Une attaque en mode furtif

Une radiographie disparaît. Un logiciel de laboratoire perd les pédales. Un pilulier se met subitement à doubler les doses de médicaments. Ce qui ressemble à un scénario de film constitue un danger réel pour les hôpitaux. Car la prochaine cyberattaque menace déjà.

Une cyberattaque ciblant un hôpital peut être mortelle. Or, la menace se fait grandissante. Il y a belle lurette que des personnes mal inten­ tionnées ne se contentent plus de voler des données, mais s’en prennent aussi aux systèmes qui assurent l’exploitation d’un hôpital. Comme de nombreuses autres grandes organisations, l’hôpital universitaire de Zurich (USZ) refoule chaque mois un nombre à cinq chiffres de ten­ tatives d’attaque. Le mode opé­ ratoire des cybercriminels est similaire à celui des cambrio­ leurs qui malmènent poignées de portes et cadres de fenêtres en espérant trouver une brèche. À ceci près que, dans le cas de l’USZ, c’est en dizaines de milliers que se comptent les tentatives d’intrusion. De solides connaissances informatiques ne sont même plus requises pour exécuter des cyberattaques so­ phistiquées: de nos jours, les cybercriminels vendent leurs méthodes d’attaque au titre de service incluant un logiciel malveillant prêt à l’emploi, des programmes d’attaque auto­ matisés et même l’assistance technique! Erik Dinkel, Chief Security Officer de l’USZ, connaît le scénario de menace sur le bout des doigts: «Nous travaillons jour et nuit, 7 jours sur 7. Un hôpital ne peut pas se permettre d’être déconnecté.» Or, c’est justement la menace qui plane lorsque des cyber­ criminels s’introduisent dans les réseaux.

Cyberattaques: une opération lucrative

Consistant initialement en des attaques menées occasionnel­ lement par des hackers, la cybercriminalité s’est transfor­ mée en quelques années en une industrie qui se chiffre en mil­ liards. Outre les opérations mal­ veillantes automatisées, les at­ taques ciblées augmentent. Les rançongiciels sont particulière­ ment perfides: ils s’introduisent incognito dans un système et chiffrent toutes les données pour paralyser l’ensemble de l’informatique. Dossiers médi­ caux, prises de rendez­vous, données de laboratoire: tout à coup, plus rien ne fonctionne, tout est bloqué. Un message s’affiche alors: vos données ont été verrouillées. Pour les récu­ pérer, payez la somme de cinq millions en bitcoins. La seule al­ ternative? Une réinstallation qui prend des semaines, ce qui implique des pertes financières considérables et des risques incalculables pour la prise en charge des patients. Les hôpi­ taux sont des cibles particuliè­ rement attrayantes, car ils su­ bissent une forte pression: une panne informatique peut être fatale! Conscients de cet enjeu, les cybercriminels exercent un chantage pour réclamer une rançon. De plus, les données de patients dérobées sont très convoitées sur le darknet. Si les cartes de crédit peuvent être bloquées, les données médi­ cales, elles, restent valables toute une vie. Les criminels les utilisent pour usurper des iden­ tités, commettre des fraudes à l’assurance ou se lancer dans le commerce illégal de médica­ ments. Ils se servent d’authen­ tiques données de patients pour transmettre des factures médicales falsifiées ou s’attri­ buer des soins coûteux sous une fausse identité. Des cabi­ nets médicaux fictifs exploités sous des identités volées fac­ turent des prestations jamais fournies. «La cybercriminalité est un danger auquel doit se préparer chaque organisation, qu’il s’agisse d’un hôpital ou d’une PME», souligne Erik Dinkel, qui en appelle à ce qu’un soin particulier soit apporté au développement des logiciels: «Souvent, ce sont de petites erreurs évitables contenues dans les programmes qui pro­ voquent plus tard des failles de sécurité.»

Manque de protection derrière les remparts

Prenant la forme de demandes d’accès légitimes, les cyberat­ taques modernes passent sou­ vent inaperçues. On ne s’en rend compte que lorsque des données sont verrouillées ou dérobées, et il est alors trop tard. Les dommages sont sou­ vent énormes. Erik Dinkel consi­ dère comme dépassée la vision de systèmes informatiques qui ne pourraient être défendus que grâce à des remparts, à l’instar des châteaux forts. «Au­ jourd’hui, notre monde est plus connecté et plus complexe en raison des appareils mobiles, du télétravail et des services de cloud. Il n’existe plus un seul et unique château fort, mais plu­ sieurs, de petite taille. Ce qui est important, c’est que nous sachions ce qui se passe dans ces châteaux et entre eux.» Mais quels sont les moyens de protection pour un hôpital qui ne peut pas simplement se mettre hors ligne?

Ensemble contre les cyberattaques

Tout commence par un mouvement suspect dans le système. Peut­être une consultation de données inhabituelle, la nuit, ou une connexion insolite depuis les Bahamas. Les événements de ce type peuvent être inof­ fensifs ou être le premier signe d’une attaque. Chaque seconde compte lorsque des personnes malveillantes se déplacent dans un système en mode furtif. C’est pourquoi l’USZ a investi ces der­ nières années dans la détection systématique et centralisée des cyberincidents et des failles, ce qui lui permet de réagir vite. L’hôpital s’est adjoint le concours de partenaires externes: Swiss Post Cybersecurity SA apporte son soutien à l’équipe interne en recourant à des technolo­ gies ultramodernes et en analy­ sant les menaces. La pièce maîtresse de ce partenariat est le Security Operations Center (SOC), une centrale d’interven­ tion qui surveille à tout moment l’activité numérique et réagit immédiatement en cas de dan­ ger avéré. Le SOC repose no­ tamment sur la Cyber Defense Platform qui, à l’instar d’un sys­ tème d’alarme intelligent, dé­ tecte précocement les modèles de mouvement suspects et dé­ clenche automatiquement des mesures de protection. Néan­ moins, même la technique la plus élaborée ne peut exclure les erreurs humaines.

Le facteur humain

Il suffit souvent d’une simple négligence, aussi minime soit­ elle. Un membre du personnel reçoit un e­mail, provenant ap­ paremment du service IT, dans lequel on lui demande de confir­ mer son mot de passe. Or, il s’agit d’un piège qui permet aux cyberattaquants de s’introduire dans la brèche. Sachant qu’une erreur humaine est à l’origine de 90% des cyberattaques réus­ sies, l’USZ sensibilise le per­ sonnel de façon approfondie par des attaques de phishing simulées et des formations. Erik Dinkel évoque un changement culturel: «ll ne s’agit pas de faire peur, mais de prendre ses res­ ponsabilités. La sécurité com­ mence avec les individus, pas avec la technique.» Il y a long­ temps que la cybercriminalité n’est plus une menace abs­ traite. L’USZ s’y est préparé. «Les cyberattaques ne cessent d’évoluer, nos mesures de sé­ curité doivent suivre», indique Erik Dinkel. «La sécurité n’est pas un état qu’on atteint un jour, c’est un processus continu.»