Les attaques informatiques en Italie se succèdent. Après Ferrovie dello Stato, Armani, Martinelli Ginetto, le ministère de la transition écologique et dernièrement la ville de Palerme, c’est l’université de Pise qui est la cible du Ransomware-as-a-Service APLPHV/BlackCat. Les opérateurs derrière cette cyberattaque ont d’ores et déjà commencé à diffuser les premiers échantillons d’informations. Ils auraient en leur possession des plaques d’immatriculation, numéro de téléphone…
Ils laissent apparaître quelques indications sur le site de fuite. L’image capturée et diffusée d’un fichier montre ce qui semble être une table de base de données, « vraisemblablement un serveur SQL », explique à juste titre RedHotCyber. De nombreuses informations telles que les identifiants et les mots de passe associés sont diffusés et lisibles. De plus des numéros de téléphone, des identifiants accompagnés des tokens. Un token d’authentification est un dispositif matériel ou logiciel nécessaire à un utilisateur pour accéder à une application ou à un système réseau de manière « plus sécurisée ».
Des fichiers CSV seraient en possession des opérateurs malveillants. « Lorsque nous mettons ces données dans notre blog, certaines personnes pourraient rencontrer des difficultés dans la vie », menacent-ils. (Crédits : capture d’écran)
Ensuite il affiche une liste de fichier de type CSV. En anglais, comma separated values, est une base des données recueillies. Ainsi ils auraient exfiltré 307 KB de courriel, téléphone comme l’exemple ci-dessus, 15 KB de courriels… « Bonjour, l’Université de Pise. Jouons à “l’Université s’endort, la mafia se réveille” ? UPD : Nous avons 10 k plaques d’immatriculation — téléphone — pass — nom de membre – numéro fiscal – étudiants — professeurs données. Aussi, n’oubliez pas que votre réseau dort profondément », communique ALPHV-Blackcat.
Comme indique la capture d’écran publiée par le chercheur en sécurité Dario Fadda sur le blog « (in)sicurezza digitale », la rançon exigée par le cybergang criminel ALPHV/BlackCat est de 4,5 millions de dollars. (Crédits : (in)sicurezza digitale)
La nouvelle fait froid dans le dos. Les opérateurs seraient en possession de 54 GB de données. Cela représenterait 8 001 dossiers pour 89 273 documents. Mais c’est le montant de la rançon demandée qui est gigantesque : elle est de 4, 5 millions de dollars. Si l’université de Pise règle ce montant avant le 16 juin 2022, autrement il passera à 5 millions.
La ville italienne de Parleme est à l’arrêt depuis l’attaque revendiquée par les opérateurs derrière le Ransowmare-as-a-ServiceVice Society. Cinquième ville la plus peuplée d’Italie, elle est visitée par 2,3 millions de touristes chaque année. Le compte à rebours laisse à la municipalité jusqu’à dimanche 12 juin 2022 peu après 14 h avant de diffuser les données que les individus auraient en leur possession. Ils sont à l’origine d’une agression menée fin avril 2022 contre l’association bancaire italienne (Abi).
Les experts informatiques locaux tentent de rétablir les systèmes depuis l’attaque, tous les services, les sites Web publics et les différents portails restent hors ligne. Selon les médias locaux, les systèmes touchés sont la gestion de la vidéosurveillance publique, le centre des opérations de la police municipale et tous les services de la commune. Ce quelques jours avant des élections municipales dont le premier tour est le 12 juin 2022, le second deux semaines plus tard.
Attacco hacker. Amministrazione comunale: "Garantiti i servizi demografici"
In riferimento al grave attacco hacker dei giorni scorsi alle infrastrutture tecnologiche del Comune di Palermo sono state poste in essere una serie di attività volte a contenere l'attacco ransomware. pic.twitter.com/tjHVEYdNYz
Après une enquête plus poussée, il a été jugé dangereux d’activer l’environnement de récupération, et qu’un processus de redémarrage sur le cloud n’était pas envisageable en raison du temps requit par les opérateurs (Aruba, TIM…) pour l’activation des espaces nécessaires, explique le SIPSI.
Le rapport montre que le 2 juin à 6 h 30, un responsable de Sistema Palermo Innovazione SpA (Sispi) confirmait que le centre de données de la municipalité de Palerme avait subi une cyberattaque de type Ransomware avec une potentielle exfiltration de données. L’attaque a touché l’ensemble de l’infrastructure télématique du centre de données, y compris tous les systèmes d’information de l’entreprise. Des postes de travail répartis dans les bureaux de la mairie de Palerme connectés à celui-ci, le rendant indisponible et provoquant l’interruption totale des services rendus.
« L’attentat, comme le souligne la municipalité de Palerme, ne remet pas en cause la régularité du scrutin du 12 juin, puisque le service de délivrance des certificats électoraux a été rétabli et fonctionne régulièrement », mentionne CorCom.
En ce qui concerne les données, l’administration indique qu’« à ce jour, aucun chiffrage, suppression ou altération des données n’a été détecté, ce qui explique pourquoi les données sont désormais intactes, accessibles et utilisables. Malgré cela, et compte tenu de l’évolution du contexte, des efforts sont déployés pour détecter les éventuels vols de données ».
La société américaine de cybersécurité qui s’est fait connaître en février 2013 après avoir publié un rapport indiquant l’implication de la Chine dans l’espionnage informatique, mais également dans la participation à la réponse apportée à l’attaque contre Colonial Pipeline en mai 2021. Celle qui a été rachetée par FireEye en fin d’année 2013, avant d’en être séparée en juin 2021, a selon le site de fuite de LockBit 2.0 été la cible des opérateurs malveillants. Ils en revendiquent l’attaque et menacent de diffuser des informations sensibles à 22 h 35 ce 6 juin 2022.
Aujourd’hui, lors de la RSA Conference la firme a annoncé le lancement de sa solution de protection contre les risques numériques qui exploite la puissance de la plateforme XDR multifournisseur Mandiant Advantage. Cela pour permettre une vue basée sur l’intelligence de la surface d’attaque globale d’une organisation et de l’activité ayant un impact sur l’entreprise sur le Deep et le Dark Web. La solution comprend les offres Mandiant et est conçue pour octroyer aux responsables de la sécurité d’atténuer de manière proactive les menaces avant qu’elles ne perturbent les opérations commerciales, explique la compagnie.
Alors que Microsoft était pressentie pour un rachat, c’est Google qui allait pouvoir intégrer les services de Mandiant dans son offre cloud pour la coquette somme de 5,4 milliards de dollars. Mandiant est l’un des leaders mondiaux dans le domaine de la cyberdéfense et de la réponse dynamique aux incidents. L’annonce était effectuée le 8 mars 2022.
« Pour rester implacables face aux cyberattaques de plus en plus sophistiquées et persistantes, les défenseurs doivent également avoir un aperçu de la surface d’attaque externe », a déclaré Chris Key, directeur des produits chez Mandiant. « Grâce aux renseignements et à l’expertise de première ligne de Mandiant, Digital Threat Monitoring et la solution de protection des risques numériques de Mandiant permettent aux défenseurs de transformer rapidement et facilement les informations en action pour atténuer les risques et aider à garder une longueur d’avance sur les menaces. »
Il est difficile de protéger une position, si cette dernière n’est pas connue. Une surface d’attaque externe est la somme des actifs qui peuvent être exploités lors d’une attaque. Cela va des noms de domaine, certificats SSL, protocoles aux systèmes d’exploitation, serveurs, appareils IOT et services réseau. (Crédits : Reposify)
Le nouveau module « Digital Threat Monitoring » est conçu, assure Mandiant, pour surveiller en permanence Internet, y compris le Deep et Dark Web, les blogs, les marchés clandestins, les médias sociaux… pour aider les organisations à découvrir les différentes conversations sur leur marque, et plus encore.
Alors que se déroule du 6 au 9 juin la RSA Conférence qui est le grand rendez-vous des professionnels de la Cyber Sécurité à San Francisco, l’un des leaders du domaine devrait voir des renseignements sensibles ou ultrasensibles se retrouver sur le site de fuite du Ransomware LockBit 2.0.
Les utilisateurs bénéficient d’une notification précoce des menaces d’une attaque imminente ou d’une fuite de données ou d’informations d’identification non détectée existante, permettant une réponse et une correction plus rapides, promet Mandiant. Les opérateurs derrière le ransomware LockBit auraient probablement imité une attaque contre la société de cybersécurité pour faire valoir sa non affiliation à un groupe basé en Russie. « Notre groupe n’a rien à voir avec Evil Corp. Nous sommes de vrais hackers underground du darknet, nous n’avons rien à voir avec la politique ou les services spéciaux comme le FSB, le FBI, etc. Nous sommes un groupe multinational, notre programme de partenariat comprend non seulement des Russes, mais aussi des Américains, des Chinois, des Iraniens, des Ukrainiens et de nombreuses autres nations », peut-on lire dans la déclaration.
L’auteur de cette déclaration s’offusque de la Presse Jaune avide d’article de faible qualité mais procurant de nombreux “click” sur leur site WEB. “Ce n’est pas parce que FoxConn sera attaqué par tous les affiliés de ransomware du monde que Maxim Yakubets se cache derrière leurs marques.” (Crédits : capture d’écran)
Mandiant affirme après avoir examiné le communiqué de LockBit, la société a déclaré que les pirates pouvaient avoir d’autres motifs à l’esprit. « Sur la base des données qui ont été publiées, rien n’indique que des données de Mandiant ont été divulguées, mais l’acteur semble plutôt essayer de réfuter le blog de recherche de Mandiant du 2 juin 2022 sur UNC2165 et LockBit », déclarait la société à Cybernews. Tout laisse à penser, jusqu’à preuve du contraire que cette affaire soit une campagne de communication. Le site de fuite de LockBit montre un fichier intitulé « mandiantyellowpress.com.7z » dans lequel sont disponible quatre captures d’écran et deux photos de voiture de luxe. « J’ai été véritablement surpris de lire des tweets venant de la presse jaune, Mandiant ne sont pas des professionnels », explique le communiqué de LockBit. En ajoutant que « le fait que quelqu’un utilise des outils similaires ne peut pas être la preuve que l’attaque est faite par la même personne », et mentionne que tous les scripts et outils sont disponibles sur la toile (Forum, Google, Githab).
Tandis que l’Argentine s’imposait 3 à 0 face à l’Italie, mercredi 1er juin 2022, dans un match de gala disputé à Wembley, deux entités sud-américaines se confrontaient à des cyberattaques rendues publiques. En premier, l’hôpital Julio Cecilio Perrando situé à Resistencia et la société Artear à Buenos Aires essuyait chacun une attaque informatique. Ces incidents des systèmes d’information rappellent celui subit par le Sénat argentin au mois de janvier 2022.
La province de Chaco voyait son Tribunal supérieur de Justice (TSJ) annoncer que tous les services numériques étaient suspendus jusqu’au dimanche 16 janvier 2022, en raison de lignes de codes malveillantes qui avaient infecté les serveurs. Le 1er juin 2022, l’hôpital Perrando aurait selon les médias eu un message indiquant que pour récupérer leurs données chiffrées, l’organisme de santé devait acquitter une certaine somme.
Les autorités n’affirment ni ne confirme s’il s’agit d’un ransomware, cependant les données seraient rendues illisibles, et pour pouvoir obtenir la clé de déchiffrement, il serait demandé une rançon, ce qui ressemble trait pour trait à la méthode d’un ransomware. (Crédits : DiarioNorte)
La directrice, Nancy Trejo, a confirmé l’information au quotidien argentin « Diario Norte » ce qui s’était passé. Elle a toutefois assuré que cette mésaventure « n’affecte pas » les traitements aux bénéficiaires de soins et que les services sont assurés. « Toutes les procédures administratives et judiciaires ont été effectuées. […] les soins ambulatoires et hospitaliers sont totalement garantis. La seule chose à laquelle nous ne pouvons pas accéder est l’historique médical du patient, mais les soins ne sont pas entravés », confirme NancyTrejo dans une interview accordée à Ciudad Television. Ce qui vient en contradiction à la déclaration d’un professionnel de santé ajustant que « vous ne pouvez pas accéder aux dossiers médicaux ou aux rendez-vous et il est difficile de visualiser des études telles que les tomodensitogrammes ou les radiographies ».
Le même jour de juin, Artear, a subi une attaque informatique touchant certains de ses systèmes et son réseau de données, selon les médias de la société. Arte Radiotelevisivo Argentino (Artear) est une société appartenant au Grupo Clarín qui se consacre à la production et à la diffusion de diverses chaînes de télévision telles que eltrece, TN, Magazine, Quiero, Volver, Canal á.
Le quotidien Télam mentionne qu’un gazouillis (ci-dessus) sur le compte de Telenoche, supprimé peu après sa publication, indiquait que « la société, qui possède les principales chaînes de télévision, a subi un piratage apparemment par un groupe russe et pour lequel ils demandaient de l’argent en échange » et en a attribué la responsabilité à un « groupe russe ».
COMUNICADO DE ARTEAR
En las últimas horas ARTEAR (eltrece, TN, Magazine, Quiero, Volver, Canal á) fue objeto de un ataque informático que afectó su red de datos y sistemas, pero mantiene intacta la operación de sus señales de TV y plataformas digitales. 1/2 pic.twitter.com/Wyl1peVyZ1
Bien que la teneur de l’attaque ne soit pas encore connue, une note publiée dans Clarín souligne qu’à l’instant les opérateurs malveillants « n’ont pas demandé de rançon, mais il n’est pas exclu que cela se produise dans les prochaines heures […] ».
Le 8 mai 2022, le président du Costa Rica, Rodrigo Chaves, déclarait l’état d’urgence national. La mesure était prise à la suite d’attaques informatiques envers les systèmes gouvernementaux perpétrés par les opérateurs derrière le Ransomware-As-A-Service, Conti. Hier 31 mai 2022, c’est la Caisse de sécurité sociale du Costa Rica (Caja Costarricense de Seguro Social : CCSS) qui venait de subir une attaque par codes malveillants.
Aux premières heures du 31 mai 2022, la Caisse de sécurité sociale costaricienne essuyait une attaque informatique. Peu de temps après l’avoir détecté, tous les systèmes d’information sont par mesure de précaution, hors service annonçait la CCSS. Les tentatives d’accès ont détecté à 2 heures du matin, moment où les premières actions ont été immédiatement prises pour télécharger préventivement tous les systèmes d’information et éviter les dommages aux bases de données et aux processeurs. « Nous travaillons […] pour déterminer la marche à suivre et la manière de lever les systèmes critiques », a confirmé le directeur des technologies de l’information et de la communication de la CCSS, Roberto Blanco Topping.
Une conférence de presse de plus de 45 minutes retransmise en vidéo a permis aux différents intervenants de confirmer que la CCSS a été la cible d’une attaque informatique de type ransomware, et de la conduite à tenir pour les personnes recevant des soins, et ceux à venir. (Crédits : capture d’écran/CCSS/Facebook)
Depuis le début du mois de mai 2022, la CCSS coordonne et travaille avec le ministère des Sciences, de l’Innovation, de la Technologie et des Télécommunications et la Commission nationale d’urgence, dans le but de renforcer les actions visant à améliorer la portée de la cybersécurité institutionnelle. Lors d’une conférence de presse, l’organisme de santé a confirmé que l’attaque a, pour l’instant, touché 2 % de ses serveurs, de sorte qu’elle devra les examiner un par un pour exclure tout problème. « L’institution, lorsqu’elle a détecté le problème, a fermé les systèmes et restreint l’accès. Nous avons déconnecté tout Internet pour empêcher le cryptage et l’encapsulation des informations sur les serveurs. Nous avons, à ce jour, 30 serveurs touchés sur plus de 1 500, ils sont déjà identifiés, donc c’est assez contrôlé », informait Álvaro Ramos, président exécutif de la Caja.
Sur un document de sept pages, l’ensemble des hôpitaux mentionnent les différents numéros de téléphone à contacter pour obtenir des renseignements. Conti a exfiltré 672,19 GB de données de différentes organisations gouvernementales, comme le ministère des Finances. (Crédits : DR)
Les analyses ne permettent pas de certifier ni d’affirmer la date de reprise dite normale des systèmes, mais ils semblent afficher un optimisme à toute épreuve. « Nous devons effectuer un processus de vérification, mais, contrairement au piratage du ministère des Finances, il n’y a pas de demande de rançon sous forme d’argent et il est fort possible qu’ils n’aient pas réussi à crypter le système ni la base de données. Il nous semble, à titre préliminaire, qu’ils n’ont pas encapsulé les systèmes ou la base de données », a-t-il ajouté.
« Les ordonnances doivent être manuelles, la pharmacie doit donner les médicaments et rédiger les ordonnances manuellement, bien sûr cela entraîne un retard, cependant, les services sont renforcés pour ne pas affecter le patient. »
Pour autant une liste de numéros de téléphone a été mise à la disposition du public. Car le service de radiothérapie est totalement arrêté à l’hôpital Mexico. C’est ce qu’a confirmé le directeur du centre médical, Douglas Montero, lors d’une interview accordée à Teletica. La première conséquence de la cyberattaque de la CCSS. « En réalité, c’est tout l’hôpital qui est touché, les zones médicales, cliniques et administratives », a déclaré M. Montero.
Ce qui était décrit comme un « incident à l’échelle du réseau » plus tôt cette semaine est en fait une attaque informatique. La nature de l’attaque n’a pas encore été précisée, mais le district a confirmé qu’elle a touché un grand nombre de ses systèmes informatiques. Par prudence, l’entité pédagogique affirmait que tous les systèmes basés sur Internet, tels que le courrier électronique et d’autres outils éducatifs, étaient hors ligne.
Les comptes des différents médias sociaux, Facebook, Twitter des écoles publiques canadiennes de Regina serviront pour les communications officielles. Peu avant 11 h, jeudi 26 mai 2022, elles affirmaient qu’« après plusieurs jours d’enquête, il est apparu clairement que la division scolaire a été victime d’une attaque de cybersécurité le 22 mai 2022. » Les informations destinées aux familles des élèves seront communiquées par l’intermédiaire des écoles, affirment les autorités.
Au niveau des investigations, le district n’est pas en capacité de préciser si des données privées, élèves, enseignants, établissements… ont été exposées. Les parents et tuteurs doivent également s’attendre à recevoir des nouvelles par l’intermédiaire des écoles de leurs enfants. Le ministère de l’Éducation a déclaré qu’il était au courant de la cyberattaque et qu’il comprenait que la division des écoles publiques de Regina « prenait les mesures appropriées pour remettre le système informatique en ligne. » Tout signalement d’absence s’effectuera par voie téléphonique encouragent les écoles. « Les écoles publiques de Regina s’engagent à maintenir l’intégrité de leur infrastructure informatique et à protéger les renseignements concernant les élèves, les familles, les employés et les partenaires. »
Le personnel en charge de l’informatique d’hôpitaux de Toronto de se rendait compte, le 25 janvier 2022 de signes inhabituels. La conséquence, la fuite des données personnelles des patients de l’hôpitalBirchmount, de Scarborough, de Centenary, ainsi que celui d’AjaxPickering avant sa fusion avec LakeridgeHealth. La cyberattaque a été révélé quatre mois après. Les experts n’ont, actuellement, pas encore détecté d’utilisation malveillante des données.
Le 25 janvier 2022, des manifestations d’activité anormale sur ses systèmes informatiques étaient repérés, le personnel prenait immédiatement des mesures pour contenir, puis examiner l’incident avec l’aide d’experts en cybersécurité extérieurs. Le Scarborough Health Network a publié un communiqué (ci-dessous) concernant un évènement impliquant un accès non autorisé à des données contenues dans « plusieurs » de ses serveurs. L’attaque a été confirmée le 25 mai 2022 : « malheureusement, étant donné la complexité de l’incident, nous ne sommes pas en mesure de déterminer quelles personnes ont été directement touchées », peut-on lire dans un message mis en ligne sur le site Web des SSPSM. Ils appuient que l’opérateur malveillant a été exclu du système le 1er février 2022.
Ils offrent un abonnement de deux ans à TransUnion myTrueIdentity, pour la surveillance de l’Internet, jusqu’aux profondeurs du web concernant les données personnelles, identitaires et financières potentiellement exposées afin d’aider à protéger les consommateurs contre le vol d’identité. (Crédits : capture d’écran)
Les données qui ont pu être consultées comprennent par individu :
Nom du patient
Sexe
Date de naissance
État civil
Adresse du domicile
Numéro de téléphone
Adresse électronique
Numéro de police d’assurance
Noms des prestataires
Numéros du fournisseur (HCP Health care provider) et du CPSO (College of Physician and Surgeons of Ontario)
Description de l’intervention
Ordonnances
Résultats
Noms et numéros du médecin traitant et/ou du médecin prescripteur
Informations, constatations, rapports médicaux, cliniques et diagnostics
Rapports de laboratoire et résultats
Dossiers de traitement et d’immunisation COVID-19 pour les personnes admises aux SSPSM
Noms et numéros du personnel
« Les SSPSM prennent très au sérieux la confidentialité et la sécurité des coordonnées et des renseignements personnels des patients, du personnel et des entreprises, et nous regrettons sincèrement que cet incident se soit produit, a déclaré la présidente-directrice générale des SSPSM, Elizabeth Buller, dans un communiqué de presse. Je tiens à assurer aux patients que nous avons agi aussi rapidement que possible pour contenir et enquêter sur l’incident afin de nous assurer que nos opérations cliniques n’ont pas été affectées. En outre, toutes les améliorations en matière de sécurité informatique qui ont été identifiées à la suite de notre enquête ont été immédiatement prises en compte. »
La compagnie aérienne à bas prix SpiceJet se dit victime d’une attaque par code malveillant de type ransomware. Le siège est situé en Inde, à Gurgaon. Elle est la deuxième entreprise indienne par le nombre de passagers transportés au sein du pays. Elle dispose de 630 vols quotidiens vers 65 destinations, dont 56 indiennes et 9 internationales. L’attaque s’est déroulée dans la nuit de mardi à mercredi 25 mai 2022.
La compagnie aérienne indienne SpiceJet a déclaré que ses systèmes ont fait face à une « tentative d’attaque par ransomware » mardi 24 mai 2022. Ce qui a occasionné des retards de vols et laissés de nombreuses personnes bloquées dans les aéroports. La compagnie annonçait le 25 mai 2022 à 11 h 30 sur Twitter que les systèmes informatiques « ont fait l’objet d’une tentative d’attaque par ransomware la nuit dernière qui a eu un impact sur nos opérations aériennes. Bien que notre équipe informatique ait, dans une large mesure, maîtrisé et rectifié la situation, cela a eu un effet en cascade sur nos vols, entraînant des retards. »
#ImportantUpdate: Certain SpiceJet systems faced an attempted ransomware attack last night that impacted and slowed down morning flight departures today. Our IT team has contained and rectified the situation and flights are operating normally now.
« Notre équipe informatique a maîtrisé et corrigé la situation et les vols fonctionnent désormais normalement », a-t-elle tweeté à 5 heures. (Crédits : Twitter)
Les conséquences pour l’organisation d’une compagnie, qu’elle soit ferroviaire ou aérienne est catastrophique. Elle est un ballet millimétré où un seul grain de sable fait dérailler la machine. Plusieurs vols ont été retardés ou annulés aujourd’hui mercredi 25 mai 2022, les passagers se plaignant du manque de service.
Operating normally?? We are stuck here since 3 hrs and 45 mins? Neither cancelling nor operating, sitting in the flight not even the airport. No breakfast, no response! pic.twitter.com/dAfdIjzVzH
Un passager de la compagnie, MuditShejwar, se plaignait sur Twitter de n’avoir aucune réponse à son attente, et ses questions ni de quoi se restaurer durant presque quatre heures. Le communiqué reçu à bord, selon les gazouillis est qu’ « un serveur est en panne ». (Crédits : Twitter)
La compagnie aérienne indienne rassurait ses clients et communiquait sur le fait que « certains vols vers des aéroports où il existe des restrictions sur les opérations de nuit ont été annulés. SpiceJet est en contact avec des experts et des autorités de cybercriminalité sur la question. Nous regrettons tout désagrément. Parfois, en raison d’un flux important, il est possible que notre exécutif ne soit pas en mesure de s’occuper de vous en priorité. Vous pouvez essayer après un certain temps. Notre équipe vous assistera en conséquence. »
Depuis plus de deux semaines, les services de Santé au Groenland sont « sévèrement limités », suite à l’attaque informatique les visant indique le Naalakkersuisut. Le service de santé doit redémarrer tous les systèmes et serveurs informatiques aujourd’hui, ce qui signifie, entre autres, que le personnel ne peut pas accéder aux dossiers des patients. Mais lorsque vous vous trouvez sur une île, cela prend une proportion toute différente.
Tout a commencé, aux alentours du 9 mai 2022, lorsque le gouvernement annonçait qu’une « panne de système » informatique avait entraîné la mise hors service de « Doktor.gl ». Ce portail en ligne est utilisé par les citoyens du Groenland pour leurs rendez-vous médicaux, et renouvellement des ordonnances. Le 18 mai, une notification indique qu’« il est maintenant clair que la panne de système récente a été causée par des cyberattaques ». Depuis le communiqué, les patients sont informés qu’ils doivent s’attendre à des temps d’attente plus longs que d’habitude et que certains rendez-vous devront peut-être être annulés. L’entité conseille aux personnes de contacter le service de santé par téléphone plutôt que par courriel.
À ce stade, les analyses techniques montrent qu’aucun dommage n’aurait été occasionné aux données des Groenlandais ni qu’elles ont été copiées. Pour autant les enquêteurs demeurent prudents. Les investigations sur l’ampleur de la cyberattaque sont toujours en cours. (Crédits : naalakkersuisut)
Le 25 mars dernier, une autre attaque a contraint le Parlement du pays à annuler toutes ses réunions pendant une huitaine. Ses systèmes numériques ont été paralysés, et le gouvernement n’a pas été en mesure de distribuer à temps les prestations sociales à ses citoyens. La majorité des services avaient été rétablis dans la semaine qui a suivi. « Par coïncidence, les attaques contre le service de santé du Groenland sont survenues presque exactement cinq ans après que le ransomwareWannaCry a frappé le National Health Service (NHS) du Royaume-Uni, faisant les gros titres dans le monde entier », rappelle Graham Cluley.
Le gouvernement a demandé à ses administrés de se rendre au centre de santé de la reine Ingrid à Nuuk, pour renouveler leurs ordonnances. « Le service de santé continue de rencontrer des difficultés informatiques après la cyberattaque », selon la dernière notification du gouvernement. (Crédits : DR)
Tous les systèmes informatiques et les serveurs associés aux services de santé ont dû être redémarrés, coupant l’accès aux dossiers des patients. IreneJeppson, porte-parole du gouvernement, a déclaré au journal Sermitsiaq : « Ce que nous savons, c’est qu’il s’agit très probablement des mêmes pirates qui ont attaqué le réseau de l’administration centrale il y a quelques mois. On peut en retrouver la trace dans la procédure et les empreintes techniques laissées sur le réseau. L’administration centrale et le service de santé [cependant] n’ont pas le même fournisseur d’exploitation et donc, rien n’indique que l’attaque est liée aux fournisseurs d’exploitation. »
Les attaques par ransomware ou tout autre moyen, occasionnent des dégâts sur les systèmes d’information, mais aussi sur la vie privée à travers les infos exfiltrées. Concernant le collège de Montmorency, situé à Laval au Québec dont « certains renseignements personnels » relatifs aux étudiants et aux employés de l’établissement « ont potentiellement été compromis ». L’Arnprior Regional Health dont la cyberattaque de décembre 2021 compromet des données datant de plusieurs décennies.
Depuis le 11 mai 2022, le réseau interne du collège Montmorency est paralysé précisait le communiqué. « Des informations nous poussent à croire que l’intégrité de nos infrastructures informatiques semble avoir été compromise », avait indiqué la direction. Le collège d’enseignement général et professionnel (cégep) public de Laval est victime d’une attaque informatique. Selon les premières constations l’établissement a juger que la situation nécessitait l’intervention de différentes entités, le centre opérationnel de cyberdéfense de Québec, du ministère de la Cybersécurité et du Numérique, mais d’une entité externe à savoir KPMG, spécialisée en cybersécurité.
Le Collège Montmorency offre 5 programmes de formation préuniversitaire, 23 en technique, dont 19 en alternance. Il accueille plus de 7000 étudiants et étudiantes à l’enseignement régulier, donc un nombre conséquent de data. (Crédits : DR)
L’enquête lancée à la suite de l’attaque admet que certains renseignements personnels se trouvant sur les serveurs informatiques de l’établissement d’enseignement pourraient être tombés dans les mains de gens malintentionnés. « Actuellement, selon l’information que nous détenons, une partie seulement des systèmes informatiques du Collège semble avoir fait l’objet d’exfiltration de données, et ce, pour une période limitée, ce qui explique que nous n’avons aucune preuve qui confirme que les informations relatives aux étudiantes et aux étudiants sont mises en cause », a précisé la direction.
L’entité médicale Arnprior Regional Health attaquée
L’ARH, situé à Arnprior dans l’Ontario au Canada, est constitué d’un hôpital, d’un établissement de soins de longue durée et d’autres services de santé. Le 21 décembre 2021, déclarait sur son site Web avoir été averti en décembre 2021 « d’un accès non autorisé à notre système informatique. Notre enquête a confirmé que les informations personnelles de certains de nos patients ont été consultées. » Malheureusement, le 1er avril 2022, les enquêtes en cours ont révélé que certaines données de l’ADFHT avaient, en fait, été compromises. La cyberattaque détectée a compromis un large éventail de données, dont certaines remontent à 1996 (coloscopies, les vaccinations contre le COVID-19 et la grippe, les enquêtes de satisfaction des services d’urgence et des patients hospitalisés, et les patients sur les listes d’attente).
Les données personnelles et de santé potentiellement compromises comportaient le nom, la date de naissance, le numéro de santé, l’heure de la visite, la procédure et le diagnostic, et des indications démographiques. (Crédits : DR)
« Tant que les établissements de santé ne regardent pas au-delà des systèmes de production actuels et ne comprennent pas tous les endroits [où les données des patients] sont stockées, conservées, traitées ou transmises au sein de leur organisation – et n’appliquent pas les contrôles de sécurité appropriés à tous les niveaux – il n’est pas surprenant que des violations de cette ampleur se produisent. », déclarait Cathie Brown, vice-présidente des services de conseil chez Clearwater.
L’utilisation de nos données peut être à des fins criminelles, mais elles peuvent servir dans une manipulation à des fins commerciales ou politiques, comme le fut Facebook/CambridgeAnalytica. Mais elle n’est pas la seule, une invasive en France, celle avec le Compte Personnel Formation (CPF). (Crédits : Roma1880/Pixabay)
En France, La Quadrature du Net lutte pour qu’elles ne soient pas considérées comme des marchandises, mais pas seulement. Elle met tout en œuvre « pour qu’aucune entreprise ne puisse surveiller nos comportements et nous manipuler à des fins commerciales ou politiques, notamment en sélectionnant la publicité et les informations que nous recevons. Elle lutte pour qu’aucune décision sur nos vies (emploi, crédit, études, etc.) ne soit prise automatiquement sur la base de ces données. »
