Piratage informatique : les hôpitaux sont-ils à l'abri ?
Durant douze jours, un hôpital de Los Angeles (Etats-Unis) a été paralysé à cause d'une attaque informatique : toutes les machines (ordinateurs, scanners, logiciel de gestion des médicaments…) étaient bloquées par un virus informatique. Les cybercriminels ont également dérobé toutes les données personnelles des patients. Une rançon de 3,6 millions de dollars (plus de 3 millions d'euros) était réclamée pour la restitution des données et l'élimination du virus. Une somme de 17.000 dollars a finalement été versée le 17 février, suite à quoi les activités de l'établissement ont pu reprendre. Un piratage de ce type est-il possible en France ?
Résultats d'analyses, diagnostics, dates et lieux d'hospitalisation… Aujourd'hui, nos données de santé confidentielles sont de plus en plus souvent informatisées. Les hôpitaux et les laboratoires d'analyses sont donc des cibles potentielles pour des pirates informatiques.
Selon Gérôme Billois, expert en cybersécurité, "les failles de sécurité viennent principalement du fait que beaucoup de postes de travail sont connectés à la fois à Internet, par exemple pour accéder aux mail ou aux sites web, mais également aux matériels spécifiques de santé comme les scanners et les IRM. En fait, on a une forme de porosité entre ces deux mondes, qui peut conduire à des menaces provenant d'Internet et toucher différents matériels médicaux".
Les pirates menacent de dévoiler les données médicales
Pour obtenir de l'argent à partir de données médicales, plusieurs procédés ont déjà été utilisés. Les pirates peuvent voler des données et menacer de les revendre ou de les dévoiler. C'est ce qui est arrvié en 2015 à un laboratoire français. Autre attaque possible : bloquer l’accès au système informatique de l’hôpital, comme mi-février à Los Angeles. Dans ce cas précis, ils ont utilisés un cryptovirus, un logiciel malveillant relativement courant qui chiffre les données et en bloque l’accès.
Pour Philippe Loudenot, chargé de la sécurité des systèmes d'information pour les ministères chargés des Affaires sociales, c'est ce qu'on appelle "une attaque par opportunisme, c'est-à-dire que des systèmes mal protégés ont permis l’introduction de ce virus. C'est arrivé dans beaucoup d’entreprises françaises, et dans des hôpitaux français. La chance que nous avons, c'est que depuis deux ans nous avons monté une liste d’alerte. Cela permet d’indiquer de bonnes pratiques aux établissements. C'est aussi le moyen de se prémunir contre ce genre d'attaque."
Sensibiliser le personnel soignant
Outre la sécurisation des données, l'enjeu est aussi d'éduquer le personnel à la sécurité informatique. Il s'agit par exemple de ne pas cliquer sur des liens suspects, de choisir des mots de passe complexes et de mettre à jour ses antivirus. Des précautions qui doivent devenir des réflexes pour que ces informations sensibles ne tombent pas entre de mauvaises mains.