatique, Vie privée

RGPD et Ransomware : des actions judiciaires à prévoir dès mai 2018 ?

Votre société a été touchée par un ransomware ? En mai 2018, des actions judiciaires lancées par vos clients pourraient rajouter une couche d’ennuis à votre entreprise.

RGPD et actions judiciaires ! Le 18 janvier 2018, la société américaine Allscripts était touchée par un ransomware. Classique attaque qui chiffre les fichiers des ordinateurs infiltrés. Une cyberattaque possible via le clic malheureux d’un employé sur un mail piégé. Une attaque qui a perturbé l’entreprise, mais aussi directement ses clients. Ces derniers ne pouvaient accéder à leurs dossiers de patients ou de facturation.

Bilan, une plainte de recours collectif (Class action) a été déposée contre Allscripts. Le fournisseur de dossiers de santé électroniques (DSE) va se retrouver devant la justice. Un de ses prestataires, Surfside Non-Surgical Orthopedics, basé en Floride, spécialisé dans la médecine sportive, a déposé une plainte contre DSE.

Actions judiciaires, rançongiciel …

En en raison de l’attaque, Surfside indique qu’il « ne pouvait plus accéder aux dossiers de ses patients ou prescrire électroniquement des médicaments« .  Bilan, rendez-vous annulé, pertes d’argent… Allscripts est l’un des fournisseurs de dossiers médicaux électroniques (DSE) les plus répandus dans le monde.

L’entreprise est toujours à travailler, plusieurs jours après cette « attaque », à restaurer certains de ses systèmes informatiques suite au rançongiciel.

Fait intéressant, le type de ransomware utilisé dans l’attaque [SamSam ransomware] était le même que celui utilisé dans une attaque contre Hancock Health, un autre système de santé basé dans l’Indiana, début janvier 2018. Dans ce cas, les responsables du système de santé ont fermé tout le réseau Hancock Health et ont finalement payé le pirate. Il aurait reçu 55 000 dollars en bitcoin.

SamSam a également été utilisé contre le système de santé intégré MedStar Health, en mars 2016. Bleeping Computer a noté que d’autres attaques ont signalées, impliquant SamSam, dans les machines de l’Adams Memorial Hospital (Indiana).

Les systèmes d’Allscripts desservent environ 180 000 médecins et 2 500 hôpitaux. Il n’est pas clair si la société a payé une rançon.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, RGPD, santé, Securite informatique

Un laboratoire de radiologie perd les dossiers médicaux de 9 300 personnes

Laboratoire, perdu, HD ! Que deviennent les données stockées par les professionnels de santé ? Pour le Charles River Medical Associates, sur un disque dur portable perdu. 9.300 dossiers médicaux dans la nature !

Le Charles River Medical Associates est un laboratoire de radiologie américain. Il vient d’avouer (la loi américaine l’impose, NDR) avoir perdu un disque dur contenant 9.387 dossiers médicaux. Des sauvegardes d’informations personnelles et des images radiographiques. Des données de tous ceux qui ont subi une scintigraphie osseuse au depuis 2010. Huit ans d’informations privées, sensibles, sans protection, ni chiffrement.

Le laboratoire a envoyé un courriel, comme va l’imposer le RGPD en France dès le 28 mai 2018, aux patients impactés. Le disque dur « perdu » contient les noms, les dates de naissance, les numéros d’identification des patients et les images de scintigraphie osseuse.

Le groupe de santé a découvert cette disparition en novembre 2017. Il aura attendu trois mois pour alerter les patients ! Le groupe était tenu de signaler cette violation de la vie privée au Département américain de la santé et des services sociaux, ainsi qu’aux médias locaux.

Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, santé, Sauvegarde, Securite informatique

Espace médical infiltré, 1,2 million de données patients volé

Un internaute, s’annonçant comme étant un Anonymous, a volé 1,2 million de données appartenant à des utilisateurs d’un espace médical.

Le piratage de données de santé gagne du terrain. Je vous parlais, il y a peu, de 500.000 dossiers de patients piratés via un portail dédié aux réservations de rendez-vous chez un professionnel de santé. Aujourd’hui, c’est 1,2 millions de britanniques à être concernés par le même problème.

Un internaute, s’annonçant comme étant membre de la communauté Anonymous, a mis la main sur plus d’un million de dossiers de patients via un partenaire de la NHS, le Ministère de la santé Anglais. La fuite serait partie de SwiftQueue. Un portail qui permet aux patients de réserver des rendez-vous avec un médecin généraliste, un hôpital ou une clinique. Un outil qui exploite également des terminaux dans les salles d’attente qui affichent les rendez-vous.

« Je pense que le public a le droit de savoir à quel point les grandes entreprises comme SwiftQueue utilisent des données sensibles. » indique l’internaute. Dénoncer en diffusant les données de personnes qui ne sont pas responsables de la collecte et la sauvegarde de leurs données ? « Ils ne peuvent même pas protéger les détails des patients » termine-t-il.

Le pirate a déclaré à The Sun que le hack exploitait des faiblesses dans le logiciel de SwiftQueue. Faille qui aurait dû être corrigée il y a plusieurs années. Le « visiteur » annonce avoir téléchargé la base de données entière de l’entreprise, contenant 11 millions d’enregistrements, y compris les mots de passe. De son côté SwiftQueue a déclaré que la base de données n’est pas si importante et que leur enquête initiale suggère que seulement 32 501 « lignes de données administratives » ont été consultées.

Base de données, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Justice, Leak, Particuliers, Piratage, Sauvegarde, Securite informatique

Un demi million de patients médicaux piratés

Un pirate informatique a mis la main sur 500 000 dossiers appartenant à des patients belges en piratant le site Digitale Wachtkamer.

Le site Digitale Wachtkamer a été piraté ! Ce site dédié à la prise de rendez-vous chez un médecin, par exemple, a été visité et vidé de sa base de données. Selon le journal flamand VTM Nieuws, 500 000 dossiers de patients belges ont été copiés par un pirate informatique. Le pirate informatique me fait penser au maître chanteur Rex Mundi. Après avoir volé les données, il a envoyé un courriel à l’entreprise afin de lui demander de l’argent. Son silence contre 85 000 euros (42 BTCs). Digitale Wachtkamer n’a pas payé et a déposé plainte. Il y a de forte chance que les données de plus de 500 000 utilisateurs finissent sur le web, dans les heures à venir en représailles. D’après Digitale Wachtkamer, aucuns dossiers médicaux n’étaient accessibles, seules les prises de rendez-vous. Digitale Wachtkamera contacté ses utilisateurs afin qu’ils changent leur mot de passe.

Il y a deux ans, un pirate informatique du nom de Rex Mundi avait agit de la sorte à l’encontre de plusieurs entreprises Belges, Suisses et Françaises. En France, le laboratoire de santé Labio avait été la victime de ce type de chantage. Digitale Wachtkamer semble faire parti de ces TROP nombreuses entreprises alertées d’un manque de sécurité, alertée par des hackers et dont les messages sont restées lettres mortes. En 2013, Digitale Wachtkamer avait été alertée d’un manque de sécurité dans son code.

https://twitter.com/JeroenCeyssens/status/887380075557081088