Lors de l' octobre 2020, une scène poignante s'est déroulée dans tout le pays : les médecins et les infirmiers qui s'occupaient des patients n'avaient pas accès aux dossiers médicaux, aux radiographies ni aux tomodensitométries. Des hôpitaux de Californie, de l'Oregon et d' , dans le Vermont , figuraient parmi les nombreux établissements qui ont perdu l'accès à leurs systèmes essentiels — et ont indiqué que, plusieurs jours, voire plusieurs semaines plus tard, ils n'avaient toujours pas entièrement rétabli cet accès.
Le coupable : une série d’attaques par ransomware qui a conduit l’Agence de cybersécurité et de sécurité des infrastructures ( ) du gouvernement américain à alerter l’Association américaine des hôpitaux ( ) d’« une menace imminente et accrue de cybercriminalité pesant sur les hôpitaux et les prestataires de soins de santé américains ».
Même si ces attentats ont provoqué un choc, le fait qu'ils se soient produits n'aurait dû surprendre personne. Les pirates informatiques ciblent depuis longtemps les établissements de santé, car ceux-ci sont connus pour s'appuyer sur des systèmes informatiques hérités souvent vulnérables. En effet, le nombre de fuites de données dans les établissements de santé américains a fortement augmenté, passant de 2010 à 2019, avec une hausse de 197 % rien qu'entre les années 2018 et 2019 , selon un rapport du HIPAA Journal. Au total, selon le rapport, 12,6 % de l'ensemble des données de santé privées des Américains auraient pu faire l'objet d'une fuite au cours de l'année écoulée.
L'attaque de septembre est particulièrement notable, car les pirates informatiques considèrent aujourd'hui le secteur de la santé comme une cible encore plus vulnérable qu'il y a un an. Cela s'explique par la pandémie actuelle. Les établissements de santé ont été submergés par des patients venant consulter pour COVID-19–related symptômes différents et se sont davantage concentrés sur cette situation que sur leur préparation informatique. Par ailleurs, en raison des mesures de distanciation sociale, vous êtes plus nombreux que jamais à recourir aux soins de santé à distance. Selon le ministère de la Santé et des Services sociaux (HHS), le nombre de consultations de télésanté avec des médecins a été multiplié par 350 entre mars et juin 2020. Comme de nombreuses personnes partagent des données personnelles en ligne et via des applications, les pirates disposent d’une surface d’attaque bien plus vaste.
«« La télésanté étant un domaine relativement récent, nous continuons à découvrir de nouveaux types de fraudes et d’exploitations des failles de sécurité », explique Michael Levin , et vice-président chargé de la sécurité de l’information d’entreprise chez Optum, la société spécialisée dans les technologies et les services d’information de santé qui fait partie du groupe UnitedHealth. « Nous avons identifié les problèmes, mais ils n’ont pas tous été résolus. »
Les pirates informatiques s'acharnent sur les victimes
Les premières semaines de la pandémie aux États-Unis ont plongé le pays dans la panique, alors que les établissements de santé peinaient à faire face à cette crise qui évoluait à un rythme effréné. Pour les responsables de la sécurité des systèmes d'information (RSSI) et les experts en cybersécurité, ce fut une période intense, marquée par le chaos et la confusion. En mars, le ministère américain de la Santé et des Services sociaux (HHS) a interdit les visites non liées au COVID-19 dans les établissements de santé des 50 États. En conséquence, les consultations entre patients et médecins se sont déroulées en ligne via des applications vidéo telles que Zoom et FaceTime, le ministère américain de la Santé et des Services sociaux (HHS) ayant assoupli les restrictions de la loi HIPAA concernant les canaux de télésanté disponibles.
«Les RSSI ont été accaparés par d’autres tâches, ce qui les a empêchés de se consacrer aux problèmes de sécurité sur lesquels ils se concentrent habituellement. »Drex DeFord, ancien directeur des systèmes d'information chez Steward Health Care et Scripps Health
Le prix à payer pour cette rapidité a été l'apparition d'une multitude de nouvelles failles de sécurité. Des pirates informatiques ont pris pour cible des séances de télémédecine organisées via Zoom, , selon une étude réalisée par la branche de recherche du fabricant de logiciels de sécurité Check Point. (Depuis, Zoom a renforcé ses protocoles de chiffrement.)
« Il y avait beaucoup de désespoir », explique Drex DeFord, ancien directeur des systèmes d’information chez Steward Health Care et Scripps Health, deux des plus grands réseaux de soins de santé aux États-Unis, et fondateur du cabinet de conseil en informatique de santé Drexio. « Si les médecins utilisent Zoom ou FaceTime, quelle est la politique en la matière ? » Avons-nous un protocole ? « Parallèlement, les responsables de la sécurité informatique étaient accaparés par d’autres tâches, comme la mise en place de centres de dépistage « drive-in », par exemple, et n’ont donc pas pu se consacrer aux questions de sécurité auxquelles ils auraient normalement dû s’atteler. »
Les pirates informatiques n'ont pas tardé à lancer des attaques de logiciels malveillants. De mars à avril, on a constaté une hausse de 117 % des alertes de sécurité liées à la réputation des adresses IP, signe d’une augmentation du trafic provenant de sites web suspects, ainsi qu’une hausse de 56 % des incidents de sécurité des terminaux signalés par l’ , ce qui signifie que davantage d’attaques de piratage et de logiciels malveillants ont atteint leurs cibles, selon une étude conjointe intitulée « » septembre 2020 réalisée par la société d’évaluation de la sécurité SecurityScorecard et le groupe de recherche sur le dark web Dark Owl. Le rapport souligne que l'empreinte numérique croissante des prestataires de télésanté a élargi la surface d'attaque.
La télésanté devient une cible pour les hameçonnages
La confusion et l'incertitude généralisées qui ont régné au cours des premières semaines de la pandémie ont également fait des médecins et des patients des cibles faciles pour les attaques de hameçonnage de type « ». Des pirates informatiques ont envoyé aux patients des e-mails sophistiqués contenant de faux liens vers de prétendus « vaccins contre la COVID » et traitements.
« Ces e-mails de hameçonnage étaient brillants », déclare DeFord. « Un médecin pourrait recevoir un message disant : “Cliquez ici pour connaître le taux d’infection au COVID-19 du jour dans votre région.” » « Bien sûr, les médecins veulent disposer des informations les plus récentes, ce qui les pousse à cliquer sur des liens peu fiables. »
L'objectif du pirate informatique est de récupérer les identifiants et mots de passe de la victime pour accéder aux portails de santé où sont stockées des données sensibles. Ces enregistrements peuvent se vendre entre et 1 000 $ sur le dark web. Les dossiers médicaux électroniques peuvent alors être utilisés par des malfaiteurs pour escroquer les compagnies d'assurance de plusieurs dizaines de milliers de dollars au moyen de demandes d'indemnisation frauduleuses. Cela les rend bien plus précieux que les numéros de cartes de crédit volés (qui se vendent 100 dollars) et qui ne sont valables que dans la limite de leur plafond de crédit.
Mais le hameçonnage devient dangereux dès lors que des pirates informatiques parviennent à s'introduire dans le réseau d'un établissement de santé, comme ce fut le cas lors des attaques d'octobre. Là, ils peuvent passer inaperçus pendant des mois (entre 54 jours en moyenne et jusqu'à 700 jours).
Pendant ce temps, les cybercriminels peuvent dérober des données, installer des logiciels malveillants, s'emparer des droits d'administrateur réseau et, au final, lancer une attaque par rançongiciel comme celle qui a paralysé UHS. La vie de leurs patients étant en jeu, il y a de fortes chances qu’un établissement accepte de verser une rançon considérable. In fact, since 2016, a total of 172 ransomware attacks have cost U.S. healthcare organizations more than $157 million, according to a février 2020 study by Comparitech, a consumer-facing tech services research site.
Les meilleures pratiques en matière de télésanté — et au-delà
Le secteur de la santé est sorti renforcé des premiers mois de la pandémie. De manière générale, elle a mis en place des protocoles de chiffrement et de sécurité plus performants. « Dès le départ, certaines pratiques laissaient à désirer », explique M. Levin, vice-président chargé de la sécurité de l'information d'entreprise chez Optum. « Depuis lors, tout le monde a mûri. »
Par exemple, les premières consultations de télésanté via Zoom ont cédé la place à des canaux de visioconférence sécurisés et conformes à la loi HIPAA, soit développés en interne par les systèmes de santé et les hôpitaux, soit fournis sous licence par des prestataires tiers spécialisés dans la sécurité dans le cloud. L'élément central des directives HIPAA est la protection de la confidentialité des informations médicales des patients. Au cours de cette période, les responsables de la sécurité des systèmes d'information (RSSI) chargés de développer des plateformes de télésanté propriétaires ont cherché à intégrer et à vérifier des protocoles de chiffrement et d'authentification multifactorielle conformes aux normes HIPAA.
M. Levin adresse également les conseils suivants aux DSI et aux directeurs techniques du secteur de la santé afin de garantir la sécurité des appareils et la protection des données :
Gérez vos terminaux : Concentrez-vous sur le renforcement de la sécurité des terminaux et la gestion des droits d'accès administratifs. Le logiciel de détection et de réponse aux incidents au niveau des terminaux (EDR) vous permet de détecter les tentatives d'intrusion sur vos appareils par des acteurs inconnus. M. Levin recommande également d'utiliser un outil tel qu'un « logiciel de liste blanche », qui autorise les applications avant qu'elles ne puissent s'exécuter sur vos appareils.
Sensibilisez votre personnel : Les attaques de hameçonnage sophistiquées, ainsi que les attaques par « usurpation d’ », cherchent à exploiter la confiance ou la distraction des employés pour pénétrer dans des réseaux sécurisés. Selon une étude de Verizon, les erreurs commises par les employés lors de l' s représentent jusqu'à 42 % des violations de données dans le secteur de la santé. La formation d’intégration, ainsi que la formation continue et le développement professionnel, devraient mettre en évidence ces risques, mais M. Levin fait remarquer : « On ne peut pas éliminer ces risques à 100 % par la seule formation. »
Automatisez les processus de sécurité : Pour les administrateurs réseau surchargés, l'IA est leur meilleur allié en matière de cybersécurité. Grâce aux progrès réalisés dans le domaine de l'apprentissage automatique non supervisé , l'IA est désormais capable de surveiller en permanence les réseaux afin de détecter toute anomalie dans les tentatives d'accès, et de signaler les activités suspectes en temps réel.
Zero-trust 07/12: The zero-trust operational model assumes every actor within a security perimeter must be authenticated at all times. Il faut déployer des efforts considérables pour identifier et surveiller chaque accès au réseau provenant de chaque appareil, en répertoriant tous leurs points de connexion. Cela dit, c'est la meilleure approche pour renforcer la sécurité d'un réseau de santé complexe, affirme M. Levin.
Si la pandémie nous a appris une chose, c’est que le secteur de la santé, y compris la télésanté, sera toujours confronté à une certaine vulnérabilité des réseaux. Mais les tests de résistance extrêmes provoqués par la COVID-19 may , ont en réalité contribué à améliorer cette situation.
« La situation est en réalité bien plus sûre qu’il y a six mois », fait remarquer M. Levin. « Le COVID fait désormais partie de notre quotidien. » Nous comprenons que la télémédecine est désormais appelée à perdurer. « Cela nous a vraiment incités à adopter de meilleures pratiques. »
Illustration de Dan Bejar
