Les informations de plus de 750 000 patients français ont été volées puis mises en vente le 19 novembre après une intrusion via Mediboard, un logiciel de gestion hospitalière open source ; une exfiltration de données rendue possible grâce à une usurpation d’identité sur un compte à privilèges.
Sur un forum du Dark Net, un compte est particulièrement actif ces derniers jours : Near2tlg. Il propose plusieurs bases de données en vente et s’est même fendu d’un message pour expliquer ses motivations et qu’il ne s’agit pas d’une seule personne, mais d’un « collectif ».
« Nous avons réussi à infiltrer plusieurs systèmes informatiques et à accéder à un grand nombre de bases de données sensibles, y compris celles de grandes entreprises comme Le Point, SFR, Direct Assurance et Mediboard. En seulement une semaine, notre groupe, récemment formé, a démontré sa capacité à exploiter efficacement les vulnérabilités des infrastructures numériques », explique le collectif dans ce qui ressemble à un manifeste. Le message est également repris sur sa chaine Telegram.
Le groupe Near2tlg affirme avoir « déjà signalé les failles de sécurité sur les sites concernés ». Mais, au lieu de répondre et de corriger le tir, « ces entreprises ont préféré privilégier leurs profits, accumulant des milliards de chiffre d’affaires tout en négligeant la sécurité de leurs utilisateurs ». YuroSh, le pirate qui prétend être à l’origine du piratage de Free, affirmait lui aussi avoir envoyé des alertes de sécurité à l’entreprise.
Mais les fuites sont nombreuses, comme le relate Next. Le groupe revendique en effet les piratages du Point, de SFR, de Direct Assurance, de Mediboard et d’Osiris Production.
Tribune – Martin Cannard, VP of Product Strategy chez Netwrix, livre son analyse :
« Cette cyberattaque souligne l’importance cruciale de la sécurisation des comptes à privilèges au sein des systèmes de santé. La compromission n’a pas résulté d’une vulnérabilité logicielle, mais plutôt de l’exploitation d’informations d’identification volées, qui ont permis un accès non autorisé à des données sensibles.
L’étude Netwrix 2024 montre qu’une organisation sur deux a été confrontée à une attaque de type compromission d’un compte d’utilisateur ou d’administrateur au cours des 12 derniers mois, à la fois sur site et dans le cloud. De tels incidents illustrent la nécessité de protocoles robustes de gestion des identités et des accès, y compris l’authentification multi-facteurs et la surveillance continue des activités des comptes à privilèges. En outre, cela démontre les avantages de l’adoption d’approches de type “Zero Standing Privilege”, où les privilèges ne sont appliqués aux comptes qu’au moment de leur utilisation légitime. Dans ce cas, les comptes compromis n’auraient disposé d’aucun privilège au moment de l’attaque, ce qui aurait permis d’atténuer ou d’empêcher la violation. Les organismes de santé doivent donner la priorité à ces mesures pour protéger les informations des patients et maintenir la confiance dans leurs services. »
Christophe Escande, Head of Public Sector chez CyberArk, livre de son côté l’analyse suivante :
« Les établissements de santé restent des cibles privilégiées pour les cybercriminels qui y trouvent toujours plus de données sensibles qui se monétisent. Dans cet incident, certaines données compromises telles que les adresses emails ou les numéros de téléphone sont relativement peu préjudiciables, toutefois, une fois combinées à d’autres fuites, elles peuvent conduire à des usurpations ou des vols d’identités. En outre, l’acteur malveillant a également partagé avoir accès à des données plus sensibles comme les prescriptions ou les antécédents médicaux. Or, ces informations peuvent entraîner des dégâts importants pour les victimes, car elles sont du domaine de l’intime.
Les développeurs de Mediboard, Xtrem Santé, ont déclaré qu’un de leurs clients avait été victime d’une usurpation malveillante d’un compte avec accès à privilèges, ce qui montre l’attrait toujours croissant des cybercriminels pour cette méthode d’attaque. Pour se prémunir face à ce type d’intrusions malveillantes, il convient pour les organisations de recourir à des contrôles de sécurité des identités forts et robustes. Les techniques d’authentifications multifacteurs ou les méthodes d’identification sans mots de passe en font partie et permettent de limiter les accès non-autorisés. Les organisations doivent cependant considérer une approche plus globale de la sécurisation des identités et il est recommandé, afin de réduire au maximum la surface d’attaque cyber de mettre en place une politique automatique et intelligente de contrôle de type Zero Privilège Permanent (ZSP), qui consiste à supprimer les droits d’accès à privilèges à tous les utilisateurs (humains et machines) une fois les actions réalisées.
Enfin, cette fuite de données nous montre l’importance vitale de la sécurisation des fournisseurs et des utilisateurs tiers dans une infrastructure informatique : la supply chain logicielle entière est à risque dans de tels systèmes. Par les données qui transitent sur leurs réseaux, les établissements de santé sont particulièrement sujets à ce type d’attaque, c’est pourquoi il convient de mettre en place une politique de sécurité des identités complète, à la fois pour les utilisateurs internes, mais aussi pour tous les utilisateurs tiers qui deviennent des cibles privilégiées pour les cybercriminels. »
