Leçons tirées de la violation du système de santé

Une récente cyberattaque a exposé les dossiers médicaux d'une part importante de la population américaine à un risque de divulgation. Change Healthcare, filiale du groupe UnitedHealth, a été victime d'une attaque de ransomware le 21 février. Cette attaque a contraint les hôpitaux et les pharmacies de tout le pays à revenir aux dossiers papier pendant plusieurs jours, voire des semaines, faute de pouvoir vérifier les demandes de remboursement. Cet incident n'est pas un cas isolé. Il souligne l'importance cruciale de promouvoir une culture de cybersécurité solide au sein de chaque entreprise. Les conséquences d'une faille de sécurité en matière de cybersécurité n'ont jamais été aussi graves. Les cyberattaques se multiplient et leur impact s'aggrave. Si vous dirigez une entreprise, vous devez impérativement suivre les conseils de cet article.

Comment est-ce arrivé?

D'après le Wall Street Journal, les pirates d'ALPHV ont utilisé des identifiants volés pour accéder au réseau de Change Healthcare pendant plus d'une semaine avant de lancer leur attaque par rançongiciel. Durant cette période, ils ont dérobé une quantité importante de données des systèmes de l'entreprise, tout en échappant à la détection. On ignore comment RansomHub , un autre groupe de pirates russes, a pu, par la suite, se procurer les données qu'il a publiées sur des forums du dark web en réclamant une seconde rançon.

Comprendre l'impact

Des chercheurs en sécurité estiment qu'une rançon de 22 millions de dollars a été versée à BlackCat/ALPHV lors de cette attaque. Ce montant est d'autant plus surprenant que le groupe de pirates RansomHub a divulgué une part importante de données de patients, prétendument volées lors de cette attaque. Ces données comprenaient des informations de santé protégées (ISP) et des informations personnelles identifiables (IPI) concernant des patients à travers les États-Unis. Il est probable qu'un autre versement de rançon soit effectué à RansomHub, mais nous n'aurons sans doute pas de nouvelles à ce sujet avant un certain temps, voire jamais.

Outre les coûts financiers de cette attaque, Change Health n'a pas pu répondre aux demandes de couverture médicale de ses pharmacies et hôpitaux abonnés. Cela a engendré une frustration et une anxiété considérables, car de nombreux services médicaux ont continué à fournir des services sans autorisation. Les demandes de remboursement de services sont à l'origine de pertes financières à court terme.

Les attaquants auraient exfiltré (volé) plus de 6 To de données de patients et en auraient publié des extraits sur des forums du dark web. Les captures d'écran divulguées contenaient des informations de santé protégées et des informations personnelles, suscitant des inquiétudes quant à une possible utilisation abusive de ces informations, susceptibles d'être utilisées à des fins d'usurpation d'identité, de chantage et d'autres délits financiers.

Réponse et responsabilité

Dans un communiqué public, UnitedHealth Group a exprimé son engagement à gérer les conséquences de l'attaque et à apporter son soutien aux personnes et entités touchées. Cependant, il a précisé que plusieurs mois pourraient être nécessaires pour déterminer l'étendue exacte des données piratées. Cela illustre la difficulté des enquêtes forensiques à comprendre l'étendue d'une intrusion, les données exfiltrées et à prouver ce qui a été volé lors de ces attaques par rançongiciel.

Stratégies d'atténuation

Stratégies d'atténuation de base pour tous

Lors de la première brèche, des identifiants volés auraient été utilisés pour accéder à l'infrastructure VPN ou à une autre solution d'accès à distance. Par conséquent, les bonnes pratiques suivantes seraient probablement utiles pour atténuer cette attaque :

1. Permettre Authentification multi-facteurs sur tous les accès à distance et n'autorise pas l'authentification multifacteur par e-mail ou SMS. Article de CyberHoot explique les 5 principaux risques liés aux solutions MFA et leurs points forts associés.
2. Adoptez un Password Manager Pour tous les employés. Cela permettra d'éviter qu'une violation des identifiants des employés d'un site web ne soit utilisée pour attaquer d'autres services en ligne tels que les VPN. Cette solution est particulièrement efficace en combinaison avec une solution MFA.
3. By Selon les estimations de Deloitte, jusqu'à 91 % des violations sont liés aux attaques de phishing. Peu importe que ce soit 8 % sur 10 ou 91 %. Ce qui est important, c'est de former et de tester vos employés grâce à des formations de sensibilisation et des simulations de phishing. Savoir repérer et éviter les e-mails de phishing est une compétence de base en cybersécurité dont tout le monde a besoin aujourd'hui. Les simulations de phishing en instance de brevet de CyberHoot faites exactement cela, de manière positive et éducative.
4. Effectuer analyse des vulnérabilités L'analyse de votre infrastructure, de l'extérieur vers l'intérieur et vers l'intérieur, et l'analyse de vos réseaux internes. Cela aurait pu identifier des faiblesses dans les solutions d'accès à distance utilisées par Change Healthcare. L'absence d'authentification multifacteur pour l'accès à distance aurait peut-être été découverte, si elle était présente (ce qui n'a pas été confirmé par nos recherches).

Stratégies d'atténuation avancées pour les prestataires de soins de santé

L’utilisation de méthodes telles que le masquage des données et les contrôles d’accès dynamiques peut empêcher les personnes non autorisées d’entrer et rendre plus difficile le vol de données par des pirates informatiques lors de violations comme celle-ci.

1. Masquage des données Il s'agit d'une technique utilisée en cybersécurité pour protéger les informations sensibles en remplaçant les données réelles par des données fictives, masquées ou brouillées. Le masquage des données vise à garantir que les données sensibles restent cachées et protégées contre tout accès non autorisé, tout en permettant aux applications de fonctionner normalement avec ces données masquées.
2. Contrôles d'accès dynamiques Il s'agit de mesures de sécurité qui limitent de manière adaptative l'accès aux données ou aux ressources en fonction du contexte de l'interaction. Elles prennent en compte des facteurs tels que l'identité de l'utilisateur, les caractéristiques de l'appareil, la localisation, l'heure d'accès et d'autres informations contextuelles pour déterminer les droits d'accès en temps réel.

Lors de la violation de données chez Change Healthcare, un masquage des données et des contrôles d'accès dynamiques correctement mis en œuvre auraient fourni une certaine protection contre le vol massif de données qui s'est produit.

Contrôles d'atténuation futurs :

À l'avenir, l'intelligence artificielle sera utilisée pour surveiller l'activité des réseaux et des hôtes. Elle permettra de détecter les activités suspectes, même lorsqu'un utilisateur disposant de privilèges élevés demande ou effectue une exportation massive de données hors réseau. La surveillance actuelle pourrait détecter de telles activités si elle était correctement mise en œuvre via un centre d'opérations de sécurité ( SOC), mais ces solutions sont très coûteuses et complexes à exploiter. L'IA devrait permettre de réduire considérablement le coût de ces services au cours des 12 à 24 prochains mois.

Regard vers l'avenir

Les conséquences de la cyberattaque Change Healthcare nous rappellent brutalement l'évolution du paysage des menaces et la nécessité de mesures proactives de cybersécurité. En adoptant les technologies de sécurité de base et avancées décrites ci-dessus, les organisations peuvent mieux protéger leurs informations sensibles et atténuer l'impact d'éventuelles violations.

Conclusion

La cyberattaque contre Change Healthcare montre combien il est important pour les entreprises de revoir leurs programmes de cybersécurité face aux cyberattaques persistantes. Face à l'évolution constante des technologies, les organisations doivent prendre des mesures pour protéger les informations sensibles qui leur sont confiées. Pour toutes les entreprises, la formation, les tests et certaines mesures techniques peuvent renforcer la protection contre les compromissions. Pour les hôpitaux, le masquage des données et les contrôles d'accès dynamiques peuvent considérablement contribuer à la sécurité des données. Dans un monde où tout est connecté en ligne, rester vigilant et prêt à lutter contre les cybermenaces est plus important que jamais.

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !!!

S'inscrire maintenant

Sources et lectures complémentaires :

• Une « proportion substantielle » d'Américains exposés à la cyberattaque de Change Healthcare