Les organismes de santé sont aujourd’hui, après les banques, les premières victimes des cyber-attaques. En cause, leurs nombreuses vulnérabilités.

Hôpitaux et autres organismes de santé sont particulièrement vulnérables aux cyber-attaques du fait d’une surface d’attaque qui s’est considérablement élargie, avec la croissance du nombre d’objets connectés utilisés, de réseaux non partitionnés, de faibles contrôles d’accès, et de la dépendance à des systèmes vieillissants… Les vulnérabilités en résultant sont exploitées par des cybercriminels pour voler des informations personnelles, des informations médicales protégées et, enfin, pour perturber le fonctionnement de services médicaux. Tel est le constat dressé par Vectra, acteur majeur de la détection des cyberattaques et de la neutralisation des menaces basées sur l’intelligence artificielle, qui vient de publier le 2019 Spotlight Report on Healthcare.

Les principaux enseignements du rapport :

– Les attaquants utilisent des tunnels HTTPS pour cacher leurs communications C&C (utilisées pour commander une attaque à distance). Cette méthode est la plus utilisée dans le cadre d’attaques qui ciblent les organismes médicaux. Elle repose sur une communication externe impliquant de multiples sessions sur de longues périodes de temps donnant ainsi l’impression de n’être qu’un trafic web chiffré tout à fait normal.

– Les attaquants utilisent également couramment des tunnels DNS cachés pour dissimuler l’exfiltration de données des réseaux des structures de santé qu’ils ciblent. D’autres comportements compatibles avec l’exfiltration de données peuvent, également, être causés par des outils informatiques et de sécurité utilisant la communication DNS.

– Une fois infiltrés, les attaquants procèdent à la reconnaissance des réseaux, via des scans Darknet internes et l’analyse de comptes Microsoft Server Message Block (SMB). Les scans Darknet internes se déroulent lorsque des périphériques hôtes internes recherchent des adresses IP internes qui n’existent pas sur le réseau. De leur côté, les analyses de comptes SMB se produisent lorsqu’un périphérique hôte utilise rapidement plusieurs comptes via le protocole SMB qui est généralement utilisé pour le partage de fichiers.

– Le ransomware, en baisse dans le secteur médical : de nombreuses organisations en ont été victimes ces dernières années, mais la tendance du ransomware est à la baisse sur la période du rapport (2ème semestre 2018). Pour un hôpital, il demeure tout de même essentiel de détecter ces attaques avant que les fichiers ne soient chiffrés et que toutes les opérations cliniques ne soient interrompues.

– Les attaques par Botnet sont opportunistes et n’ont pas de cibles privilégiées : bien qu’elles persistent partout, leur taux d’occurrence dans le secteur de la santé est inférieur à celui d’autres industries.

«Les organismes du secteur de la santé ont du mal à gérer leurs systèmes qui sont généralement anciens et plus globalement l’ensemble de leurs dispositifs médicaux, explique Chris Morales, responsable analyse sécurité chez Vectra. Ils ont souvent des contrôles de sécurité faibles et fournissent un accès critique aux informations de santé des patients. S’ils veulent mieux gérer les risques liés aux systèmes existants et aux nouvelles technologies qu’ils adoptent, les organismes de santé doivent améliorer la visibilité sur leurs réseaux et les comportements.»