Comme dans la plupart des pays infectés, la pandémie de Covid-19 a poussé le système de santé américain à ses limites. Mais ce n’est pas la seule menace à laquelle a été confronté le secteur : les cyber-attaques, en particulier les attaques par ransomware, se sont multipliées à mesure de l’expansion de l’épidémie. La cible : les dispositifs médicaux IoT et les réseaux de santé. Selon Chris Sherman, analyste chez Forrester Research, deux hôpitaux américains ont déjà été attaqués via des systèmes de soins virtuels : un hacker ciblant une vulnérabilité dans un dispositif médical IoT (un capteur de surveillance des patients à distance) a réussi à accéder aux bases de données des patients de ces hôpitaux. Dans un autre genre d'attaque, Fresenius Group, un fabricant d'appareils médicaux et par ailleurs, l’un des plus gros opérateurs privés d'hôpitaux en Europe, a été victime d’un ransomware. « Il est clair que les attaquants se concentrent de plus en plus sur les dispositifs médicaux », a déclaré M. Sherman. « Leurs actions visent n'importe quel système exposé à Internet, ce qui est préoccupant, étant donné la vulnérabilité de la plupart des réseaux de santé », a ajouté M. Sherman.

Il est difficile de dire exactement dans quelle proportion ces attaques ont augmenté depuis la pandémie, mais la plupart des experts s'accordent pour dire qu'il y a très probablement une corrélation. Certains rapports estiment qu’il y a eu 3 à 5 fois plus d’attaques, comparé à ce qui se passait avant, mais M. Sherman fait valoir que ces chiffres pourraient être légèrement exagérés. Les prestataires de santé sont des cibles de choix pour les attaques par ransomware, et ce pour plusieurs raisons. D’abord, trop souvent, les dispositifs médicaux IoT sont mal protégés contre les intrusions, comme l’a rappelé Stew Wolfe, responsable de la cybersécurité chez NTT Canada. « La plupart de ces matériels n’ont pas été conçus dans un souci de sécurité. Ils sont tout juste protégés par des mots de passe par défaut inscrits dans un manuel que tout le monde peut trouver sur Internet », a-t-il déclaré. Mais celui-ci pointe aussi un autre défaut de sécurité physique inquiétant. De nombreux services hospitaliers et cliniques sont ouverts au public, ce qui veut dire que l'accès direct à ces dispositifs non sécurisés n’est pas très compliqué. « Il est même assez facile d'y accéder », a mis en garde M. Wolfe. « N’importe qui peut se promener dans des zones dont l’accès devrait être plus strictement surveillé ». 

M. Sherman pense aussi que l'utilisation de plus en plus importante des systèmes de télésanté et de soins virtuels a ouvert un nouveau front d’attaque très tentant pour les cybercriminels. Ces systèmes auparavant isolés, fonctionnaient uniquement sur des réseaux locaux de l'hôpital. « Mais désormais, ils sont utilisés pour une télémédecine hors de l’hôpital, et cela dans trop se préoccuper de la sécurité », a-t-il ajouté.

Ransomware

Cependant, à ce stade, tous les analystes ne sont pas convaincus que le secteur de la santé est devenu une cible particulière pour les pirates informatiques. Gregg Pessin, directeur et analyste senior chez Gartner Research, ne nie pas que les hôpitaux et les cliniques puissent être victimes de ransomwares, mais les attaques par phishing représentent selon lui le plus grand vecteur de menace, sans qu’il soit besoin de ciblage spécifique. « Dans la plupart des cas, le secteur de la santé n’est pas ciblé en particulier. Le malware est simplement envoyé au monde entier, et c’est quand un employé clique sur un lien malveillant qu’il peut, comme dans toute entreprise, mettre son organisation en danger », a-t-il déclaré. Cependant, étant donné la mission critique et le besoin urgent des réseaux médicaux, les attaques par ransomware contre les prestataires de santé peuvent rapporter de l'argent aux criminels. Un hôpital ne peut se passer de systèmes opérationnels pour mener sa mission critique de soins aux patients. Il ne peut se permettre de passer du temps à récupérer ses systèmes et il peut être tenté de payer la rançon.

Segmentation des réseaux

La segmentation du réseau est un très bon moyen de se protéger des défauts de sécurité des appareils IoT, et la méthode peut intéresser les prestataires de santé. « La segmentation permet de s'assurer que les dispositifs opérationnels potentiellement vulnérables ne sont pas connectés aux mêmes parties du réseau que les systèmes informatiques ayant besoin d’accéder à des données sensibles et d'infrastructure », a déclaré M. Pessin. Mais avant de mettre en place cette segmentation, l’organisme de santé doit bien connaître son réseau et disposer d’une visibilité sur tous les appareils présents sur le réseau. L’analyste de Gartner ajoute que de nombreux prestataires de santé investissent déjà dans des logiciels d'inventaire et de suivi capables de détecter de manière autonome les dispositifs IoT connectés au réseau et de voir s'ils se comportent de manière suspecte ou non.

« Il est également essentiel de mettre à jour les dispositifs qui ont cette fonctionnalité », a encore déclaré M. Sherman. De même, il est très important de mettre à jour les anciens systèmes affectés par des vulnérabilités connues, en particulier ceux qui ne peuvent être mis à jour à distance. « Ces opérations nécessitent quelques dépenses, mais c'est vraiment nécessaire », a-t-il déclaré. Enfin, selon M. Wolfe, le simple fait que l’entreprise ait conscience des menaces de sécurité qui pèsent sur son réseau représente aussi un bon atout pour mieux les combattre. « Formez vos médecins et vos infirmières à reconnaître un courriel malveillant, et travaillez avec les équipes de maintenance de ces appareils médicaux dans les hôpitaux pour améliorer leur sécurité et mieux les protéger contre ces menaces », a-t-il ajouté.