Ohad Zaidenberg, ancien formateur israélien en cyber-renseignement, ne connaît que trop bien les innombrables moyens par lesquels les adversaires étrangers profitent des périodes d'incertitude pour porter atteinte à la sécurité nationale.
Dans « mars 2020 », craignant que les établissements de santé, connus pour leur vulnérabilité, ne soient bientôt confrontés à des cyberattaques de grande ampleur alors que le monde se préparait à une pandémie mondiale, Zaidenberg a cofondé , la CTI League, afin de fournir des renseignements sur les cybermenaces . Considérez-la comme une force de défense mondiale, une association à but non lucratif qui fait appel à des experts bénévoles en cybersécurité pour contrer les attaques visant les établissements de santé.
« J’ai créé la CTI League afin de participer à cette lutte mondiale contre la pandémie et de veiller à ce que personne ne perde la vie à la suite d’une cyberattaque en cette période délicate », explique M. Zaidenberg. Parmi les cofondateurs de la ligue « » figurent également des responsables de la sécurité, notamment Marc Rogers, d’Okta, ainsi que Christopher Mills et Nate Warfield, de Microsoft.
Lorsque la COVID-19 est apparue pour la première fois, l'idée que quelqu'un puisse profiter d'une situation aussi grave pour perturber le système de santé aurait pu sembler inconcevable. Pourtant, à peu près à la même période, des groupes de cybercriminels ont commencé à faire chanter des centres d'essais de vaccins . Une attaque par ransomware de grande ampleur a perturbé le fonctionnement et retardé des interventions chirurgicales à l’hôpital universitaire de Brno « » , en République tchèque, un autre centre majeur de dépistage du COVID-19.
Depuis le début de la pandémie, la CTI League a aidé de nombreux hôpitaux, laboratoires pharmaceutiques et fournisseurs à faire face à une menace de sécurité croissante, le fait d'acteurs malveillants qui ciblent la population mondiale au moment où celle-ci est la plus vulnérable. Le message de la ligue : le secteur de la santé doit se préparer à affronter la tempête.
Les attaques par ransomware se multiplient
Les attaques par ransomware, qui commencent presque toujours par une tentative d'hameçonnage de type « » (), ont particulièrement touché le secteur de la santé avec la propagation de la COVID-19. A 2021 Netwrix survey found that nearly 40% of healthcare organizations faced cloud-based ransomware attacks in 2020, and 32% needed days to discover accidental data leakage and supply chain compromises, leaving them dangerously exposed. Par ailleurs, les chercheurs de VMware Carbon Black ont recensé 239,4 millions de tentatives d'attaques de type « » visant des établissements de santé dans 2020 pays, soit une moyenne de 816 tentatives par terminal, ce qui représente une hausse de 9 851 % par rapport à 2019.
De nombreuses attaques ont fait appel à ce que l’on appelle la « stratégie de saut d’île de type «» », dans laquelle les cybercriminels s’appuient sur une attaque menée contre une organisation pour propager des infections secondaires au sein d’autres organisations, chez des partenaires et chez des patients.
Cette pratique s'apparente à la manière dont des espions russes auraient, selon certaines sources , mené une attaque massive visant la chaîne d'approvisionnement des systèmes du gouvernement américain à la fin de l'année 2019. L'année dernière, des agents d' e ont implanté un code dans les serveurs de SolarWinds, un important fournisseur de logiciels. Ce mode opératoire est similaire à celui décrit sur : une série de cyberattaques qui auraient été perpétrées par le gouvernement nord-coréen et qui ont permis d’infiltrer des entreprises et des administrations chargées de la distribution du vaccin contre le coronavirus de Pfizer.
Des chercheurs du Département de la Sécurité intérieure et d'IBM estiment que des criminels tentaient de dérober les identifiants de connexion au réseau de cadres et de responsables impliqués dans le processus de stockage frigorifique (« chaîne du froid ») du vaccin Pfizer, qui doit être conservé à une température minimale de moins 76 degrés Fahrenheit jusqu'à peu avant l'injection.
Les attaques se multiplient
« Le secteur de la santé a connu une augmentation vertigineuse du nombre d’attaques, dont beaucoup proviennent de la chaîne d’approvisionnement », déclare Marc Moring, directeur des comptes stratégiques chez Tanium. « Quand on y réfléchit, le secteur s'éloigne progressivement des stylos et des blocs-notes. » Tout passe au numérique. En moyenne, un établissement de santé, un fournisseur ou un distributeur dispose probablement de centaines d'applications utilisées sur des milliers de terminaux par des dizaines de milliers d'utilisateurs. « Toutes ces entités numériques constituent des cibles potentielles — autant d’occasions de perturber l’administration des vaccins et d’autres traitements indispensables. »
Selon M. Moring, les attaques visant les établissements de santé, les fournisseurs et les distributeurs risquent de s'intensifier et de causer des ravages. Par exemple, des pirates informatiques pourraient potentiellement réduire le nombre de doses de vaccin qu'un établissement de santé reçoit d'un laboratoire pharmaceutique, disons de 1 million à 100, ce qui obligerait ces établissements à refuser des patients. Les pirates informatiques pourraient également modifier le nombre de rendez-vous pour faire croire que personne ne se présente, alors qu'en réalité, des centaines de personnes attendent de consulter un médecin ou une infirmière. Ou bien les pirates informatiques pourraient ordonner aux livreurs de transporter les marchandises vers des lieux isolés, dans l'espoir que les vaccins, qui doivent être conservés à température contrôlée, se détériorent.
[À lire également : Sécurité de la chaîne d'approvisionnement : à quoi devrait-elle ressembler ?]
Selon les experts, de nombreuses attaques seraient le fait de bandes de cybercriminels cherchant à s'emparer de données confidentielles de patients pour les revendre sur le dark web. Alors que les prestataires s'empressent de vacciner le plus grand nombre de personnes possible, des pirates informatiques incitent des professionnels de santé et des patients peu méfiants à cliquer sur des liens et des pièces jointes contenus dans des e-mails de hameçonnage en apparence anodins, qui lancent des programmes tels que (TrickBot) et des ransomwares comme (Ryuk) afin d'infecter les organisations.
La menace est devenue si omniprésente à la fin de l’année dernière que l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA), le ministère de la Santé et des Services sociaux (HHS) et le FBI ont publié un avertissement rédigé en termes très fermes concernant « une menace accrue et imminente de cybercriminalité pesant sur les hôpitaux américains et les autres prestataires de soins de santé ».
« Il n’est pas surprenant que des criminels commettent des actes cruels », déclare John Pescatore , et directeur des tendances émergentes en matière de sécurité au SANS Institute. « Ils cherchent des moyens de gagner rapidement de l'argent. » « Et chaque fois qu’il y a une situation d’urgence, comme lors de la distribution des vaccins pendant la pandémie, ils savent que les êtres humains commettront des erreurs. »
Sécurisation des terminaux
Le Dr Russell Handorf, ancien informaticien du FBI et hacker principal spécialisé dans le renseignement sur les menaces chez White Ops, affirme que la meilleure façon pour les établissements de santé de renforcer leur sécurité serait d'évaluer leurs pratiques en matière d'identité et d'accès concernant les millions de terminaux qu'ils déploient actuellement.
« Tout commence par le terminal, car c’est par là que passe l’accès au réseau », explique-t-il. « Vous pouvez disposer de pare-feu et d’autres systèmes de sécurité répartis de manière homogène sur l’ensemble de votre réseau afin de construire des remparts. » « Mais vos terminaux restent des portes par lesquelles tout le monde passe pour entrer dans le château. »
«Les points d’accès restent les portails par lesquels tout le monde passe pour entrer dans le château. »Le Dr Russell Handorf, ancien informaticien du FBI et hacker principal spécialisé dans le renseignement sur les menaces chez White Ops
Selon M. Handorf, de nombreuses organisations s'attachent à surveiller et à limiter le trafic qui tente d'infecter les terminaux par le biais d'attaques par déni de service distribué (DDoS) ou d'attaques par injection SQL (Structured Query Language). Mais il affirme que les mesures stratégiques les plus efficaces aujourd'hui consistent à valider et à accorder l'accès aux utilisateurs autorisés, tout en bloquant les nombreuses autres demandes non autorisées.
« Si je devais avoir peur de quelque chose en ce moment dans le domaine de la santé, ce serait le risque lié à l’administration de vaccins et d’autres médicaments utilisant ces critères d’évaluation », déclare M. Handorf. « Je suis convaincu que les laboratoires pharmaceutiques prennent les mesures qui s’imposent pour fabriquer, expédier et suivre leurs produits. » « Il suffit pourtant qu’une seule personne branche par inadvertance un ordinateur portable non sécurisé pour que cette dernière étape de la livraison tourne au désastre. »
Adopter de bonnes pratiques en matière de sécurité
Les terminaux constituent le maillon faible de la sécurité dans le secteur de la santé. Selon les experts, les organisations doivent disposer d'une visibilité globale sur une infrastructure informatique intégrée. Parmi les bonnes pratiques en matière de sécurité informatique, on peut citer l'exécution de programmes de détection et de prévention des anomalies comportementales, la mise en place d'exercices réguliers de recherche active de cybermenaces afin d'identifier les systèmes compromis, ainsi que la mise en œuvre d'une authentification multifactorielle capable de contrer la plupart, voire la totalité, des tentatives d'hameçonnage.
Les dirigeants devraient également mettre à jour les accords de niveau de service (SLA) conclus avec les organisations partenaires, en fixant les niveaux de sécurité de l'information, les procédures de notification et d'intervention en cas d'incident, puis en définissant les conséquences d'un manquement à ces dispositions. Ces accords de niveau de service (SLA) ne devraient pas seulement s'appliquer à la chaîne d'approvisionnement traditionnelle, mais également à la chaîne d'approvisionnement de l'information, souvent négligée, qui comprend notamment les avocats externes, les agences de marketing et d'autres prestataires que les pirates informatiques prennent souvent pour cible.
[À lire également : L'hygiène informatique commence par l'identification et l'inventaire des actifs]
M. Pescatore reconnaît l'importance d'imposer des exigences de sécurité tout au long de la chaîne d'approvisionnement. Mais il affirme que les organismes de santé et les entreprises pharmaceutiques doivent également veiller à adopter les bonnes pratiques.
« Il ne suffit pas d’imposer les exigences de sécurité les plus strictes qui soient si vous ne les respectez pas vous-même », déclare-t-il. « Si ce n’est pas le cas, vous êtes le maillon faible de la chaîne. » Vous devez d'abord sécuriser votre propre maison. « Vous pourrez alors commencer à vous tourner vers des fournisseurs afin de les amener à votre niveau. »
