En octobre 2020, une scène éprouvante s’est déroulée dans tout le pays : les médecins et le personnel infirmier qui s’occupait des patients n’ont pas pu accéder aux dossiers médicaux, aux radiographies ou aux TDM. Les hôpitaux de Californie, de l’Oregon et du Vermont faisaient partie des nombreux hôpitaux qui ont perdu l’accès à leurs systèmes critiques, et ont déclaré qu’ils n’avaient toujours pas complètement restauré l’accès des jours et des semaines plus tard.
Le coupable : une série d’attaques de ransomware qui ont fait en sorte que l’ Agence gouvernementale de cybersécurité et de sécurité des infrastructures avertisse d’une « menace imminente et accrue de cybercriminalité pour les hôpitaux et les prestataires de soins de santé américains ».
Bien que les attaques aient généré un choc, le fait qu’elles se soient produites n’aurait pas dû surprendre personne. Les pirates informatiques ont longtemps ciblé les établissements de santé en raison de leur dépendance connue aux systèmes informatiques existants souvent vulnérables. En fait, le nombre de violations de données dans les établissements de santé américains a fortement augmenté de 2010 à 2019, avec une augmentation de 197 % entre 2018 et 2019 seulement, selon un rapport du HIPAA Journal. Au total, selon le rapport, 12,6 % des données privées de soins de santé des Américains ont peut-être été violées au cours de l’année passée.
L’attaque de septembre est notable car les pirates informatiques considèrent les soins de santé comme une cible encore plus douce aujourd’hui qu’il y a un an. Cela est dû à la pandémie en cours. Les centres de soins de santé ont été dépassés par les patients recherchant un traitement pour COVID-19–related symptômes et se sont davantage concentrés sur cela que sur la préparation informatique. De plus, en raison de la distanciation sociale, plus de personnes que jamais accèdent aux soins de santé à distance. Les visites de télésanté avec les médecins ont été multipliées par 350 entre mars et juin 2020, selon le Département de la santé et des services sociaux (HHS). Avec autant de personnes partageant des données personnelles en ligne et sur des applications, les pirates informatiques ont une surface d’attaque beaucoup plus grande.
»Étant donné que la télésanté est relativement nouvelle, nous découvrons toujours de nouveaux types de fraude et l’exploitation des failles de sécurité », déclare Michael Levin, vice-président de la sécurité de l’information d’entreprise chez Optum, la société de technologies et de services de l’information sur la santé qui fait partie du UnitedHealth Group. « Nous avons identifié les problèmes, mais ils n’ont pas tous été résolus. »
Les pirates informatiques envahissent les blessés
Les premières semaines de la pandémie aux États-Unis ont fait paniquer la nation, alors que les établissements de soins de santé avaient du mal à répondre à la crise qui se déroulait rapidement. Pour les RSSI et les experts en cybersécurité, il s’agissait d’une période intense de chaos et de confusion. En mars, HHS a interdit les visites non liées à la COVID dans les établissements de santé de l’ensemble des 50 États. En conséquence, les consultations patient-médecin sont devenues virtuelles sur des applications vidéo telles que Zoom et FaceTime, tandis que le HHS a assoupli les restrictions HIPAA sur les canaux de télésanté disponibles.
« Les RSSI étaient distraits, ils ne pouvaient donc pas travailler sur les problèmes de sécurité sur lesquels ils se concentreraient normalement. »Drex DeFord, ancien DSI chez Steward Health Care et Scripps Health
Le prix de la rapidité était une éruption de nouvelles faiblesses en matière de sécurité. Les pirates informatiques ont ciblé des sessions de télémédecine menées sur Zoom, selon une étude menée par le bras de recherche du fabricant de sécurité logicielle Check Point. (Zoom a depuis amélioré ses protocoles de chiffrement.)
« Il y a eu beaucoup de désespoir », déclare Drex DeFord, ancien DSI chez Steward Health Care et Scripps Health, deux des plus grands réseaux de soins de santé aux États-Unis, et fondateur du cabinet de conseil informatique en soins de santé Drexio. « Si les médecins utilisent Zoom ou FaceTime, quelle est la politique ? Avons-nous un protocole ? Pendant ce temps, les RSSI ont été distraits, essayant de mettre en place des centres de test drive-through, par exemple, afin qu’ils ne puissent pas travailler sur les problèmes de sécurité sur lesquels ils se concentreraient normalement. »
Les pirates informatiques n’ont pas perdu de temps à lancer des attaques de logiciels malveillants. De mars à avril, il y a eu une augmentation de 117 % des alertes de sécurité de réputation IP, un signe d’augmentation du trafic provenant de sites Web escroquers, et une augmentation de 56 % des incidents de sécurité des endpoints, ce qui signifie que plus de pirates informatiques et d’attaques de logiciels malveillants atteignent leurs cibles, selon une septembre 2020 étude conjointe de la société de notation de sécurité SecurityScorecard et de la tenue de recherche sur le dark web Dark Owl. Le rapport a noté que l’empreinte numérique accrue des fournisseurs de télésanté avait augmenté la surface d’attaque.
La télésanté devient philosophique
La confusion et l’incertitude croissantes des premières semaines de la pandémie ont également facilité les cibles des médecins et des patients pour les attaques de phishing. Les pirates ont envoyé aux patients des e-mails sophistiqués appâtés avec de faux liens vers les « vaccins contre la COVID » et les traitements promis.
« Les e-mails d’hameçonnage étaient brillants », déclare DeFord. « Un médecin peut avoir un seul dicton : « Cliquez ici pour connaître le taux d’infection COVID actuel pour votre région. » Bien sûr, les médecins veulent les dernières informations, ils sont donc aspirés par un mauvais clic. »
L’objectif du pirate informatique est de supprimer les noms d’utilisateur et mots de passe de la victime pour les portails de soins de santé où résident des données précieuses. Ces enregistrements peuvent vendre jusqu ’à 1 000 USD sur le dark web. Les dossiers médicaux électroniques peuvent ensuite être utilisés par des criminels pour des compagnies d’assurance désinvoltes sur des dizaines de milliers de dollars avec des réclamations frauduleuses. Cela les rend beaucoup plus utiles que les numéros de carte de crédit volés (qui coûtent 100 USD) et qui ne sont valables que jusqu’à leurs limites de crédit.
Mais le jeu de phishing devient dangereux une fois que les pirates informatiques perdent le réseau d’une organisation de soins de santé, comme ils l’ont fait dans les attaques d’octobre. Là, ils peuvent passer inaperçus pendant des mois (n’importe où entre la médiane de 54 jours et jusqu’à 700 jours).
Pendant cette période, les cybercriminels peuvent dérober des données, installer des logiciels malveillants, pirater les droits d’administrateur réseau et, en fin de compte, lancer une attaque par ransomware comme celle qui a paralysé UHS. La vie de leurs patients étant en jeu, les chances qu’un établissement remette une lourde rançon sont bonnes. En fait, depuis 2016, un total de 172 attaques par ransomware ont coûté plus de 157 millions USD aux organisations de soins de santé américaines, selon une février 2020 étude de Comparitech, un site de recherche sur les services technologiques destinés aux consommateurs.
Meilleures pratiques pour la télésanté et au-delà
L’industrie de la santé est sortie des premiers mois de pandémie plus forte. À tous les niveaux, il a installé de meilleurs protocoles de chiffrement et de sécurité. « Il y avait de mauvaises pratiques en dehors des portes », déclare Levin, vice-président d’Optum en charge de la sécurité de l’information des entreprises. « Depuis, tout le monde a mûri. »
Par exemple, les premières visites de télésanté sur Zoom ont laissé place à des canaux de visioconférence sécurisés et conformes à la loi HIPAA, soit développés en interne par les systèmes de santé et les hôpitaux, soit accordés sous licence par des fournisseurs tiers de sécurité cloud. L’élément clé des directives HIPAA est la protection de la vie privée pour les informations de santé des patients. Pendant cette période, les RSSI développant des plateformes de télésanté exclusives ont cherché à intégrer et vérifier les protocoles de cryptage et d’authentification multifacteur conformément aux normes HIPAA.
Levin offre également ces conseils aux DSI et directeurs techniques du secteur de la santé pour assurer la sécurité des appareils et la protection des données :
Gérez vos endpoints : concentrez-vous sur le renforcement des endpoints et la gestion des droits d’accès administratifs. Le logiciel Endpoint Detection and Response (EDR) vous permet de détecter les tentatives de violation de vos appareils par des acteurs inconnus. Levin recommande également d’utiliser quelque chose comme un « logiciel de liste blanche » qui autorise les applications avant qu’elles ne puissent s’exécuter sur vos appareils.
Éduquez votre main-d’œuvre : les attaques d’hameçonnage sophistiquées, ainsi que les attaques d’« usurpation d’identité », cherchent à exploiter les travailleurs de confiance ou distraits pour pénétrer des réseaux sécurisés. Selon une étude de Verizon, l’erreur des employés représente jusqu’à 42 % des violations des soins de santé. La formation à l’intégration, ainsi que l’apprentissage et le développement continus, doivent mettre en évidence ces risques, mais Levin note : « Vous ne pouvez pas éduquer votre interlocuteur en dehors du risque de 100 %. »
Automatisez les workflows de sécurité : pour les administrateurs de réseau informatique surchargés, l’ IA est leur meilleur allié en matière de cybersécurité. Les progrès de l’ apprentissage automatique non supervisé signifient que l’IA peut surveiller les réseaux en continu pour détecter les anomalies dans les tentatives d’accès, signalant les activités suspectes en temps réel.
Zero-trust 07/12 : le modèle opérationnel Zero-trust suppose que chaque acteur au sein d’un périmètre de sécurité doit être authentifié à tout moment. Cela nécessite des efforts minutieux pour identifier et surveiller chaque instance d’accès réseau à partir de chaque appareil, en cartographiant tous leurs points de connexion. Cela dit, c’est la meilleure approche pour renforcer la sécurité d’un réseau de soins de santé complexe, explique Levin.
Si la pandémie nous a montré quelque chose, c’est que les soins de santé, y compris la télésanté, seront toujours confrontés à une certaine insécurité du réseau. Mais le test de résistance radical provoqué par la COVID-19 may a en fait contribué à améliorer cela.
« Les choses sont en fait beaucoup plus sécurisées qu’il y a six mois », remarque Levin. « La COVID est désormais une maladie avec laquelle nous vivons. Nous comprenons que la télémédecine est quelque chose qui va exister depuis longtemps maintenant. Cela nous a vraiment poussés à adopter de meilleures pratiques. »
Illustration de Dan Bejar
