Cybersécurité

Une fuite de données affecte au moins quatre hôpitaux belges

La cyberattaque dont a été victime en Flandre l'AZ Monica n'est pas un cas isolé. Selon la société de cybersécurité Secutec, au moins quatre autres hôpitaux belges ont été touchés par une fuite de données similaire. Les recherches menées par Secutec pointent du doigt les vulnérabilités des fournisseurs informatiques externes. Les résultats soulignent l'importance de contrôles plus stricts dans le cadre de la législation "NIS2".

La cyberattaque contre l'hôpital AZ Monica d'Anvers ne semble pas être un incident isolé. La société de cybersécurité Secutec a découvert sur le darknet qu'au moins quatre autres hôpitaux belges ont été victimes de la même fuite de données, qui s'est produite chez un fournisseur de logiciel d'enregistrement en ligne des patients. Au total, plus de 71.000 fuites de données personnelles et de connexion de patients et de prestataires de soins de santé de cinq hôpitaux ont circulé.

Un grand fournisseur de technologies de l'information

La fuite a été révélée dans le cadre d'une enquête plus large menée par Secutec sur les violations de données et les cyberattaques en Belgique. Au cours de cette enquête, la société a également découvert un second incident, distinct, chez un important fournisseur de services informatiques. Dans ce cas, environ un millier de données de connexion d'organisations commerciales et d'agences gouvernementales belges ont été trouvées. Selon Secutec, cela montre que le problème est intersectoriel et ne se limite pas aux soins de santé.

Les résultats sont conformes aux signaux précédents concernant la vulnérabilité des hôpitaux. Une étude commandée par le SPF Santé publique a récemment indiqué que trois hôpitaux sur quatre doivent prendre des mesures supplémentaires pour répondre aux exigences de maturité en matière de cybersécurité imposées par la directive européenne NIS2. Geert Baudewijns, CEO de Secutec, nuance toutefois cette conclusion. "Le secteur des soins de santé est assez rapidement pointé du doigt", déclare-t-il. "En pratique, les hôpitaux belges disposent d'un niveau élevé de cybersécurité et de systèmes de protection avancés."

Selon M. Baudewijns, le problème ne vient souvent pas des hôpitaux eux-mêmes, mais de leur dépendance à l'égard d'applications numériques externes. "Les établissements de soins de santé, comme les organisations d'autres secteurs, font un usage intensif des logiciels en ligne des fournisseurs. Si ces fournisseurs sont piratés ou négligents, cela pose un risque sérieux. C'est précisément la raison pour laquelle la directive NIS2 met fortement l'accent sur le contrôle des tiers et les obligations d'audit. C'est là que certaines organisations peuvent encore faire des gains".

Vol de données

Secutec a également analysé la manière dont ces fuites se produisent. Selon l'entreprise, le vol de données se produit principalement par le biais de deux mécanismes : l'exploitation de vulnérabilités non corrigées et l'installation de "password stealers", des logiciels malveillants qui capturent les mots de passe. Ces deux méthodes sont tout aussi fréquentes l'une que l'autre. Le vol de mots de passe est particulièrement apprécié des cybercriminels dans les grandes organisations, car les droits d'accès y sont souvent très étendus.

"Les techniciens reçoivent souvent des droits d'administrateur pour effectuer leur travail", explique M. Baudewijns. "Mais il arrive qu'ils installent involontairement des logiciels malveillants. Si cela se produit chez un fournisseur informatique, les conséquences peuvent être très graves. Il souligne donc l'importance de l'authentification à deux facteurs. "Même si un mot de passe est volé, une deuxième étape d'authentification empêche souvent tout accès ultérieur."

Secutec a informé le Centre belge de cybersécurité de ses conclusions. Les hôpitaux concernés et le fournisseur informatique ont également été informés. Il leur a été conseillé de réinitialiser immédiatement les mots de passe, de tester les systèmes de sauvegarde et d'analyser minutieusement les réseaux à la recherche de traces d'intrusion.

Pour le secteur des soins de santé, cet incident est un avertissement clair. La cybersécurité ne s'arrête pas aux murs de l'hôpital : les fournisseurs et les partenaires font également partie intégrante du profil de risque. À la lumière du NIS2, cette approche en chaîne ne fera que gagner en importance dans les années à venir.