Plus d’un demi-million de Françaises et Français affectées. Après la divulgation détectée en Bretagne, il y a quelques mois de cela, c’est encore une fois une fuite des données de santé qui potentiellement se retrouve sur la toile. Le secteur de la santé reste une cible de choix pour les cybercriminels, à l’instar de Lapsus$ et l’attaque du ministère de la Santé brésilienne, en 2021. Hasard du calendrier, quand en France, le gouvernement vient de lancer sa campagne pour « Monespacesanté », et que les premiers mails et courriers parviennent aux assurés de l’hexagone.
L’organisme annonce dans un communiqué avoir détecté une fuite de données affectant 510 000 de ses affiliés. Elle spécifie également que parmi les données dérobées se trouvaient « des données d’identités (nom, prénom, date de naissance, sexe) ainsi que des données relatives aux droits (déclaration d’un médecin traitant, attribution de la complémentaire santé solidaire ou de l’aide médicale d’État, éventuelle prise en charge à 100 %) ».
En l’état des investigations, qui se poursuivent, 510 000 assurés sont concernés par cette fuite de données. Ceux-ci seront informés individuellement de cet incident et sensibilisés au risque accru d’hameçonnage dont ils pourraient faire l’objet. (Crédits : capture d’écran/Assurance maladie)
L’Assurance Maladie précise avoir détecté le phénomène aux alentours du 11 mars 2022, et explique que les adresses IP utilisées pour réaliser cette collecte d’informations ont été immédiatement bannies et les comptes compromis réinitialisés. Il ressort des premières analyses que les opérateurs ont pu se connecter à 19 comptes de professionnels de santé dont les adresses e-mail avaient été compromises. Elle indique que les personnes concernées par cette fuite de données seront prévenues individuellement et « sensibilisées au risque accru d’hameçonnage dont ils pourraient faire l’objet ». L’Assurance Maladie a adressé une notification à la CNIL le 16 mars 2022 et dépose ce jour une plainte pénale.
Mon espace Santé
Hasard du calendrier, les premier courriels concernant « Mon espace santé » sont arrivés sur les boites mail cette semaine, en fonction de l’échéancier préétabli. Il contient « un Dossier médical partagé (DMP), ou espace de stockage et de partage d’informations médicales, une messagerie sécurisée, un agenda ainsi qu’un catalogue de services numériques de santé. » Selon le Ségur du numérique en santé, son ambition affichée est de « généraliser le partage fluide et sécurisé de données de santé entre professionnels et usagers pour mieux soigner et accompagner. » À l’instant même où des comptes de professionnels de santé viennent d’être « piratés ». Sera-t-il protégé à 100 % ? Rien de plus simple, la réponse est non. Je suis catégorique, car, je me suis amusée à effectuer le MOOC l’ANSSI. Vous y trouverez l’ensemble des informations pour « vous initier à la cybersécurité, approfondir vos connaissances, et ainsi agir efficacement sur la protection de vos outils numériques. Ce dispositif est accessible gratuitement. Le suivi intégral de ce dispositif vous fera bénéficier d’une attestation de réussite. » Il n’a pas vocation à déterminer votre choix sur « Mon espace santé », mais de voir plus clair sur ce qu’est l’Internet.
La fuite ne concernerait pas « les coordonnées de contact (e-mail, adresse, téléphone) et coordonnées bancaires, ainsi que les données relatives aux éventuelles pathologies/maladies et à la consommation de soins, ne sont pas concernées », assure l’organisme. (Crédits : capture d’écran/Assurance Maladie)
Deux points de vue vont alors s’affronter. Le premier est l’individu ultra connecté, qui ne peut pas faire un pas sans son ordiphone, ou smartphone. « Plus besoin de s’embêter à tout apporter à chaque visite médicale. Quand on a des enfants, c’est pratique. Dès que c’est opérationnel, je le ferais », explique une personne interrogée. De l’autre, des voix, comme la Quadrature du Net s’alarme. « Nous avons passé en revue les fonctionnalités de Mon Espace Santé et force est de constater qu’elles présentent des insuffisances alarmantes en matière de respect du consentement et de gestion des données de santé. » Vous avez le choix d’accepter la création, ou de vous y opposer. À défaut de choix, votre espace sera crée automatiquement. Si vous faites machine arrière, et que vous souhaitiez clôturer votre espace santé « vos données seront conservées 10 ans. Vous pouvez demander la suppression de toutes vos données, de celles de votre enfant ou de la personne majeure dont vous assurez la représentation lors de la clôture de Mon espace santé. » Votre choix sera le bon, car il est celui qui vous convient le plus.
Les datas, si vous aviez encore un doute, se négocient à prix d’or. Car, elles sont une denrée plus chère que le fameux et légendaire lingot de métal jaune. Il suffit de se pencher sur un moteur de recherche pour mentionner vol et santé pour que vous ayez sous vos yeux plusieurs liens possibles. Le dernier en date en France, concerne l’affaire des 1, 4 millions de personnes dont les renseignements de test contre le SARS-CoV-2 furent dérobés. Sans oublier les 40 millions d’Américains, comme l’institut national d’assurance israélien.
Les données de 1,4 million de Français ayant effectué des tests anti-Covid à l’été 2020 ont été subtilisées, prévenait l’Assistance publique-Hôpitaux de Paris (AP-HP) en septembre 2021. De plus en plus fréquent, ce genre de vol laisse pantoises et incrédules les visées. Par le biais d’un simple courriel, les personnes touchées se voient confirmer qu’une « violation des données personnelles » concernant 1,4 million d’individus est réelle, déclarait l’AP-HP. Au menu, les noms, date de naissance, numéro de sécurité sociale sont parties dans les profondeurs de l’Internet. Elles peuvent permettre de concevoir de fausses identités, ou bien procéder à du hameçonnage en bonne et due forme. Bis repetita à la fin des vacances estivales avec FranceTest. L’année 2021 laisse apercevoir son crépuscule, que les attaques de l’année passée parfument encore l’air ambiant. En 2020, 27 hôpitaux étaient ciblés par des codes malveillants.
40 millions d’Américains touchés
Ils sont plus de 40 millions aux États-Unis qui ont vu leurs informations de santé exposées. Il existe un delta important par rapport à 2020. Selon les lois en vigueur outre-Atlantique, lesdites organisations du secteur sont tenues de signaler toute violation ayant un impact sur 500 individus ou plus, au bureau des droits civils du département de la santé et des services sociaux, ce qui rend ces violations, publiques. Au 8 décembre 2021, le bureau en a recueilli 578. Bien moins me diriez-vous que l’année passée, avec les 599 brèches signalées en 2020. Oui, je suis d’accord avec vous, à la différence près que les opérateurs malveillants n’avaient récupéré des données que d’environ 26 millions de personnes. Soit une augmentation de presque 154 %. Les dossiers médicaux contiennent des informations qui peuvent être utilisées pour présenter de fausses demandes de remboursement ou encore acheter des médicaments, sachant qu’ils sont hors de prix si vous n’avez pas de couverture maladie aux USA.
L’attaque de l’établissement hospitalier chilien touchait l’aide humanitaire aux sans-abris en octobre 2021. « Les hôpitaux ont longtemps eu d’autres priorités que la cybersécurité et ne croyaient pas à la menace », déplorait Guillaume Poupard, directeur de l’ANSSI. Cette phrase est vraie à tout endroit de la Terre. (Crédits : DR)
L’une des plus grandes violation en 2021, selon Health News Florida, est le résultat d’une cyberattaque de la Florida Healthy Kids Corporation, qui a exposé les informations de 3,5 millions de personnes. Sans oublier, la déconvenue du Southern Ohio Medical Center en novembre 2021, un hôpital à but non lucratif situé à Portsmouth dans l’Ohio.
Le Canada, Israël… touchés
Plus de la moitié des victimes connues de rançongiciel au Canada en 2021 étaient des fournisseurs d’infrastructures essentielles (énergie, santé et fabrication) selon le rapport du centre de la sécurité des télécommunications (CST). Les infections par ransomware sont « effrontées, sophistiquées, de plus en plus fréquentes et, pour les cybercriminels, très rentables », ajoute-t-il. La CST déclare avoir eu connaissance de 235 incidents liés au Ransomware-as-a-Service entre le 1er janvier et le 16 novembre 2021. « La pandémie de COVID-19 a rendu des organisations comme les hôpitaux, les gouvernements et les universités plus conscientes des risques liés à la perte d’accès à leurs réseaux, et se sentent souvent résignées à payer des rançons », note le rapport. Terre-Neuve-et-Labrador est toujours en rémission après l’attaque de son système de santé, « annulant des milliers de procédures médicales allant de la chimiothérapie aux radiographies », explique CBC. Atténuer les risques croissants nécessitera des efforts nationaux, stipule le compte rendu, mais cela passe par une éducation et ainsi « adopter les meilleures pratiques pour durcir les systèmes critiques, ainsi que des actions internationales coordonnées pour saper les infrastructures et tactiques criminelles ».
En Israël, c’est l’Institut national d’assurance (Bituah Leumi) qui déclarait mercredi 8 décembre 2021 que son site web s’était effondré… à cause d’une cyberattaque. Peu de temps après, l’institution reconnaît le type d’offensive qui avait fait tomber le site, était une attaque par déni de service (DDoS). Selon le NII, sa base de données n’a pas été pénétrée et le piratage se limite pour l’instant à perturber le fonctionnement du site Web.
Un hôtel 5 étoiles
Tandis que les vacances scolaires en France sonnent leurs arrivées ce soir, et que la neige est en abondance selon les stations, un hôtel suisse affublé de 5 étoiles était victime d’une cyberattaque. Le 8 décembre 2021, le Waldhaus, situé dans la station de Flims (Grison), aurait été victime d’une attaque par rançongiciel. Les faits se seraient produits le 18 octobre, indiquait le service de communication. Les cybercriminels auraient exigé une rançon pour le décryptage des données. Ils auraient en outre prétendu avoir téléchargé des informations des serveurs. L’hôtel n’a ni confirmé ni infirmé un éventuel règlement d’une quelque somme que ce soit.
La Quadrature du Net se bat sans relâche pour la défense des libertés fondamentales dans l’environnement numérique. Une lettre d’alerte a été signée de 69 organisations, dont les syndicats de journaliste, et le syndicat de la Magistrature. La seule présence de ce dernier devrait titiller les curiosités. (Crédits : capture d’écran/Assemblée nationale)
D’autres données posent question, pour être plus précis, c’est l’utilisation de ces données qui interroge. C’est l’objet en France de la proposition de Loi sur la « Responsabilité pénale et sécurité intérieure». Le gouvernement, comme il possède ce droit, a engagé la procédure accélérée sur ledit texte le 19 juillet 2021. La Quadrature du Net (LQDN) se bat, becs et ongles, contre de multiples dérives. Elle « promeut et défend les libertés fondamentales dans l’environnement numérique. L’association lutte contre la censure et la surveillance, que celles-ci viennent des États ou des entreprises privées. » Depuis la Loi de sécurité globale, elle est sur le pont, ou plus exactement face au parquet. Après avoir fait interdire juridiquement, par quatre fois l’utilisation policière des drones, elle se retrouve à une cinquième reprise dans le même combat. Les articles 7, 8 et 9 autoriseront la surveillance, pour le premier dans les cellules de gardes à vue et de retenues douanières pour « pour prévenir les risques d’évasion ».
« L’officier de police judiciaire […] recourt à la contrainte de manière strictement nécessaire et proportionnée, compte tenu de la situation particulière du mineur. » Si le celui-ci apparaît âgé d’au moins treize ans, et l’infraction constitue au moins cinq ans de prison (Art. 55-1, 412-1 et 413-6 du Code de procédure pénale). (Crédits : Stux/Pixabay)
Les suivants légifère la surveillance par drone, hélicoptère et voiture. Depuis plus d’un an, la police déploie illégalement des drones pour nous surveiller, malgré deux interdictions du Conseil d’État, une sanction de la CNIL et une censure du Conseil constitutionnel, explique LQDN. D’autant que l’article 16 autorisera la police à recourir à la violence physique, pour obtenir les empreintes digitales et la photographie des personnes suspectées d’avoir commis une infraction punissable d’au moins trois ans de prison (Art. 61-1 ou 62-2). « Les empreintes et photos ainsi obtenues pourront être recoupées avec les fichiers de police existants, notamment par reconnaissance faciale. »
Si Facebook est le réseau social le plus plébiscité avec 2, 74 milliards de comptes, actuellement TikTok se taille la part du lion. Avec 315 millions d’installations au premier trimestre 2020, soit le plus grand nombre de téléchargements en trois mois depuis le 1er janvier 2014. Elle est devenue la première application à franchir ce nombre après Facebook et ses satellites (WhatsApp, Instagram et Messenger). Un petit détail semble être passé inaperçu, TikTok vient d’autoriser la collecte de données biométriques des utilisateurs américains.
Tout commence le vendredi 4 juin 2021. La date où l’application permet la moisson de masse des renseignements biométriques, notamment les « empreintes faciales et vocales ». Auparavant, la politique de confidentialité modifiée le mercredi où l’introduction d’une section stipule que l’application de vidéo sociale « peut collecter des identifiants biométriques et des informations biométriques » à partir du contenu de ses usagers. « Contacté pour un commentaire, TikTok n’a pas pu confirmer quels développements de produit ont nécessité l’ajout des données biométriques à sa liste de divulgations sur les informations qu’il recueille automatiquement auprès des utilisateurs, mais a déclaré qu’il demanderait le consentement dans le cas où de telles pratiques de collecte de données commenceraient », révèle Sarah Perez sur techcrunch.
Les « réseaux sociaux » sont un formidable outil, si l’on sait l’utiliser à son avantage. (Crédits : Pixaline/Pixabay)
La chose inquiétante est que les « informations sur les images et le son » sont collectées de manière machinale. La première partie de cette nouvelle section explique que TikTok peut ramasser des informations « comme l’identification des objets et des paysages qui apparaissent, l’existence et l’emplacement dans une image des caractéristiques et attributs du visage et du corps, la nature du bruit et le texte des mots prononcés dans votre contenu utilisateur. »
Le deep learning
Effrayant au demeurant, cette clause n’est appliquée, à l’heure actuelle, qu’outre-Atlantique. L’Union européenne, posséderait des lois plus strictes en matière de protection des données et de la vie privée, qu’aux États-Unis. Sous l’administration Trump, le gouvernement fédéral avait tenté d’interdire totalement l’exploitation de TikTok (propriété de ByteDance Ltd) et WeChat (propriété de Tencent Holdings Ltd) sur leur sol, qualifiant les logiciels de menace pour la sécurité nationale en raison de leur propriétés par des sociétés chinoises. Le décret de la Maison-Blanche annule plusieurs du gouvernement précédent. « Les responsables disent qu’ils restent préoccupés par les risques de sécurité posés par les applications chinoises et certaines autres étrangères, mais que les décrets signés par l’ancien président Donald Trump étaient en fait inapplicables », écrit le Wall Street Journal. La nouvelle réglementation de M. Biden vise à adopter une approche plus sobre, affirmant que le gouvernement américain devrait « évaluer ces menaces par le biais d’une analyse rigoureuse, fondée sur des preuves », afin de faire face à « tout risque inacceptable ou excessif compatible avec les objectifs généraux de sécurité nationale, de politique étrangère et d’économie », explique Lucas Ropek sur gizmodo.
800 millions d’utilisateurs actifs par mois à l’échelle mondiale
Bien qu’effrayant, divers réseaux sociaux effectuent déjà de la reconnaissance d’objets sur les images téléchargées pour alimenter les fonctionnalités d’accessibilité (description d’une photo dans Instagram), mais également à des fins publicitaires. La politique indique aussi que cette portion de ramassage de données sert à activer « les effets vidéo spéciaux, la modération du contenu, la classification démographique, les recommandations de contenu et de publicité et d’autres opérations ne permettant pas d’identifier les personnes ».
L’apprentissage passe par la répétition, l’intelligence dite artificielle applique la même méthode. (Crédits : Tayeb MEZAHDIA/Pixabay)
Rappelez-vous que lorsque quelque chose vous est proposé gratuitement, vous êtes le produit. La localisation de l’emplacement d’un individu et du paysage peut contribuer aux effets de réalité augmentée, tandis que la conversion des mots prononcés en texte est utile pour des fonctionnalités telles que les légendes automatiques de TikTok. Les intelligences artificielles apprennent de leurs interactions pour être plus performantes, le deep learning.
Le « passe sanitaire »
Alors que le gouvernement français est à même de lancer le fameux « passe sanitaire », la Quadrature du Net (LQDN) s’y intéresse de près. « Nous allons déposer un référé contre ce passe sanitaire devant le Conseil d’État car il divulgue de façon injustifiée des données sur l’état civil et des données de santé », écrivent-ils le 9 juin 2021. Il faut dire qu’après les restrictions de libertés subies par les habitants de l’hexagone, le gouvernement fait du passe sanitaire l’objet de toutes les convoitises. « L’accès aux grandes manifestations sera limité aux personnes présentant certaines garanties contre la pandémie, telles que le fait d’être vaccinées, d’avoir réalisé un test PCR ou de s’être récemment rétablies de la maladie. Ce n’est pas cette limitation que nous avons choisi d’attaquer. » Le passe sanitaire permet de vérifier le statut vaccinal, le résultat d’un test négatif ou le certificat de rétablissement d’une personne, lui permettant par exemple la participation à un rassemblement ou un événement de plus de 1 000 personnes, assure le gouvernement.
La papier rendu indispensable par le gouvernement pour participer à certains événements aux conditions particulières. (Crédits : DR)
Ledit décret prévoit que la photo de chaque visage soit impérativement numérisée et centralisée dans le mégafichier des titres électroniques sécurisé (TES). Il pourrait être une base idéale du système de reconnaissance faciale étendue dont rêvent différents partis politiques se partageant actuellement le pouvoir. « De plus, la crise sanitaire ne doit pas être un prétexte pour rétablir l’obligation généralisée de détenir une carte d’identité, tel que l’avait imposée le gouvernement de Vichy afin de traquer et de tuer les séparatistes juifs et résistants », martèle la Quadrature du Net. Le fichier TES voté en 2016, sous l’égide de M. François Hollande, par l’action du ministre de l’Intérieur Bernard Cazeneuve, est acté par le Conseil d’État le 24 octobre 2018.
Un article d’Anaïs Cherif dans La Tribune, le 25 octobre 2018, évoquait déjà les inquiétudes. « Il y a un risque sérieux de piratage dès lors qu’il y a centralisation d’une montagne de données : c’est la base de la sécurité informatique, soulignait Arthur Messaud, juriste pour LQDN. Quand il y a des fuites de données, la gravité du piratage dépend de la nature des données. Or, le fichier TES condense des données biométriques… » Tandis que la réalité dépasse la fiction au Royaume-Uni et aux États-Unis, avec les attaques de codes malveillants qui infectent les forces de l’Ordre et font fuiter les civilités des policiers sur l’Internet, nous sommes en droit de nous poser la question de la protection des nôtres.
Quid des données ?
D’après Canalys, un cabinet d’analyses de marché spécialisé dans les technologies, 30 milliards de données ont été volées en 2020, soit plus que le total cumulé des quinze dernières années. Dès 2014, la Wildlife Justice Commission, une ONG qui lutte contre le trafic d’espèces menacées, a constaté que la messagerie WeChat avait permis l’émergence au Vietnam d’une plaque tournante illégale de commerce d’espèces sauvages s’adressant essentiellement à des clients chinois. La criminalité continuera probablement de se développer tant que les États ne réorganiseront pas en profondeur leurs services de police. Ces derniers ont de plus en plus besoin de spécialistes dotés de compétences en sécurité des systèmes d’information. « À l’échelle mondiale, on estime à 3,5 millions le nombre de postes d’ingénieurs en cybersécurité qui sont vacants. Le problème, c’est que vu la pénurie, les salaires sont parmi les plus élevés du secteur », relate Misha Glenny dans le Financial Times du 28 avril 2021.
Le résultat d’une enquête de trois années effectuées conjointement avec différents force de l’ordre et de pays. (Crédits : EUROPOL)
La population mondiale n’a pas conscience de cette réalité budgétaire, ainsi que de l’évolution de la nature de la criminalité. La Capture de plus de 800 personnes au sein du crime organisé fait grand bruit sur tous les médias : « Un réseau de crime organisé a été démantelé avec l’arrestation de plus de 800 personnes », a déclaré, le 8 juin 2021, Europol. Toutefois, les infections par codes malveillants continuent, procurant des dommages collatéraux conséquents, par effet domino.
Le plus dur c’est pas la chute, c’est l’atterrissage.
L’un dans l’autre, sommes-nous à l’aube d’un contrôle total (avec les bons et mauvais points) à la sauce de la République Populaire de Chine ? « Le système de code en deux dimensions (parfois appelé “cachet électronique visible” ou “2D-Doc”) intégré au passe sanitaire est celui destiné à intégrer les futures cartes d’identité biométriques. Ce système simple et pratique de code en 2D facilitera le traçage constant et à grande échelle de toute personne présentant sa carte d’identité. Si, à l’heure actuelle, le passe sanitaire permet déjà et très facilement la constitution de fichiers illicites de données personnelles, la situation pourrait très vite s’aggraver s’agissant des futures cartes d’identité. […] En résulte un triptyque idéal du traçage constant, automatisé et centralisé de l’ensemble de la population : géolocalisation du téléphone, reconnaissance faciale et contrôle d’identité automatisé sanitaire », justifie la Quadrature. D’autant qu’au temps des réseaux sociaux, les stories montrant le « graal » qu’est le « passe sanitaire » est un manque discernement face au danger. Les renseignements affichés sont des données personnelles de santé. Ainsi en le publiant, vous pourriez tomber dans un processus hameçonnage ciblé, suite à l’accès de vos données médicales. De plus, un réseau de faux certificats existe dans les hôpitaux et sur l’internet. Soyez vigilant, car « le plus dur c’est pas la chute, c’est l’atterrissage ! »
