Ce weekend, les ordinateurs du monde entier ont subi l’attaque d’un virus informatique, Wannacry. Il a particulièrement atteint le système de santé publique du Royaume-Uni, le NHS, où plus de 70 000 appareils ont été bloqués. Sur 248 de ses organisations, 48 ont été infectées, induisant au passage le ralentissement de plusieurs hôpitaux.
En utilisant une faille de Windows XP révélée par la fuite de documents de la NSA, le logiciel malveillant bloquait l’accès aux données, tant que l’utilisateur ne payait pas 300 dollars en équivalent bitcoins, une monnaie virtuelle du web.
La situation semble être revenue à la normale, mais les cyber-attaques contre les établissements de santé semblent se multiplier. Vincent Trely, président de l’Association pour la sécurité des systèmes d’information de santé (APSSIS), explique le fonctionnement de ces virus, et fait le point sur notre vulnérabilité.
Que s’est-il passé lors de la cyber-attaque de ce weekend, au Royaume-Uni ?
Vincent Trely : Ce weekend, un cryptovirus (qui crypte les données informatiques, les rendant inaccessibles à l’utilisateur, ndlr), comme il en existe beaucoup, et de forte puissance, a attaqué de façon mondiale un certain nombre de systèmes d’information connectés à internet. Il utilise une vulnérabilité de Windows. Les hôpitaux anglais devaient être en retard sur les correctifs de sécurité, et ils ont pris le virus de façon brutale. Cela a généré un chiffrement de données des hôpitaux, ce qui a entrainé une perte de leur informatique. Ils ont alors aussi perdu l’accès aux dossiers patients, aux programmes de radiothérapie, de scanner et d’IRM. Cette désorganisation peut nécessiter jusqu’au transfert de patients vers des hôpitaux opérationnels.
Comment opèrent les hackers lors de ces attaques ?
Vincent Trely : Ce weekend, c’était une attaque automatique, qui se diffuse via des robots et des algorithmes. Le virus chiffre les données de l’ordinateur infecté, puis les données du réseau auquel l’ordinateur a droit d’accès. Ensuite, il propose un protocole de paiement pour récupérer la clé de déchiffrement. Il ne faut absolument pas payer cette rançon, car ce sont des robots qui opèrent, et leur protocole se termine à la réception de l’argent. Vous aurez donc payé, mais les données ne seront pas déchiffrées.
D’autres attaques plus sophistiquées, pilotées par des hackers, attaquent parfois les établissements de santé. Ils prennent la main sur les données, les cryptent ou les volent, et exigent une rançon avec un protocole de paiement en échange de la restitution des données. C’est arrivé de nombreuses fois aux États-Unis, avec des établissements qui ont payé un, deux, et jusqu’à dix millions de dollars.
Les hackers peuvent-ils aussi se servir des données personnelles ?
Vincent Trely : Un dossier médical a une valeur marchande. Il y a une cotation sur le dark net. Un dossier médical s’évalue, en fonction des mois, entre 50 et 200 dollars. Il y des acheteurs, pour des ensembles de données, à des montants qui peuvent être intéressants pour des cyber-pirates. On trouve des bases de données de patients, ou d’assurances, qui sont à vendre pour 300 000, 400 000, ou 500 000 euros.
Elles peuvent intéresser des gouvernements, car l’état de santé d’une population est un indicateur comme un autre, des multinationales, des laboratoires, des compagnies d’assurance… Ce n’est pas votre dossier, ni le mien, qui les intéresse, mais une masse de données sur laquelle on peut faire du traitement.
Sommes-nous vulnérables en France ?
Vincent Trely : Tous les systèmes ont des failles. Si vous achetez un serveur, il en aura qui seront découvertes au fur et à mesure, et elles pourront être exploitées. Tous les constructeurs diffusent régulièrement des correctifs ou des patchs de sécurité. Gérer une informatique, c’est maintenir en permanence tous les équipements. Et ça, ce n’est pas toujours fait. C’est compliqué, c’est coûteux en temps, ce n’est pas toujours simple car les correctifs peuvent faire dysfonctionner les applications qui tournent sur le serveur. C’est une stratégie.
En France, le parc n’est pas homogène. Certains hôpitaux sont encore sous Windows XP, attaqué par ce virus, des systèmes sont vieillissants, et pas mis à jour. Nous sommes donc tout à fait réceptifs à ce genre d’attaque. Mais je pense que le nécessaire a été fait ce weekend. J’ai vu passer un certain nombre de notes venant de la chaîne de cybersécurité du ministère vers les responsables sécurité et informatique pour les mobiliser.
Nous sommes, en France, en progrès au niveau de la sécurité. Il y a beaucoup à faire. Le système de santé français a pris conscience de la problématique en passant au numérique, Depuis 2012-2013, c’est un sujet, et ça devient maintenant un enjeu.