La violation chez Medtronic montre pourquoi le risque des données de santé dure des années
Medtronic aurait informé ses clients après une violation liée à ShinyHunters affectant des informations personnelles et médicales, soulignant la longue traîne de l'exposition dans le domaine de la santé.
Image d'accompagnement : photo de la Marine américaine par le matelot photographe de 3ᵉ classe Jason T. Poplin, via Wikimedia Commons, domaine public.
SecurityWeek a rapporté cette semaine qu'une violation de données chez Medtronic a touché 3,8 millions de personnes, avec ShinyHunters accédant aux systèmes informatiques de l'entreprise en avril et volant des informations personnelles et médicales. Medtronic a également informé les clients concernés après que des données personnelles aient été exposées à un tiers non autorisé.
Les violations de données dans le domaine de la santé diffèrent des fuites de comptes ordinaires parce que les données exposées sont plus difficiles à remplacer. Un mot de passe peut être réinitialisé. Une carte de crédit peut être réémise. L'historique médical, les identifiants des patients, le contexte des diagnostics, les relations de traitement et les données liées à l'assurance peuvent suivre une personne pendant des années.
Pourquoi les données de santé sont-elles si précieuses
Les dossiers de santé combinent des informations sur l'identité, financières et profondément personnelles. Cela les rend utiles pour plusieurs formes d'abus :
- Vol d'identité et fraude par identité synthétique.
- Fraude à l'assurance et escroqueries aux factures médicales.
- Hameçonnage ciblé faisant référence à de véritables relations de soins.
- Extorsion ou pression sur la réputation en utilisant un contexte de santé sensible.
- Revente à long terme car les détails médicaux ne deviennent pas rapidement obsolètes.
Pour les attaquants, les données de santé peuvent être monétisées de plusieurs manières, au-delà d'une simple fuite de identifiants.
Le facteur ShinyHunters
ShinyHunters a été à plusieurs reprises associé à des activités de vol de données massives et d'extorsion. Le groupe est notable car de nombreuses violations modernes ne nécessitent pas de logiciels malveillants exotiques ou d'exploitation de zero-day. L'accès peut se faire par des identifiants volés, des mauvaises configurations de cloud, des systèmes tiers, des applications exposées ou l'ingénierie sociale.
C'est la leçon inconfortable pour les organisations de santé et les entreprises de technologie médicale : la brèche la plus dommageable peut commencer par une simple défaillance d'accès informatique.
Ce que les personnes affectées devraient faire
Les personnes informées d'une violation de la sécurité des données de santé devraient supposer que le risque est à long terme.
- Surveillez les avis de facturation médicale, les réclamations d’assurance ou les communications des prestataires qui ne correspondent pas à une activité réelle.
- Geler le crédit lorsque cela est possible.
- Soyez méfiant envers les appels ou les courriels qui font référence à des détails médicaux pour établir la confiance.
- Utilisez des mots de passe forts et uniques ainsi qu'une authentification multifactorielle résistante au phishing sur les portails de santé.
- Conservez les lettres de notification de violation et les numéros de dossier pour de futurs litiges.
Ce que les organisations de santé devraient faire
Les programmes de sécurité des soins de santé doivent traiter les données des patients comme un actif de grande valeur où qu'elles se trouvent, et pas seulement à l'intérieur des systèmes cliniques.
- Cartographier où les données des patients et des clients sont stockées dans l'informatique d'entreprise, les outils de support, les systèmes analytiques, le stockage cloud et auprès des fournisseurs.
- Faire respecter le principe du moindre privilège et l'accès de courte durée pour les ensembles de données sensibles.
- Surveiller les grandes exportations, les requêtes inhabituelles et les accès anormaux par les comptes de support ou d'administration.
- Tester les plans de réponse aux incidents incluant la notification des patients, la communication avec le régulateur et la charge du centre d'appels.
- Examiner les intégrations tierces et SaaS pouvant accéder aux informations des patients.
Le point clé
Les violations de la sécurité dans le secteur de la santé sont des événements de confiance. Elles ne se terminent pas lorsque les notifications sont envoyées ou lorsque la surveillance du crédit est offerte. Les données peuvent rester utiles aux criminels longtemps après que l'équipe de réponse aux incidents ait clôturé le dossier.