Ce qui était décrit comme un « incident à l’échelle du réseau » plus tôt cette semaine est en fait une attaque informatique. La nature de l’attaque n’a pas encore été précisée, mais le district a confirmé qu’elle a touché un grand nombre de ses systèmes informatiques. Par prudence, l’entité pédagogique affirmait que tous les systèmes basés sur Internet, tels que le courrier électronique et d’autres outils éducatifs, étaient hors ligne.
Les comptes des différents médias sociaux, Facebook, Twitter des écoles publiques canadiennes de Regina serviront pour les communications officielles. Peu avant 11 h, jeudi 26 mai 2022, elles affirmaient qu’« après plusieurs jours d’enquête, il est apparu clairement que la division scolaire a été victime d’une attaque de cybersécurité le 22 mai 2022. » Les informations destinées aux familles des élèves seront communiquées par l’intermédiaire des écoles, affirment les autorités.
Au niveau des investigations, le district n’est pas en capacité de préciser si des données privées, élèves, enseignants, établissements… ont été exposées. Les parents et tuteurs doivent également s’attendre à recevoir des nouvelles par l’intermédiaire des écoles de leurs enfants. Le ministère de l’Éducation a déclaré qu’il était au courant de la cyberattaque et qu’il comprenait que la division des écoles publiques de Regina « prenait les mesures appropriées pour remettre le système informatique en ligne. » Tout signalement d’absence s’effectuera par voie téléphonique encouragent les écoles. « Les écoles publiques de Regina s’engagent à maintenir l’intégrité de leur infrastructure informatique et à protéger les renseignements concernant les élèves, les familles, les employés et les partenaires. »
Le personnel en charge de l’informatique d’hôpitaux de Toronto de se rendait compte, le 25 janvier 2022 de signes inhabituels. La conséquence, la fuite des données personnelles des patients de l’hôpitalBirchmount, de Scarborough, de Centenary, ainsi que celui d’AjaxPickering avant sa fusion avec LakeridgeHealth. La cyberattaque a été révélé quatre mois après. Les experts n’ont, actuellement, pas encore détecté d’utilisation malveillante des données.
Le 25 janvier 2022, des manifestations d’activité anormale sur ses systèmes informatiques étaient repérés, le personnel prenait immédiatement des mesures pour contenir, puis examiner l’incident avec l’aide d’experts en cybersécurité extérieurs. Le Scarborough Health Network a publié un communiqué (ci-dessous) concernant un évènement impliquant un accès non autorisé à des données contenues dans « plusieurs » de ses serveurs. L’attaque a été confirmée le 25 mai 2022 : « malheureusement, étant donné la complexité de l’incident, nous ne sommes pas en mesure de déterminer quelles personnes ont été directement touchées », peut-on lire dans un message mis en ligne sur le site Web des SSPSM. Ils appuient que l’opérateur malveillant a été exclu du système le 1er février 2022.
Ils offrent un abonnement de deux ans à TransUnion myTrueIdentity, pour la surveillance de l’Internet, jusqu’aux profondeurs du web concernant les données personnelles, identitaires et financières potentiellement exposées afin d’aider à protéger les consommateurs contre le vol d’identité. (Crédits : capture d’écran)
Les données qui ont pu être consultées comprennent par individu :
Nom du patient
Sexe
Date de naissance
État civil
Adresse du domicile
Numéro de téléphone
Adresse électronique
Numéro de police d’assurance
Noms des prestataires
Numéros du fournisseur (HCP Health care provider) et du CPSO (College of Physician and Surgeons of Ontario)
Description de l’intervention
Ordonnances
Résultats
Noms et numéros du médecin traitant et/ou du médecin prescripteur
Informations, constatations, rapports médicaux, cliniques et diagnostics
Rapports de laboratoire et résultats
Dossiers de traitement et d’immunisation COVID-19 pour les personnes admises aux SSPSM
Noms et numéros du personnel
« Les SSPSM prennent très au sérieux la confidentialité et la sécurité des coordonnées et des renseignements personnels des patients, du personnel et des entreprises, et nous regrettons sincèrement que cet incident se soit produit, a déclaré la présidente-directrice générale des SSPSM, Elizabeth Buller, dans un communiqué de presse. Je tiens à assurer aux patients que nous avons agi aussi rapidement que possible pour contenir et enquêter sur l’incident afin de nous assurer que nos opérations cliniques n’ont pas été affectées. En outre, toutes les améliorations en matière de sécurité informatique qui ont été identifiées à la suite de notre enquête ont été immédiatement prises en compte. »
La compagnie aérienne à bas prix SpiceJet se dit victime d’une attaque par code malveillant de type ransomware. Le siège est situé en Inde, à Gurgaon. Elle est la deuxième entreprise indienne par le nombre de passagers transportés au sein du pays. Elle dispose de 630 vols quotidiens vers 65 destinations, dont 56 indiennes et 9 internationales. L’attaque s’est déroulée dans la nuit de mardi à mercredi 25 mai 2022.
La compagnie aérienne indienne SpiceJet a déclaré que ses systèmes ont fait face à une « tentative d’attaque par ransomware » mardi 24 mai 2022. Ce qui a occasionné des retards de vols et laissés de nombreuses personnes bloquées dans les aéroports. La compagnie annonçait le 25 mai 2022 à 11 h 30 sur Twitter que les systèmes informatiques « ont fait l’objet d’une tentative d’attaque par ransomware la nuit dernière qui a eu un impact sur nos opérations aériennes. Bien que notre équipe informatique ait, dans une large mesure, maîtrisé et rectifié la situation, cela a eu un effet en cascade sur nos vols, entraînant des retards. »
#ImportantUpdate: Certain SpiceJet systems faced an attempted ransomware attack last night that impacted and slowed down morning flight departures today. Our IT team has contained and rectified the situation and flights are operating normally now.
« Notre équipe informatique a maîtrisé et corrigé la situation et les vols fonctionnent désormais normalement », a-t-elle tweeté à 5 heures. (Crédits : Twitter)
Les conséquences pour l’organisation d’une compagnie, qu’elle soit ferroviaire ou aérienne est catastrophique. Elle est un ballet millimétré où un seul grain de sable fait dérailler la machine. Plusieurs vols ont été retardés ou annulés aujourd’hui mercredi 25 mai 2022, les passagers se plaignant du manque de service.
Operating normally?? We are stuck here since 3 hrs and 45 mins? Neither cancelling nor operating, sitting in the flight not even the airport. No breakfast, no response! pic.twitter.com/dAfdIjzVzH
Un passager de la compagnie, MuditShejwar, se plaignait sur Twitter de n’avoir aucune réponse à son attente, et ses questions ni de quoi se restaurer durant presque quatre heures. Le communiqué reçu à bord, selon les gazouillis est qu’ « un serveur est en panne ». (Crédits : Twitter)
La compagnie aérienne indienne rassurait ses clients et communiquait sur le fait que « certains vols vers des aéroports où il existe des restrictions sur les opérations de nuit ont été annulés. SpiceJet est en contact avec des experts et des autorités de cybercriminalité sur la question. Nous regrettons tout désagrément. Parfois, en raison d’un flux important, il est possible que notre exécutif ne soit pas en mesure de s’occuper de vous en priorité. Vous pouvez essayer après un certain temps. Notre équipe vous assistera en conséquence. »
Depuis plus de deux semaines, les services de Santé au Groenland sont « sévèrement limités », suite à l’attaque informatique les visant indique le Naalakkersuisut. Le service de santé doit redémarrer tous les systèmes et serveurs informatiques aujourd’hui, ce qui signifie, entre autres, que le personnel ne peut pas accéder aux dossiers des patients. Mais lorsque vous vous trouvez sur une île, cela prend une proportion toute différente.
Tout a commencé, aux alentours du 9 mai 2022, lorsque le gouvernement annonçait qu’une « panne de système » informatique avait entraîné la mise hors service de « Doktor.gl ». Ce portail en ligne est utilisé par les citoyens du Groenland pour leurs rendez-vous médicaux, et renouvellement des ordonnances. Le 18 mai, une notification indique qu’« il est maintenant clair que la panne de système récente a été causée par des cyberattaques ». Depuis le communiqué, les patients sont informés qu’ils doivent s’attendre à des temps d’attente plus longs que d’habitude et que certains rendez-vous devront peut-être être annulés. L’entité conseille aux personnes de contacter le service de santé par téléphone plutôt que par courriel.
À ce stade, les analyses techniques montrent qu’aucun dommage n’aurait été occasionné aux données des Groenlandais ni qu’elles ont été copiées. Pour autant les enquêteurs demeurent prudents. Les investigations sur l’ampleur de la cyberattaque sont toujours en cours. (Crédits : naalakkersuisut)
Le 25 mars dernier, une autre attaque a contraint le Parlement du pays à annuler toutes ses réunions pendant une huitaine. Ses systèmes numériques ont été paralysés, et le gouvernement n’a pas été en mesure de distribuer à temps les prestations sociales à ses citoyens. La majorité des services avaient été rétablis dans la semaine qui a suivi. « Par coïncidence, les attaques contre le service de santé du Groenland sont survenues presque exactement cinq ans après que le ransomwareWannaCry a frappé le National Health Service (NHS) du Royaume-Uni, faisant les gros titres dans le monde entier », rappelle Graham Cluley.
Le gouvernement a demandé à ses administrés de se rendre au centre de santé de la reine Ingrid à Nuuk, pour renouveler leurs ordonnances. « Le service de santé continue de rencontrer des difficultés informatiques après la cyberattaque », selon la dernière notification du gouvernement. (Crédits : DR)
Tous les systèmes informatiques et les serveurs associés aux services de santé ont dû être redémarrés, coupant l’accès aux dossiers des patients. IreneJeppson, porte-parole du gouvernement, a déclaré au journal Sermitsiaq : « Ce que nous savons, c’est qu’il s’agit très probablement des mêmes pirates qui ont attaqué le réseau de l’administration centrale il y a quelques mois. On peut en retrouver la trace dans la procédure et les empreintes techniques laissées sur le réseau. L’administration centrale et le service de santé [cependant] n’ont pas le même fournisseur d’exploitation et donc, rien n’indique que l’attaque est liée aux fournisseurs d’exploitation. »
Les attaques par ransomware ou tout autre moyen, occasionnent des dégâts sur les systèmes d’information, mais aussi sur la vie privée à travers les infos exfiltrées. Concernant le collège de Montmorency, situé à Laval au Québec dont « certains renseignements personnels » relatifs aux étudiants et aux employés de l’établissement « ont potentiellement été compromis ». L’Arnprior Regional Health dont la cyberattaque de décembre 2021 compromet des données datant de plusieurs décennies.
Depuis le 11 mai 2022, le réseau interne du collège Montmorency est paralysé précisait le communiqué. « Des informations nous poussent à croire que l’intégrité de nos infrastructures informatiques semble avoir été compromise », avait indiqué la direction. Le collège d’enseignement général et professionnel (cégep) public de Laval est victime d’une attaque informatique. Selon les premières constations l’établissement a juger que la situation nécessitait l’intervention de différentes entités, le centre opérationnel de cyberdéfense de Québec, du ministère de la Cybersécurité et du Numérique, mais d’une entité externe à savoir KPMG, spécialisée en cybersécurité.
Le Collège Montmorency offre 5 programmes de formation préuniversitaire, 23 en technique, dont 19 en alternance. Il accueille plus de 7000 étudiants et étudiantes à l’enseignement régulier, donc un nombre conséquent de data. (Crédits : DR)
L’enquête lancée à la suite de l’attaque admet que certains renseignements personnels se trouvant sur les serveurs informatiques de l’établissement d’enseignement pourraient être tombés dans les mains de gens malintentionnés. « Actuellement, selon l’information que nous détenons, une partie seulement des systèmes informatiques du Collège semble avoir fait l’objet d’exfiltration de données, et ce, pour une période limitée, ce qui explique que nous n’avons aucune preuve qui confirme que les informations relatives aux étudiantes et aux étudiants sont mises en cause », a précisé la direction.
L’entité médicale Arnprior Regional Health attaquée
L’ARH, situé à Arnprior dans l’Ontario au Canada, est constitué d’un hôpital, d’un établissement de soins de longue durée et d’autres services de santé. Le 21 décembre 2021, déclarait sur son site Web avoir été averti en décembre 2021 « d’un accès non autorisé à notre système informatique. Notre enquête a confirmé que les informations personnelles de certains de nos patients ont été consultées. » Malheureusement, le 1er avril 2022, les enquêtes en cours ont révélé que certaines données de l’ADFHT avaient, en fait, été compromises. La cyberattaque détectée a compromis un large éventail de données, dont certaines remontent à 1996 (coloscopies, les vaccinations contre le COVID-19 et la grippe, les enquêtes de satisfaction des services d’urgence et des patients hospitalisés, et les patients sur les listes d’attente).
Les données personnelles et de santé potentiellement compromises comportaient le nom, la date de naissance, le numéro de santé, l’heure de la visite, la procédure et le diagnostic, et des indications démographiques. (Crédits : DR)
« Tant que les établissements de santé ne regardent pas au-delà des systèmes de production actuels et ne comprennent pas tous les endroits [où les données des patients] sont stockées, conservées, traitées ou transmises au sein de leur organisation – et n’appliquent pas les contrôles de sécurité appropriés à tous les niveaux – il n’est pas surprenant que des violations de cette ampleur se produisent. », déclarait Cathie Brown, vice-présidente des services de conseil chez Clearwater.
L’utilisation de nos données peut être à des fins criminelles, mais elles peuvent servir dans une manipulation à des fins commerciales ou politiques, comme le fut Facebook/CambridgeAnalytica. Mais elle n’est pas la seule, une invasive en France, celle avec le Compte Personnel Formation (CPF). (Crédits : Roma1880/Pixabay)
En France, La Quadrature du Net lutte pour qu’elles ne soient pas considérées comme des marchandises, mais pas seulement. Elle met tout en œuvre « pour qu’aucune entreprise ne puisse surveiller nos comportements et nous manipuler à des fins commerciales ou politiques, notamment en sélectionnant la publicité et les informations que nous recevons. Elle lutte pour qu’aucune décision sur nos vies (emploi, crédit, études, etc.) ne soit prise automatiquement sur la base de ces données. »
La compagnie mexicaine Sysol a subi une attaque informatique de ses systèmes vers le 15 mai 2022 selon la date des documents publiés en ligne sur le site de fuite du ransomware. L’absence de culture de la prévention, la proximité des États-Unis et le laxisme des lois font du pays une cible privilégiée des cybercriminels, avertissent les experts, écrivait Excelsior le 14 mai 2022. L’entreprise propose ses services en surveillance vidéo, en détection incendie…
Elle indique sur son site se consacrer à fournir des solutions « pour vos besoins actuels et futurs en matière de réseaux, de sécurité et d’informatique, en utilisant des produits à la pointe de la technologie et en fournissant des services de haute qualité. Actuellement, nous nous concentrons sur des domaines spécialisés pour servir différents marchés, offrant une solution intégrée pour répondre à vos exigences particulières, assurant le succès de votre projet. » Elle intervient dans diverses lieux du Mexique, sur des systèmes de contrôle d’accès et d’identification, entre autre et possèdent des bureaux dans les villes de Ciudad Juárez, Chihuahua, Reynosa, Hermosillo et Monterrey
Les attaques informatiques permettent, en cascade de cibler d’autres entreprises à travers les données récupérées. (Crédits : capture d’écran)
Les données du Threat Intelligence Lab de Fortinet précisent que le Mexique a enregistré 80 millions de tentatives d’attaque informatique au cours du premier trimestre 2022, soit 65 % de l’ensemble en Amérique latine au cours de cette période. Les cybercriminels ciblent les particuliers, les entreprises et les institutions au Mexique. La raison est l’absence de « culture de la prévention, de la situation géographique du pays, de la faiblesse de la réglementation et de l’absence de politique nationale contre les cyberattaques. »
Selon l’étude récente de Sophos, The State of Ransomware 2022, 74 % des sociétés mexicaines ont été frappées par des ransomwares l’année dernière, soit une augmentation significative par rapport aux 25 % de 2020. La France est juste derrière avec 73 % de sociétés affectées. (Crédits : LeMagIT)
« Parmi les 74 % d’entreprises qui ont subi une attaque par ransomware, 57 % ont vu leurs données chiffrées et ont pris différentes mesures pour les récupérer. Les secteurs les plus touchés sont les médias, l’énergie, le pétrole et le gaz, l’éducation et la santé », a déclaré Juan Aguirre, responsable de l’ingénierie commerciale de Sophos pour l’Amérique latine.
8 Go de renseignements, des schémas électroniques d’implantations, les numéros de série des boîtiers numériques changés, mais également les listes de composants informatiques d’ordinateurs, factures, RIB, QR code… ou des photos avec les chemins d’accès sous Windows XP. (Crédits : capture d’écran)
La startup mexicaine de cybersécurité Silikn, basée à Querétaro, déclenchait l’alerte le 10 mai 2022 suite aux attaques menées par les opérateurs derrière le ransomware Conti contre des agences gouvernementales au Costa Rica et au Pérou. De plus, elle mettait l’accent sur la possibilité qu’en raison du profil de Conti et des vulnérabilités détectées, les institutions gouvernementales du Mexique que sont Instituto Mexicano del Seguro Social, Secretaría de Salud, Secretaría de Hacienda y Crédito Público, Petróleos Mexicanos, Banco de México, Secretaría de Bienestar et Fondo Nacional de la Vivienda para los Trabajadores, pourraient être attaquées au cours des deux prochaines semaines.
Dans un acte d’accusation de vingt pages, le cardiologue Moises Luis Zagala, âgé de 55 ans vivant à Ciudad Bolivar au Venezuela, est soupçonné d’être le créateur de deux ransomwares, Jigsaw v.2 et Thanos par la justice américaine. L’homme possédait plusieurs surnoms en ligne, à savoir « Aesculapius », « Nosophoros » et « Nebuchadnezzar ». Le FBI indique que son implication au sein des « réseaux clandestins » remonterait aux alentours de l’année 1977.
Le bureau du procureur américain accuse un cardiologue de 55 ans d’avoir créé, et vendu au moins un ransomware. De plus d’avoir profité de revenu selon des accords passés avec d’autres malfaiteurs. La plainte N° 21-M-276 déposée le 16 mai 2022 devant le tribunal de district des États-Unis, district Est de New York, allègue que Moises Luis Zagala Gonzalez a créé un générateur de rançongiciel connu sous le nom de « Thanos » et un ransomware nommé « Jigsaw v. 2 ». Le premier chef d’inculpation est la tentative d’intrusion informatique, au sein de laquelle il aurait sciemment « tenté de provoquer la transmission d’un programme, d’informations, de codes et de commandes et, en conséquence de ce comportement, a intentionnellement causer des dommages sans autorisation à un ordinateur protégé, entraînant des pertes de plus de 5 000 $ et des dommages affectant dix ou douze personnes. » Le second chef d’accusation est un complot en vue de commettre des intrusions informatiques.
La menace était de perdre sous 48h et à jamais ses fichiers, mais l’opérateur était magnanime : je vous traiterai bien si vous me traitez bien aussi. (Crédits : Unit42)
Il aurait fait la publicité du ransomware au sein du darknet, puis l’aurait cédé sous licence pour un loyer de 500 dollars par mois, écrit TheRegister. Il « proposait l’outil pour 500 dollars et le code source sous-jacent pour 3 000 dollars », explique le ministère de la Justice. Thanos avait été observé les 6 et 9 juillet 2020 par Unit 42 : « nous avons observé des fichiers associés à une attaque contre deux organisations étatiques du Moyen-Orient et d’Afrique du Nord qui ont fini par installer et exécuter une variante du ransomware Thanos. » Le code malveillant créait un fichier affichant la demande de rançon de 20 000 $ dans un portefeuille Bitcoin. Pour les besoins des investigations, « le 14 septembre 2020, j’ai acheté une licence du logiciel Thanos à ZAGALA. J’ai téléchargé Thanos sur un ordinateur situé dans le District Est de New York », explique l’enquêteur.
Jigsaw v. 2 permettait de surveiller le nombre de fois où les victimes tentaient de supprimer le ransomware. Le ministère de la Justice déclarait qu’en conséquence, le logiciel tâchait d’effacer l’ensemble du disque dur. Emsisoft a publié un décrypteur pour Jigsaw v.2 en 2019. (Crédits : DoJ)
Les responsables du ministère de la Justice accusent Zagala d’avoir mis sur pied « une entreprise cybercriminelle élaborée, dans laquelle il avait un intérêt économique et réputationnel direct à ce que son logiciel soit utilisé dans des piratages réussit ». Le cas soulevé ici est inhabituel au vu de la moyenne d’âge du cybercriminel typique. Il ne semble pas coller au stéréotype des opérateurs usant de ransomware originaires d’Europe de l’Est et de Russie. « Nous pensons que Zagala a non seulement créé et vendu des ransomwares à des pirates informatiques, mais qu’il les a également formés à leur utilisation », a déclaré Michael Driscoll, assistant-directeur responsable du bureau local du FBI à New York. CNN pense que « les chances que Zagala soit appréhendé et extradé vers les États-Unis sont incertaines », malgré l’accord signé en 1923. Les gouvernements américain et vénézuélien sont en désaccord complet depuis de nombreuses années.
En premier lieu, c’est l’hôpitalMisericórdia de Vila Verde qui au cours du premier week-end de mai était la cible d’une cyberattaque. Puis la société d’électricité AED (Eletricidade dos Açores) est visée par une attaque informatique le 16 mai 2022. La veille l’agence de presse Lusa augmentait la longue liste des compagnies infectées pas codes malveillants. Pendant qu’en Suisse plus de 200 entreprises recevaient des lettres recommandées, car certaines failles de sécurité de MS Exchange n’ont toujours pas été comblées.
Dans un communiqué, la Misericórdia de Vila Verde a déclaré qu’« un rapport de la cyberattaque est en cours de préparation auprès des autorités, à savoir la police judiciaire et les services du ministère de la Santé », ajoutant qu’« il s’agit d’une attaque par ransomware, dans laquelle les pirates cryptent les données informatiques pour ensuite demander de l’argent pour les restituer. » La paralysie des logiciels a entraîné des contraintes dans la programmation des examens et des rendez-vous, « mais nous ne cessons jamais de nous soucier de la santé de nos patients ».
« La demande de rançon a été faite aux responsables du système informatique de l’hôpital Misericórdia de Vila Verde qui ont maintenu le contact avec les pirates informatiques », confie l’institution sans en révéler le montant. (Crédits : Paulo Jorge Magalhães/O MINHO)
Misericórdia expliquait que la cyberattaque avait affecté la fonctionnalité de plusieurs secteurs, mais les consultations prévues avaient lieu, et seul manquait l’accès à la facturation et les paiements était compromis. « Sans avancer les conséquences pratiques de cette attaque, nous soulignons que nous faisons tout notre possible pour minimiser l’impact de cette attaque et résoudre la situation dès que possible, et de plus nous avançons que toute activité clinique a été maintenue », affirmait l’organisme de santé.
Francisco Pedro Balsemão, qui s’exprimait lors du 31e congrès de l’Association portugaise pour le développement des communications (APDC), a aussi déclaré qu’il s’agissait d’un « problème pour tout le monde, les groupes de médias, le commerce de détail, la santé, les banques… » (Crédits : Alexa Fotos/Pixabay)
Il y a trois jours, l’agence de presse Lusa a été la cible d’une cyberattaque, provoquant une « instabilité continue du service », déclarait l’entreprise. L’incident « a déjà été signalé aux autorités compétentes », pouvait-on lire dans la dépêche de l’agence, déplorant « le désagrément causé » aux travailleurs, clients et utilisateurs des services de Lusa. Depuis le début de l’année, des attaques contre le groupe Cofina, le Parlement, les laboratoires Germano de Sousa, l’hôpital d’Almada et la presse portugaise ont été signalées.
Le site de la compagnie d’électricité des Açores affiche, le mercredi 18 mai 2022 des problèmes de sécurité. (Crédits: capture d’écran)
Le 17 mai 2022, c’est l’entreprise d’Électricité des Açores (EDA), qui affirme dans un communiqué que « malgré cet incident », toutes les conditions inhérentes à la fourniture normale d’électricité dans la région sont assurées. La compagnie a également annoncé que l’incident a été « notifié en temps utile aux autorités compétentes » et qu’elle regrette « tous les désagréments que cette situation peut causer », notamment « au niveau du service commercial ». Eletricidade dos Açores, et les autres membres du groupe ont été la cible d’une cyberattaque, dont « les causes et les impacts sont encore en cours d’analyse », a déclaré la société.
Vivalia, intercommunale de soins de santé au Luxembourg est actuellement retournée au papier crayon. Dans la nuit de vendredi 13 à samedi 14 mai 2022, à 3 h 29 précisément, les systèmes de surveillance envoient des alertes tous azimuts indiquant que le système informatique était agressé. Une cyberattaque confirmée à 3 h 42, et qui aurait débuté vers 1 h 30 du matin. Elle a entraîné le blocage de 200 serveurs et 1 500 ordinateurs des hôpitaux et maisons de repos de cette structure active en province de Luxembourg.
C’est au duché du Luxembourg que cette fois-ci un hôpital est victime d’opérateurs malveillants. Aux alentours de 3 h 30 une attaque informatique de « grande ampleur » est détectée, des mesures d’urgence sont immédiatement prises pour empêcher la propagation de l’infection. « Dans ce genre de situation, la ligne de conduite est bien claire. Il faut empêcher la propagation du virus en interne, identifier la faille de sécurité pour la corriger, neutraliser le virus, et enfin restaurer les systèmes pour revenir à un fonctionnement normal », mentionne Yves-Henri Serckx, directeur informatique de Vivalia. L’entité regroupe six sites hospitaliers, une polyclinique, quatre maisons de repos et maisons de repos et de soins, une maison de soins psychiatriques et trois crèches, situés en province de Luxembourg.
Une cellule de crise fédérale spécialisée en cybersécurité apporte son expertise et est venue renforcer les équipes IT de Vivalia, de même que la Police judiciaire, avec le soutien de l’ensemble des autorités provinciales. Dès la mise en alerte des systèmes, les serveurs, les ordinateurs et la connexion de Vivalia avec l’extérieur ont été mis à l’arrêt pour les protéger au maximum.
Vivalia
L’attaque informatique semble analogue à celle qu’ont subie d’autres hôpitaux en Belgique et à l’étranger que ce soit au Japon, en France ou en Italie. Vivalia n’aurait reçu jusqu’à présent aucune demande de rançon. Une cellule de crise composée des forces vives de Vivalia et d’experts fédéraux en cybersécurité s’est réunie.
Le plan d’urgence hospitalier a été déclenché « compte tenu de l’ampleur de l’attaque sur nos services », a déclaré Yves Bernard, le directeur général samedi après-midi, lors d’une conférence de presse.
Plusieurs hôpitaux wallons ont été victimes de cyberattaque, comme le Centre hospitalier de Wallonie picarde de Tournai (ChWapi), début 2021, ou la clinique André Renard à Herstal, en 2019, explique RTL. (Crédits : capture d’écran/TvLux)
Depuis samedi matin, les services de Vivalia vivent au ralenti, « renouant avec des méthodes du passé », ajoute Yves Bernard. Rien n’indique actuellement que des données personnelles de patients, comme de résidents ont été dérobées, confirme l’hôpital
Une cellule d’urgence a été convoquée dans la foulée et l’intercommunale a rapidement reçu le soutien du gouverneur de la province de Luxembourg et de la Police judiciaire fédérale ainsi que d’experts en cybersécurité de la police. « Nous sommes actuellement dans la deuxième phase. Nous essayons d’identifier l’origine de l’attaque pour boucher la faille de sécurité avant de relancer, voire de restaurer, nos systèmes informatiques », relatait Yves-Henri Serckx lors de la conférence de presse, samedi après-midi.
Le retour du papier et du stylo-bille. Un retour 20 à 30 ans en arrière pour certains services. L’essentiel étant préservé : les soins et la sécurité du patient. L’objectif affiché est l’identification du virus et la faille informatique, avant de restaurer les serveurs. Le tout devrait prendre plusieurs jours. (Crédits : capture d’écran/TvLux)
« Toutes nos équipes sont sur le pont depuis cette nuit : informatique, technique, médicale, infirmière… chacun fait le maximum pour rétablir la situation et il est prématuré de pouvoir fixer une échéance pour un retour à la normale. |…] Nous demandons au public de n’appeler nos hôpitaux qu’en cas de réelle nécessité et pour des cas urgents ! Merci de votre compréhension », précise Vivalia
Le Refuah Health Center avait découvert un accès non autorisé et affirmait avoir immédiatement lancé une enquête. Elle s’est achevée le 2 mars 2022, mais n’a pas expliqué l’écart d’un an entre l’identification et la déclaration. En effet, l’organisme de santé a commencé, le 29 avril 2022 à notifier 260 740 personnes d’un incident de cybersécurité survenu entre le 31 mai et le 1er juin 2021. En octobre 2021, c’est la société Adaptive Health Integrations, basée dans le Dakota du Nord, qui a été confrontée à un incident informatique, touchant plus de 510 000 individus.
Les informations qui auraient pu être exfiltrées sont conséquentes. Elles comprennent potentiellement des prénoms, noms, numéros de sécurité sociale, de dossier médical, de permis de conduire, des dates de naissance, des informations sur les cartes de crédit comme de débit, sur les comptes bancaires, des numéros Medicare et Medicaid, des numéros de compte de patient, des informations sur les diagnostics et mêmes des numéros de police d’assurance maladie.
« Veuillez accepter nos excuses pour cet incident. Nous nous engageons à préserver la confidentialité des informations personnelles et des informations de santé protégées en notre possession et nous avons pris de nombreuses précautions pour les protéger », indique le communiqué. (Crédits : capture d’écran/Refuah)
« Nous évaluons et modifions continuellement nos pratiques et nos contrôles internes afin de renforcer la sécurité et la confidentialité des informations de santé personnelles et protégées. Depuis cet incident, nous avons installé un nouveau pare-feu et procédé à une évaluation de la vulnérabilité. » Par souci de prudence, « nous avons notifié par écrit cet incident à partir du 29 avril 2022 » à toutes les personnes potentiellement concernées, dans la mesure où nous avions une dernière adresse connue.
Selon le rapport du Centre de coordination de la cybersécurité du secteur de la santé (HC3) aux États-Unis, les ransomwares à l’origine des attaques sont LockBit 2.0 pour 31 %, Conti au même ratio, SunCrypt pour 16 %, Alphv et Hive tous deux à 11 %. Ce pour le seul premier trimestre de l’année 2022. (Crédits : capture d’écran/OCR)
Dans un domaine proche et en relation, AdaptiveHealthIntegrations a été confrontée à un piratage qui a eu un impact sur 510 574 personnes, selon le portail de l’Office for Civil Rights (OCR). Omnicell, McKenzieHealth et VailHealthServices dénonçaient récemment avoir subi des cyberattaques. Le premier fabrique des systèmes automatisés pour la gestion des médicaments. Sur la 30e page du document, la société stipule que « certains de ses systèmes informatiques étaient affectés par un ransomware ayant un impact sur certains systèmes internes » en date du 4 mai 2022. Les autorités policières compétentes ont été informées. Omnicell n’en est qu’aux premiers stades de son investigation et ne peut définir, à l’heure actuelle, l’ampleur de la répercussion de cet événement sur ses activités.
L’évènement contre Adaptive Health Integrations est la troisième plus grande violation de données de santé signalée de 2022, au 14 mai. Derrière Morley Companies, Inc. avec 521 046 personnes concernées et North Broward Hospital District avec 1 351 431 d’individus. (Crédits : Darko Stojanovic/Pixabay)
Vail Health Services révélait que 17 039 personnes étaient possiblement touchées. Établi dans le Colorado, le système de santé à but non lucratif déclarait « après avoir rencontré des problèmes avec nos systèmes de réseau, nous avons rapidement enquêté et le 5 avril 2022 nous avons déterminé qu’un tiers avait potentiellement consulté ces informations le 11 février 2022. »
Enfin McKenzie Health System, basé dans le Michigan, identifiait le 11 mars 2022 qu’« un tiers non autorisé avait accédé à nos systèmes et a supprimé certains fichiers. Nous avons ensuite entrepris un examen et une analyse de ces fichiers afin de déterminer quelles informations ils contenaient. Le 10 mai 2022, nous avons commencé à envoyer des lettres de notification aux personnes dont les renseignements ont pu être impliqués dans un incident de sécurité qui a perturbé le fonctionnement de certains de nos systèmes informatiques. » McKenzie Health a défini qu’ils comportaient des civilités, des données démographiques, des coordonnées, des numéros de sécurité sociale, des informations sur les prescriptions, des numéros de dossiers médicaux, des noms de prestataires, des dates de service, des informations sur l’assurance maladie et des informations sur les diagnostics et les traitements de 25 318 personnes.
Les fuites de data de santé ou autre domaine sensible se répètent de plus en plus, que cela soit aux États-Unis, en Suisse, au Canada, en Italie ou en France, ce qui soulève des problèmes de sécurité. Pour rappel, le CERTSanté publie deux fiches réflexes et un guide concernant les attaques par rançongiciel. (Crédits : Mandy Klein/Pixabay)
« Pour les patients dont les informations peuvent avoir été impliquées dans l’incident, nous leur recommandons de revoir les relevés qu’ils reçoivent de leurs prestataires de soins de santé et de contacter immédiatement le prestataire concerné s’ils constatent des services qu’ils n’ont pas reçus », a déclaré McKenzie Health System avant d’ajouter que « pour les patients dont les numéros de sécurité sociale peuvent avoir été impliqués, nous offrons gratuitement des services de surveillance du crédit et de protection de l’identité par Experian. »
