Alors que nous luttions contre le virus COVID-19 en 2020, d'autres infections se produisaient également, mais dans d'autres systèmes numériques. Nous parlons, bien sûr, de cyberattaques. Il s'agit de virus numériques infectant des systèmes informatiques et interrompant des processus pouvant sauver des vies jusqu'au paiement d'une rançon. Pas d'honneur parmi les voleurs, dit le proverbe, même en cas de pandémie.
En effet, comme l'a noté la société technologique mondiale Acronis, on a constaté une augmentation des cas de ransomware au début de l'épidémie de COVID-19. Une attaque par ransomware à la mi-2020 contre Blackbaud, fournisseur d'informatique en nuage, a compromis les données sensibles de plus de 10 millions de patients, y compris des détails de santé et des numéros de sécurité sociale. À la fin de l'année 2020, plusieurs établissements de santé aux États-Unis ont été confrontés à une vague d'attaques de ce type ; une vague que Wired a qualifiée de "sans précédent".
"Le problème des ransomwares est grave, il l'était il y a des années, il l'était encore plus il y a quelques mois, puis il est devenu intenable il y a quelques semaines, et malheureusement il vient d'empirer ces derniers jours", a déclaré Charles Carmakal, vice-président senior et directeur technique de la société de cybersécurité Mandiant, suite à la vague d'attaques. "Nous devons créer une prise de conscience de ce problème".
En fait, nous devons le faire. Le débat sur les cybermenaces est et sera de plus en plus crucial dans le domaine médical afin de mieux les aborder et les prévenir. Cette question est d'autant plus préoccupante que le monde se tourne de plus en plus vers des solutions numériques pour accéder aux soins de santé alors que nous devons limiter les visites physiques.
Toutefois, ces discussions ne doivent pas se limiter à renforcer l'infrastructure informatique avec des anti-malwares. Cela ne suffira pas car, outre la composante technologique, le piratage des établissements de santé comporte une forte composante sociale. Décryptons comment c'est le cas ; et envisageons des mesures supplémentaires que nous pouvons tous prendre pour sécuriser davantage nos établissements de santé et leurs précieuses données.
La tendance globale des ransomwares dans le secteur de la santé
Lorsqu'on parle de cybermenaces dans le secteur de la santé, les plus courantes sont les ransomwares. Il s'agit d'infections qui ne sont pas dues à des agents pathogènes mais plutôt à des pirates informatiques. Ces derniers infectent les systèmes informatiques avec des malwares ou des virus numériques pour crypter des fichiers cruciaux. Ceux-ci paralysent des infrastructures entières car ces informations sont inaccessibles jusqu'à ce que l'on ait payé les demandes requises, généralement en crypto-monnaie.
Si nous avons commencé cet article par des exemples datant de 2020, ces cybermenaces étaient courantes bien avant la pandémie. L'une d'entre elles, très médiatisée, s'est produite en 2017 avec les attaques de WannaCry contre 61 institutions du NHS. Elle a entraîné l'annulation d'opérations et de rendez-vous cliniques, la perte de la connexion internet dans les hôpitaux et le détournement de patients des services d'urgence, même une semaine après l'incident. Mais la tendance a persisté dans les années suivantes.
Vers la fin de 2020, en novembre et décembre, on a constaté une augmentation de 45 % des cyberattaques contre les organisations de soins de santé dans le monde, rapporte HIPAA Journal. Cette augmentation était plus de deux fois supérieure au pourcentage d'augmentation de la cybercriminalité dans tous les secteurs industriels au niveau mondial au cours de la même période. Pour replacer les choses dans leur contexte, 430 attaques ont été perpétrées en octobre 2020 contre des organismes de santé dans le monde entier, mais 626 cyberattaques ont été perpétrées en moyenne chaque semaine en novembre et décembre.
Certaines de ces cybermenaces de 2020 pourraient avoir des conséquences à long terme. Un exemple est celui de l'attaque par ransomware contre le Rangely District Hospital, un hôpital d'accès critique à but non lucratif. Elle a laissé 5 ans de dossiers de patients inaccessibles.
Et ce ne sont pas seulement les cas qui ont augmenté, mais aussi les demandes. La société antivirus Emsisoft a constaté que les demandes moyennes de rançongiciels sont passées d'environ 5 000 dollars en 2018 à environ 200 000 dollars en 2020 ; les demandes de rançons de plusieurs millions de dollars étant de plus en plus courantes.
Alors que ces tendances inquiétantes s'amplifient, les directions des établissements de santé devraient mieux s'équiper pour éviter la cybercriminalité. Et pour cela, il faut comprendre que cela ne repose pas seulement sur l'aspect technologique mais aussi sur l'aspect social.
Le piratage social comme clé d'accès
Lorsque l'on pense à une cyberattaque, l'image qui nous vient à l'esprit est celle de hackers férus de technologie, tels que décrits dans Mr. Robot ou The Matrix. Toutefois, cette notion popularisée par la culture pop ne représente pas la totalité de l'équation. En fait, les cyberattaques comportent une forte composante de "piratage social".
Plutôt que d'exploiter les vulnérabilités techniques, le piratage social ou ingénierie sociale consiste à exploiter les vulnérabilités de la psychologie humaine pour contourner les technologies de sécurité. Le célèbre pirate Kevin Mitnick qualifie l'être humain de "maillon faible de tout système de sécurité". Mitnick a popularisé le terme "ingénierie sociale" dans les années 90, et ses escroqueries illustrent la manière dont cette méthode permet de pénétrer dans les systèmes technologiques.
Par exemple, en 1979, il a accédé aux serveurs de développement de systèmes d'exploitation de Digital Equipment Corporation. Il s'est fait passer pour l'un des principaux développeurs lors d'un appel téléphonique. Prétextant qu'il ne pouvait pas se connecter, il a immédiatement reçu de nouvelles informations d'identification pour le faire.
.png "Social hacking as the access key")
Peu de choses ont changé depuis, puisqu'une méthode similaire a été utilisée pour contrôler une adresse électronique du ministère américain de la Justice (DoJ) en 2016. Un pirate, se faisant passer pour un nouvel employé, a gentiment persuadé un collègue du service d'assistance de fournir un jeton d'accès à l'intranet du DoJ.
De même en Tuisie, l’affaire commence à prendre de l’ampleur. La plateforme Evax.tn a été piratée et des passeports vaccinaux auraient été falsifiés. En effet, Lotfi Allani, directeur du centre informatique au ministère de la Santé a reconnu que certaines sessions ont été piratées et que l’équipe technique a rapidement identifié la faille et bloqué tout accès malveillant au site.
Ainsi, lorsque l'on envisage des méthodes pour endiguer les cybermenaces, il est également primordial d'éduquer le personnel sur les façons dont il peut être dupé. Dans la prochaine section, nous examinerons les mesures qui peuvent être prises à cet égard.
Une protection adéquate repose sur l'homme, pas seulement sur la technologie
Des dizaines de milliards sont déjà dépensés chaque année pour la cybersécurité dans le monde pour de tels outils. Mais en consacrer une fraction à la formation des employés au piratage social devrait également être un impératif.
Heureusement, il existe des moyens de contrer le piratage social, dont voici quelques exemples :
1.Augmenter l'exposition aux cybermenaces
Une façon d'accroître la sensibilisation à la cybersécurité est d'augmenter l'exposition à ces menaces par des simulations fréquentes. Au cours de ses événements sur la cybersécurité, Rapid7 a remarqué que les personnes exposées à une activité suspecte avaient un fort réflexe de signaler les activités suivantes qu'elles rencontraient.
2. Familiariser le personnel entre eux
D'autres experts recommandent de faire participer tout le monde, des cadres supérieurs aux nouvelles recrues, à des séances de formation et de sensibilisation aux cybermenaces. En effet, ce sont souvent les nouveaux arrivants dans une organisation qui se font piéger en pensant qu'ils conversent avec un dirigeant sur un problème urgent qui nécessite de contourner les protocoles normaux.
3. Tirer la sonnette d'alarme en cas d'activité suspecte
Une autre méthode simple pour contrer les cyberattaquants qui piratent la composante sociale consiste à former les employés à identifier et à signaler les signaux d'alarme. Certaines méthodes utilisées par les attaquants, comme un courriel provenant de l'adresse électronique personnelle d'un PDG, doivent être immédiatement signalées.
À ce titre, les cybermenaces dans le secteur des soins de santé ne peuvent être négligées. Et pour protéger nos établissements médicaux et nos patients, les composantes sociales et technologiques de cette question doivent être renforcées de manière adéquate. Le patient moyen devrait exiger davantage de sécurité pour ses données, et le personnel médical et la direction devraient prendre ces demandes au sérieux et se familiariser avec les méthodes de cybercriminalité afin de mieux les contrer.
