L’ancien instructeur de cyberintelligence israélien Ohad Zaidenberg connaît trop bien les innombrables façons dont les adversaires étrangers saisissent en ces temps incertains pour nuire à la sécurité nationale.
En mars 2020, craignant que les établissements de santé notoirement sous-protégés soient bientôt confrontés à d’importantes cyberattaques alors que le monde se battait pour une pandémie mondiale, Zaidenberg a cofondé la CTI League, pour la cybermenace. Considérez-le comme une force de défense mondiale, une organisation à but non lucratif qui utilise des experts bénévoles en cybersécurité pour contrecarrer les attaques contre les établissements de santé.
« J’ai créé la CTI League pour participer à cette guerre mondiale contre la pandémie et pour m’assurer que personne ne mourrait en raison d’une cyberattaque pendant cette période sensible », déclare Zaidenberg. Les cofondateurs de la ligue comprennent également les leaders de la sécurité Marc Rogers d’Okta et Christopher Mills et Nate Warfield chez Microsoft.
Lorsque la COVID-19 est apparue pour la première fois, l’idée que quelqu’un tirerait parti d’une situation si désastreuse pour perturber les soins de santé aurait pu sembler infaillible. Pourtant, à peu près à la même époque, les gangs cybercriminels ont commencé à extorquer des installations de test de vaccination. Une attaque importante par ransomware a perturbé les opérations et retardé les interventions chirurgicales au Brno University Hospital en République tchèque, un autre important centre de test de dépistage de la COVID-19.
Depuis le début de la pandémie, la CTI League a aidé de nombreux hôpitaux, entreprises pharmaceutiques et fournisseurs à faire face à une menace de sécurité croissante de la part d’acteurs malveillants ciblant la population mondiale lorsqu’elle est la plus faible. Le message de la ligue : les soins de santé doivent s’attaquer aux éclosions.
Les rançongiciels augmentent
Les attaques de rançongiciels, qui commencent presque toujours par une escroquerie par hameçonnage, ont frappé le secteur de la santé particulièrement durement avec la propagation de la COVID-19. Une enquête de 2021 Netwrix a révélé que près de 40 % des organisations de soins de santé ont été confrontées à des attaques de ransomware basées sur le cloud en 2020, et que 32 % avaient besoin de jours pour découvrir des fuites de données accidentelles et des compromissions de la chaîne d’approvisionnement, les laissant dangereusement exposées. Séparément, les chercheurs de VMware Carbon Black ont découvert 239,4 millions de tentatives d’attaques ciblant les organisations de soins de santé en 2020, avec une moyenne de 816 tentatives par endpoint, soit une hausse de 9 851 % par rapport à 2019.
De nombreuses attaques impliquaient ce que l’on appelle le « saut d’îles », où les malfaiteurs s’appuient sur une attaque contre une organisation pour lancer des infections secondaires parmi d’autres organisations, partenaires et patients.
La pratique est similaire à la manière dont les espions russes sont supposés avoir provoqué un piratage massif de la chaîne d’approvisionnement des systèmes gouvernementaux américains à la fin de l’année 2019. L’année dernière, les opérateurs ont planté du code sur des serveurs appartenant à SolarWinds, un entrepreneur logiciel majeur. Cette voie est similaire à une série de cyberattaques qui auraient été le travail du gouvernement nord-coréen, qui a infiltré les entreprises et les gouvernements qui distribuent le vaccin contre le coronavirus de Pfizer.
Les chercheurs du Département de la sécurité intérieure et d’IBM pensent que les criminels tentaient de voler les informations d’identification de connexion au réseau aux cadres et aux fonctionnaires liés au processus de stockage frigorifique de la « chaîne du froid » pour le vaccin Pfizer, qui doit être conservé à un minimum de moins 76 degrés Fahrenheit jusqu’à peu avant l’inoculation.
Les attaques deviennent folles
« Les soins de santé ont connu une augmentation folle des attaques, dont beaucoup proviennent de la chaîne d’approvisionnement », déclare Marc Moring, directeur des comptes stratégiques chez Tanium. « Si vous y réfléchissez, l’industrie s’éloigne des stylos et des serviettes. Tout passe au numérique. L’organisation, le fournisseur ou le distributeur de soins de santé moyen a probablement des centaines d’applications utilisées sur des milliers d’endpoints par des dizaines de milliers d’utilisateurs. Toutes ces instances numériques représentent des cibles potentielles : des opportunités de perturber l’administration des vaccins et d’autres traitements indispensables. »
Moring affirme que les attaques contre les organisations de soins de santé, les fournisseurs et les distributeurs sont susceptibles de s’intensifier et de faire des ravages. Par exemple, les pirates informatiques pourraient potentiellement réduire le nombre de doses de vaccin qu’un prestataire de soins de santé reçoit d’une société pharmaceutique, disons de 1 million à 100, obligeant les établissements à refuser les patients. Les pirates informatiques pourraient également modifier le nombre de rendez-vous pour montrer que personne n’arrive alors que, en fait, des centaines s’attendent à voir des médecins ou des infirmières. Ou les pirates informatiques pourraient demander aux chauffeurs-livreurs de transporter des marchandises vers des lieux éloignés dans l’espoir que les vaccins sensibles à la température se gâteront.
Les experts affirment que de nombreux gangs de cybervoleurs cherchant à saisir et vendre des données confidentielles sur les patients sur le dark web sont à l’origine de nombreuses attaques. Alors que les fournisseurs se précipitent pour mettre les vaccins dans le plus grand nombre possible, les pirates informatiques incitent les employés médicaux et les patients sans méfiance à cliquer sur des liens et des pièces jointes dans des e-mails d’hameçonnage apparemment innocents qui lancent TrickBot et des rançongiciels comme Ryuk pour infecter les organisations.
La menace est devenue si omniprésente à la fin de l’année dernière que l’Agence de cybersécurité et de sécurité des infrastructures (CISA), le Département de la santé et des services sociaux (HHS) et le FBI ont émis un avertissement fortement formulé concernant « une menace de cybercriminalité accrue et imminente pour les hôpitaux américains et d’autres prestataires de soins de santé ».
« Il n’est pas surprenant que les criminels fassent des choses cruelles », déclare John Pescatore, directeur des tendances émergentes en matière de sécurité au SANS Institute. « Ils cherchent des moyens de gagner rapidement de l’argent. Et chaque fois qu’il y a une précipitation, comme lorsqu’il s’agit de faire sortir des vaccins pendant la pandémie, ils savent que les êtres humains feront des erreurs. »
Sécurisation des endpoints
Le Dr Russell Handorf, ancien scientifique informatique du FBI et principal pirate informatique de renseignement sur les menaces chez White Ops, déclare que la manière logique pour les organisations de soins de santé d’accroître la sécurité serait d’évaluer les pratiques d’identité et d’accès autour des millions d’appareils d’endpoint qu’elles déploient actuellement.
« Tout commence par l’endpoint, car c’est la vitrine de l’accès réseau », dit-il. « Vous pouvez avoir des pare-feux et d’autres systèmes de sécurité répartis uniformément sur votre réseau pour construire des murs de château. Mais vos endpoints sont toujours des portails que tout le monde traverse pour entrer dans le château. »
« Les critères d’évaluation sont toujours les portails que tout le monde traverse pour entrer dans le château. »Dr Russell Handorf, ancien scientifique informatique du FBI et pirate informatique principal de renseignement sur les menaces chez White Ops
Selon Handorf, de nombreuses organisations se concentrent sur la surveillance et la limitation du trafic qui tente d’infecter les appareils des endpoints par le biais d’attaques par déni de service distribué (DDoS) ou d’attaques par injection de langage de requête structuré (SQL). Mais il dit que les mesures stratégiques les plus efficaces de nos jours impliquent la validation et l’octroi d’un accès aux utilisateurs autorisés et le blocage de nombreuses autres demandes non autorisées.
« Si je devais avoir peur de quoi que ce soit en ce moment dans le secteur de la santé, ce serait le risque lié à l’administration de vaccins et d’autres médicaments à l’aide de ces critères d’évaluation », déclare Handorf. « Je suis convaincu que les entreprises pharmaceutiques prennent les bonnes mesures pour créer, expédier et suivre leurs produits. Mais il suffit d’une seule personne pour brancher accidentellement un ordinateur portable non sécurisé pour que ce dernier kilomètre de livraison se déroule latéralement. »
Pratiquer l’hygiène de sécurité
Les endpoints sont le bas-ventre souple de la sécurité des soins de santé. Les experts affirment que les organisations doivent avoir une visibilité sur une infrastructure informatique intégrée. Les bonnes pratiques d’hygiène en matière de sécurité informatique comprennent l’exécution de programmes de détection et de prévention des anomalies comportementales, la réalisation d’exercices réguliers de recherche des cybermenaces pour trouver les systèmes compromis, et l’application d’une authentification multifacteur qui peut décourager la plupart, voire toutes, des tentatives d’hameçonnage.
Les responsables doivent également mettre à jour les accords de niveau de service (SLA) avec les organisations partenaires, en définissant des niveaux de sécurité de l’information, de notification et de processus de réponse lorsque des incidents se produisent, puis en définissant les conséquences de la non-conformité. Ces SLA ne doivent pas s’appliquer uniquement à la chaîne d’approvisionnement traditionnelle, mais également à la chaîne d’approvisionnement en informations souvent oubliée, y compris les avocats externes, les cabinets de marketing et d’autres fournisseurs que les pirates informatiques ciblent souvent.
[Lire également : l’hygiène informatique commence par la découverte et l’inventaire des actifs]
Pescatore est d’accord avec l’importance d’imposer des exigences de sécurité sur l’ensemble de la chaîne d’approvisionnement. Mais il dit que les organisations de soins de santé et pharmaceutiques doivent également s’assurer qu’elles font également les bonnes choses.
« Il ne suffit pas de repousser les exigences de sécurité les plus élevées possibles auxquelles vous pouvez penser si vous ne les suivez pas vous-même », dit-il. « Si ce n’est pas le cas, vous êtes le maillon faible de la chaîne. Vous devez d’abord sécuriser votre propre maison. Vous pouvez ensuite commencer à examiner les fournisseurs afin de les amener à votre niveau. »
