Le secteur de la santé : pourquoi est-il une cible privilégiée des cybercriminels ?

Les cybercriminels ont attaqué le secteur de la santé beaucoup plus volontiers que d’autres secteurs en 2015. En effet, selon un rapport récent publié par IBM, plus de 100 millions de données médicales ont été compromises l’an dernier.

En réalité, 2015 a été l’année des failles de sécurité au niveau du secteur de la santé, a déclaré IBM dans 2016 Cyber Security Intelligence Index.

Le taux d’attaques contre le secteur de la santé a grimpé pour atteindre le plus haut niveau de tous les secteurs étudiés en 2015. En effet, en 2015 le secteur de la santé qui n’apparaissait même pas dans le top 5, a depuis bondi en tête, devant le secteur de l’industrie, de la finance, des services, le secteur public et celui des transports.

Selon IBM, les failles de sécurité relatives aux données dans le secteur de la santé gagnent également en ampleur, avec 5 des 8 plus importantes vulnérabilités au  niveau des données médicales rapportées depuis 2010 (à savoir celles ayant abouti à la fuite de plus d’1 million de données) et observées durant les 6 premiers mois de l’année 2015.

De plus, le coût de ces failles de sécurité est en augmentation, et particulièrement dans le secteur de la santé, selon l’étude menée par IBM sur le coût d’une faille de sécurité en 2015.

Alors que le coût moyen d’une faille de sécurité pour l’ensemble des secteurs était de 3.8 millions $ en 2014 (en augmentation de 23% par rapport à 2013), le coût par dossier dans le secteur de la santé était de 363$ par dossier forcé, plus du double du coût moyen global de 154$ constaté par dossier.

IBM a déclaré que les coûts d’une faille de sécurité étaient en augmentation globalement car 47% des failles en 2014 était causée par des attaques malveillantes, qui coûtent plus cher à endiguer, comparées au 42% l’année précédente.

Si 2015 a battu tous les records en terme d’attaques dans le secteur de la santé, 2016 risque fortement de continuer dans cette lancée.

En février, le Hollywood Presbyterian Medical Center en Californie avait été frappé par un ransomware, qui avait force l’hôpital d’éteindre tous ces ordinateurs et de retourner au bon vieux fax et aux dossiers papier pendant une semaine.

Plutôt que de perdre tous les dossiers médicaux de ses patients, l’hôpital a décidé d’assumer l’attaque et de payer aux cybercriminels la somme de 40 bitcoins, à savoir l’équivalent de 17 000$, afin de récupérer toutes les données piratées.

Bien que les cybercriminels se cachant derrière les ransomwares aient tendance à être intéressés par les données pour la rançon qu’ils pourront réclamer par la suite, les données médicales deviennent de plus en plus lucratives pour ces cybercriminels dans la mesure où ils peuvent vendre ces dernières sur le marché noir.

Comme l’a expliqué IBM, les dossiers médicaux contiennent une mine d’informations qui peuvent utilisées pour la violation médicale d’identité et la fraude :

Typiquement les dossiers médicaux contiennent des données de cartes bancaires, les adresses emails, les numéros de sécurité sociale, des informations sur l’activité professionnelle et un historique complet des dossiers médicaux concernés, qui pour la plupart resteront valides pendant des années voire des décennies. Les cybercriminels utilisent ces données pour lancer des attaques de spear-phishing, commettre des fraudes et dérober l’identité médicale des personnes concernées.

Le secteur de la santé est également une cible privilégiée pour les cybercriminels car il est en retard dans son approche en matière de cybersécurité.

Plus tôt cette année, Sophos a mené une étude au niveau des décisionnaires au sein des services informatique, et ce au travers de plusieurs industries et secteurs d’activité, dans 6 pays, découvrant ainsi un laisser-aller alarmant dans la stratégie de cybersécurité de beaucoup d’organisations.

Notre étude a trouvé que le secteur de la santé avait l’un des taux de chiffrement des données les plus bas, avec seulement 31% des organisations de ce secteur qui utilisaient de manière intensive le chiffrage des données, alors que 20% avait déclaré ne pas utiliser du tout de méthode de chiffrement :

D’autres études ont montré que le secteur de la santé n’avait pas de culture de la cybersécurité.

Une étude de Sophos concernant les organisations  en Angleterre a trouvé que le chiffrement était bien implanté dans seulement 10% d’entre elles, alors qu’une étude menée en 2016 sur le cybersécurité des hôpitaux a trouvé que les dossiers médicaux des patients sont extrêmement vulnérables, du fait d’un manque d’intérêt pour d’éventuelles cyberattaques et de l’insuffisance des actions de formation.

Outre les failles de sécurité perpétrées par les hackers, les données médicales sont fréquemment exposées à des pertes accidentelles, à des vols d’équipements ou encore à la négligence du personnel.

Il ne s’agit pas seulement des hôpitaux mais aussi des cabines de docteurs, des compagnies d’assurances qui échouent dans leurs tentatives de protection des données médicales. D’ailleurs soulignons que certaines entreprises privées laissent également les données médicales confidentielles de leurs employés non chiffrées.

Follow @SophosFrance
//
Billet inspiré de “Why cybercriminals attack healthcare more than any other industry” par John Zorabedian de Naked Security
Partagez “Le secteur de la santé : pourquoi est-il une cible privilégiée des cybercriminels ?” avec http://wp.me/p2YJS1-2EP