Cybersécurité dans la santé, le maillon faible ?

Les cyberattaques dans le secteur médical n’ont jamais été aussi prégnantes qu’aujourd’hui. C’est d’autant plus vrai avec le développement croissant des données médicales qui vise à améliorer la prise en charge des patients. Quelles sont les menaces auxquelles sont confrontés les établissements de santé et comment peuvent-ils s’en prémunir afin de garantir la protection des équipements et des données ?

La santé : un domaine vulnérable aux cyberattaques

La cybersécurité embrasse tous les moyens et procédés qui permettent d’assurer la protection et l’intégrité des données (sensibles ou non) d’une entité numérique. 

Le domaine de la santé est aujourd’hui un secteur très menacé et de plus en plus sujet à des cyberattaques. Cela est principalement dû à la sensibilité et à la valeur des données qui sont traitées dans les architectures SI médicales. En effet, la santé dispose de données convoitées et très lucratives pour les cybercriminels. Et pour cause : un dossier médical se négocie à 350 € sur le marché noir numérique, soit 2,5 fois plus que les autres documents, en moyenne. À titre de comparaison, c’est plus que des données bancaires !

Outre la valeur des données, la réussite des attaques est rendue possible par la vulnérabilité généralisée des systèmes d’information déployés dans les établissements de santé. Ces architectures n’ont pas été conçues pour parer des menaces qui deviennent de plus en plus sophistiquées et difficiles à traiter. De plus, les structures médicales font face à des pressions budgétaires et de personnels qui compliquent la mise à niveau de la sécurité des systèmes informatiques.

Plusieurs attaques récentes ont mis en évidence ce point. L'hôpital de Versailles le 3 décembre, le système informatique a été coupé par mesure de sécurité. L’hôpital de Dax a subi une attaque au ransomware (Ruyk) le 9 février 2021 qui a mis hors service l’intégralité du système d’information. Au sein d’une structure de santé, le système informatique joue un rôle majeur puisqu’il permet d’héberger les plannings des opérations chirurgicales, la gestion des urgences, les accès aux matériels médicaux et les accès aux éléments vitaux d’un bâtiment (systèmes électriques), etc. Dès lors, la mise hors service de la brique informatique d’une structure hospitalière est susceptible de mettre en danger la vie des patients.

La recrudescence des attaques cyber sur les structures de santé s’explique aussi par le recours accru au big data. Ce dernier traite de grandes quantités de données, qu’il aide à générer, afin d’en extraire des informations utiles pour la recherche médicale.

En conclusion, PHP peut-il être remplacé par PytLes principaux risques cyber dans le secteur médical 

Les structures médicales sont donc la cible de menaces toujours plus sophistiquées : 

• Le phishing (ou hameçonnage) : qui vise à obtenir un accès à des données par le biais de l’usurpation d’identité. En pratique, les organisations de cybercriminels se font passer pour des entités connues (banque, fournisseur, clients…) et tentent de récupérer des accès à des données sensibles (coordonnées bancaires, identifiants et mots de passe, etc.).

• Le spear phishing (ou harponnage) : une variante du phishing qui intègre une dimension d’ingénierie sociale. Contrairement au phishing classique basé sur l’envoi massif d’un message générique à un grand nombre de destinataires, le spear phishing se concentre sur un nombre limité et ciblé d’utilisateurs qui font l’objet d’une étude préalable sur les habitudes numériques. Dans le cas d’un hôpital, ce peut être un dirigeant ayant un accès étendu au réseau par exemple.

• Le ransomware (ou rançongiciel) : un logiciel malveillant qui bloque l’accès à des fichiers numériques en les chiffrant, les rendant inexploitables. Les hackers demandent ensuite une rançon pour débloquer l’accès aux données. 
  

Le développement des attaques récentes a mis en évidence le danger que représentent désormais les ransomware. 

Certains groupes de hackers spécialisés dans le domaine l’utilisent massivement pour leurs opérations. C’est le cas notamment du groupe Conti qui développe continuellement de nouvelles variantes de son code de cryptage qui cible les hyperviseurs ESXi (variante Linux). Un hyperviseur ESXi est utilisé pour la virtualisation des serveurs.

Dans le paysage mondial des ransomware, plusieurs familles se distinguent et constituent la majorité des cyberattaques : Lockbit, Conti, BlackCat et Ruyck. 

À noter que les cybercriminels qui usent du ransomware appliquent une stratégie dite de la « double extorsion ». Cette méthode permet aux hackers de capitaliser à la fois sur le montant de la rançon et sur la revente des données piratées sur le marché noir.

Les impacts des cyberattaques dans le secteur médical

Les impacts d’une cyberattaque sur une structure de santé sont nombreux et peuvent réduire significativement son activité : 

• La mise hors service des équipements qui dépendent fortement de la technologie (IRM, appareils d’anesthésie, etc.).

• L’impossibilité d’utiliser les ordinateurs pour consulter les données des patients.

• La perturbation ou l’interruption des réseaux électriques et internet de l’établissement.

À ces impacts physiques s’ajoutent d’importantes pertes financières : 

• en cas de paiement de la rançon ;

• coût de remise à niveau du système d’information ;

• frais de gestion de crise.

On estime que ces coûts supplémentaires relatifs au rachat de matériel, aux frais d’interruption des activités ou au recrutement d’un expert cyber représentent 5 à 10 fois le montant des rançons qui sont demandées. 

Enfin, les établissements de santé s’exposent également à des poursuites judiciaires si les données volées engendrent des usurpations d’identité des patients ou des personnels.

Quelles solutions pour lutter contre la cybercriminalité dans la santé ?

Plusieurs pistes peuvent être mises en avant pour améliorer la protection du secteur médical face aux cybermenaces.

Une collaboration accrue entre public et privé

En France, le secteur public hospitalier souffre d’un déficit budgétaire chronique et le domaine numérique n’est pas épargné. Ainsi, il semble qu’un partenariat public/privé soit une bonne solution afin d’offrir une synergie entre des experts issus des deux secteurs. Une initiative récente nommée Cyber Campus va dans ce sens en réunissant des chercheurs du public et du privé dans un lieu unique dans le but de mutualiser les connaissances et de faciliter les échanges.

La formation continue des personnels

La généralisation des attaques invite les structures hospitalières à davantage former ses personnels aux enjeux de la cybersécurité. Bien souvent, les hackers utilisent des failles humaines dans les protocoles de sécurité qui leur permettent d’entrer et d’infecter les systèmes. Pourtant, des règles simples (mots de passe multiples et vraiment sécurisés, interdiction d’ouvrir des mails inconnus contenant des liens ou des fichiers, etc.) permettent de se prémunir d’une très grande majorité des attaques qui réussissent aujourd’hui. Cette hygiène numérique doit être diffusée et consolidée auprès du plus grand nombre. Les personnels informatiques des établissements doivent aussi pouvoir avoir accès à des formations cyber de haut niveau.