Archives par mot-clé : médicale

Fuites de données médicales : vérifier si l’on est concerné par la fuite massive de données de santé

La semaine dernière, l’actualité portait sur la fuite de données médicales à caractère sensible de près de 500 000 personnes en France.

Ces données étaient sur le Dark web. Au début elles étayent commercialisé et pour quelle raison que ce soit, elles sont dorénavant gratuites. Face à une telle situation, une entreprise spécialisée, a décidé de mettre en ligne un moyen qui permet de vérifier si les données en circulation contiennent certaines qui nous concernent.

Cet article va aussi vous intéresser : Données médicales : Plusieurs centaines de patients Français voient leur donner données sur le Dark Web

La société qui propose cet outil est basé dans la ville française de Rennes. Elle se dénomme Accéis.

Donc si vous doutez de faire partir des personnes dont les données sont en circulation, vous pouvez alors vérifier. Il vous suffit tout simplement d’accéder au site fuitededonneesdesante.acceis.fr, de composer votre numéro de sécurité sociale dans le champ unique de recherche qui vous sera présenté. Vous pourrez alors vérifier si vous êtes belle et bien parmi ceux dont les données sont en libre circulation.

Pour plus de précisions, l’entreprise de sécurité qui a mis en place le système précise que le serveur : « ne contient pas les informations personnelles, ni les données de santé relatives à la fuite de données. Seuls des condensats cryptographiques (SHA-256) sont utilisés, permettant de confirmer/infirmer la présence d’une identité dans la fuite de données. ».

Il faudrait que les personnes qui pourront être concernées par la fuite sachent qu’une enquête est belle et bien en cours pour déterminer non seulement l’ampleur de la fuite mais aussi les responsables.

D’une part la vigilance est de mise. Car, ces informations peuvent bien servir pour initier des campagnes d’usurpation d’identité, ou encore des tentative d’extorsion ou de chantage. C’est d’ailleurs comme ça que fonctionnent les pirates informatiques.

« On a déjà eu le cas par le passé pour une clinique médico-psychologique dont les enregistrements de séance avaient été récupérés par un hackeur, qui avait fait pression sur les patients en menaçant de divulguer le contenu des échanges, et de réclamer une rançon pour ne pas le faire », raconte Yves Duchesne, spécialiste de la sécurité informatique.

Dans ce contexte un tel cas de figure est fort probable. C’est d’ailleurs pour cette raison que le spécialiste conseille fortement, aux personnes qui pourraient être dans ce genre de conditions, de former le plus tôt possible les autorités soit à la gendarmerie ou la plate-forme pour la cybermalveillance : https://www.cybermalveillance.gouv.fr/. Selon Yves Duchesne, quelle que soit la cause d’un incident informatique, on est sûr que tout provient de la même souche : « les hôpitaux, comme les laboratoires, n’ont pas forcément un expert en cybersécurité dans leurs rangs. Un labo n’a pas la capacité de dire si le logiciel qui lui permet de gérer les données médicales est sécurisé ou pas. Il se fie aussi à ce qu’on lui vend. ». Il conclura en notant une réalité bien alarmante : « La sécurité informatique du secteur de la santé, cible de multiples attaques ces derniers temps, « car les données médicales se vendent bien », est ainsi en construction depuis plusieurs années, avec une prise en compte de l’importance de se protéger. »

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Le site internet Doctissimo, dans le collimateur de la CNIL pour violation du règlement européen de la protection des données personnelles

Dans le courant de la semaine dernière, une information pu révéler sur le célèbre site d’information médicale dénommé Doctissimo.

Il se pourrait que ces derniers mois, le site utiliserait des données d’utilisateurs, en particulier ceux de dépression sans même que les utilisateurs n’en soient informés au préalable.

Cet article va aussi vous intéresser : Des millions de données médicales encore dérobées

Tout commence précisément le 26 juin 2020. Privacy International, une organisation non gouvernementale britannique dépose une plainte auprès de la Commission nationale de l’Informatique et libertés en abrégé CNIL, en France contre le site web. Notons par ailleurs que Doctissimo fait partie du grand groupe TF1. Il cumule environ plus de 60 millions de visiteurs par jour. L’accusation portée contre lui a rapport sur l’utilisation illicite de certaines données d’utilisateurs a des fins lucratives. Une utilisation qui ne provient pas du consentement explicite de ces derniers.

En se référant à la plainte déposée par l’ONG britannique, on peut me tenir que Doctissimo aurait monétisé de manière illégale certaines des informations issues de test de dépression de ses utilisateurs. Au vu du nombreux utilisateur de la plate-forme, si la violation est avérée, cela peut constituer une grave violation du règlement général de la protection des données, la norme européenne en la matière.

Il faut quand même noter qu’en 2019, ce genre d’affaires a été non heureusement traité par la CNIL. En effet l’autorité administrative française a fait face à plusieurs plaintes de ce genre. C’est du côté de Privacy international, le travail a été de faire un constat clair et net des business qui ont lieu dans le secteur de la santé à travers le monde entier. L’organisation non gouvernementale, a déjà publié en septembre 2019 et en février 2020, des rapports portant sur ce sujet.

Le premier rapport de septembre 2019 commence à mettre en évidence le problème évoqué ci-dessus. On pouvait lire dans ce document que : « un petit nombre de sites web proposant des tests de dépression partagent vos réponses directement avec des tiers. Doctissimo fait partie des plateformes concernées ».

Le rapport qui sorti en février 2020, il a été décrit encore les actions du site français au niveau du partage des données des utilisateurs pour des besoins de marketing. C’est dans ce contexte que l’organisation britannique, a demandé à l’autorité administrative française de plus amples enquêtes sur les investissements du site.

Dans sa plainte qui fut déposée près de la CNIL, on pouvait tout simplement lire : « Doctissimo n’a pas de base légale pour le traitement des données à caractère personnel, car les conditions d’un consentement valable ne sont pas remplies. Doctissimo ne recueille pas non plus de consentement explicite dans le cas de données à caractère personnel d’une catégorie particulière. La notion de consentement est pourtant l’un des piliers du règlement général sur la protection des données ».

Si les accusations sont avérées, il faudrait s’entendre à une grosse sanction pour le site web français.

Par ailleurs, lors de ses enquêtes, l’organisation de montagne britannique aurait découvert d’autres agissements de la plateforme de santé qui ne convenaient pas aux règles en vigueur. En parlant notamment de la sécurité lors des traitements des données personnelles des utilisateurs et la gestion efficiente des cookies, qui depuis un certain moment est un sujet très important pour les entreprises qui agissent sur le web.

Pour le moment le retour de l’autorité administrative de la protection des données personnelles est attendu. Sur ce coup la plateforme Doctissimo risque gros. C’est sûrement pour cette raison que le groupe TF1 a voulu éminemment réagir en s’exprimant sur le problème : « La sécurité des données personnelles de nos internautes est la priorité de Doctissimo. C’est pourquoi nous prenons toutes les mesures pour assurer l’intégrité des données de nos internautes. Nous agissons ainsi conformément à notre mission qui consiste à proposer gratuitement des contenus éditoriaux et des services de qualité tout en assurant la sécurité des données personnelles que nous confient nos utilisateurs lorsqu’ils créent un compte Doctissimo et utilisent nos services ».

Concernant la plainte, d’autres sites internet n’ont pas été évoqués. Cependant le rapport de l’ONG britannique fait cas de ce même genre d’attitude sur d’autres plateformes sanitaires.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Le domaine de la santé et la cybersécurité

Les experts sont aujourd’hui unanimes.

Les institutions de santé sont aujourd’hui une cible privilégiée des cybermalveillants. Et cela tend à s’accroître. En effet, suite à une étude menée par « La Croix », il existe encore plusieurs institutions sanitaires, ne disposant pas jusqu’à présent de système de sécurité informatique pouvant assurer une sécurité potable pour assurer une confidentialité de leur données médicales.

Cet article va aussi vous intéresser : Comment appréhender la sécurité des données de santé ?

On se rappelle à l’heure de l’attaque Informatique suivi par le CHU de Rouen entre le 16 et le 17 novembre dernier qui a été véritablement un choque : « Système informatique hors service. Délais très importants pour les patients ne consultant pas pour une urgence vitale. Tous les ordinateurs du CHU sont touchés. ». L’ampleur de l’attaque était inédite et cela a été littéralement l’un des plus grands choques que le monde hospitalier n’est connu en France. tout l’informatique de l’établissement avait été mis hors service. De la connexion internet en passant par l’accès aux dossiers médicaux des patients jusqu’à la messagerie, tout était inaccessible. « On ne savait pas grand-chose de ce qui se passait », expliquait le docteur Gilles Avenel, « il a fallu attendre dix jours pour pouvoir recommencer à envoyer des mails et cinq de plus pour accéder à Internet ».

Cependant, au cours de l’année 2019 voire même avant de cela, ce genre d’attaque a été fréquent. Et il ne faudrait pas se leurrer car ce n’est pas maintenant qu’elles prendront fin. En effet à en croire l’Agence nationale de sécurité des systèmes d’information, il y a eu une augmentation de ces attaques depuis 2017 à hauteur de 70 %. En 2019 en plus du CHU de Rouen, celui de Montpellier et le centre hospitalier d’Issoudun ont été aussi la cible de cyberattaque. Le groupe Ramsay avec les 120 établissements n’ont pas aussi échappé à la vague de piratage connue en 2019. « Il ne se passe quasiment pas une semaine sans qu’une structure de santé ne soit visée par un cryptolocker (un logiciel cryptant les données, comme celui qui a touché Rouen, NDLR) », signifiait Vincent Trely, fondateur de l’association pour la sécurité des systèmes des formations de santé. Selon lui : « plus aucun directeur d’hôpital n’ignore l’importance de la cybersécurité ». En fait, cela semble normal car à y regarder de près, on se rend compte que les hôpitaux deviennent de plus en plus moderne et dépendent de plus en plus du numérique. Ce qui accroît évidemment leur vulnérabilité.

Interrogé, Cédric Cartau, responsable de la sécurité des systèmes d’information au CHU de Nantes affirmait : « Le nombre des cyberattaques contre les entreprises est en augmentation constante (…) On a numérisé très vite, depuis une dizaine d’années, mais la sécurité n’a pas suivi s (…) Et, s’ils arrivent, faire en sorte que les conséquences ne soient pas irréversibles. ». Il ajoutera par la suite que « Pour 135 groupements hospitaliers de territoire, c’est peu ».

Pour ce dernier, il est possible de lutter efficacement contre ces attaques voir même les éviter. Cela passe par la prévention mais aussi la mise en place de systèmes capable d’assurer les premières défenses. « Les pirates sont pragmatiques : entre une industrie blindée et une autre ouverte à tous les vents, ils choisissent la deuxième. Aujourd’hui, si vous braquez une banque avec une arme, vous êtes arrêté tout de suite. Si vous piratez un hôpital, personne ne vous trouvera jamais et vous aurez pris autant d’argent, voire plus. »

En outre, regarde dans les conséquences immédiates de ces attaques informatiques sur les établissements de santé, on ne pourrait que s’inquiéter. En effet, dans le cas de l’attaque du CHU de Rouen, on a constaté que des patients devant être pris en charge dans l’urgence ont été dirigés vers d’autres établissements au péril de leur vie. Non seulement de mettre la vie des patients en danger car cela est une conséquence immédiate, ces attaques informatiques occasionnent des pertes financières énormes. Pour soulever le problème de piratage sur les patients, Emmanuel Sohier, responsable de la cellule « Accompagnement cybersécurité des structures de santé » au sein de l’Agence du numérique en santé déclarait : « Les médecins ont besoin de données intègres. Imaginez que les informations concernant un patient traité pour un cancer soient indisponibles ou erronées, cela pourrait le mettre en danger ».

Au regarde ce qui précède, on peut tout simplement déduire que 2020 s’annonce difficile pour les établissements de santé. Car comme nous l’avons signifier il faudrait s’attendre à une recrudescence de ce phénomène de cyberattaque au milieu médical. Espérons que les autorités et les spécialistes ont déjà commencé à se pencher sur ce problème.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Des millions de données médicales encore dérobées

Dans la semaine du 12 décembre de cette année, l’une des plus grandes sociétés de fournitures de service dans le domaine des tests de laboratoire se situant au Canada, a admis officiellement avoir versé une rançon à des pirates informatiques en échange des millions de données que ces derniers leurs avaient dérobées. ces données appartenaient exactement à 15 millions de clients.

Le fournisseur des services des tests de laboratoire dénommé LifeLabs a immédiatement informé les autorités compétentes qu’elle avait subi le 1er novembre une sévère intrusion dans son système informatique. Basée à Ontario précisément à Toronto, l’entreprise a finalement déclaré avoir subir une attaque informatique qui a frappé son système qui était chargé de stocker des données appartement à des millions de clients. Parmi les informations qui ont été dérobées, il avait notamment les adresses mail, les noms et prénoms, adresses géographiques, des identifiants de connexion tel que noms d’utilisateur et mots de passe, des numéros de test de laboratoire sans oublier des numéros de carte de santé.

Cet article va aussi vous intéresser : La sécurité des données numériques de nature médicale face aux nombreuses fuite de données

Charles Brown, le chef de direction du LifeLabs, dans un communiqué a annoncé que l’entreprise avait ainsi pris plusieurs mesures pour assurer une protection maximale des informations de ses clients. Dans ce contexte, elle a engagé dans l’immédiat des spécialistes de la sécurité informatique ayant une renommée mondiale. Le but était d’analyser le système et déterminer à quel point l’attaque a été portée pour ensuite le renforcer davantage. Cependant suite à une collaboration avec des spécialistes de la cybercriminalité, la société réussi à rentrer en contact avec les pirates informatiques dans le but de lui racheter les données dérobées.

En outre, une enquête des autorités est en cours pour déterminer qui sont véritablement ces cybercriminels. « Je tiens à souligner qu’à l’heure actuelle, nos sociétés de cybersécurité ont indiqué que le risque pour nos clients dans le cadre de cette cyberattaque est faible et qu’elles n’ont constaté aucune divulgation publique des données des clients dans le cadre de leurs enquêtes, y compris la surveillance du dark web et d’autres sites en ligne. (…) Nous avons corrigé les problèmes du système liés à l’activité criminelle et avons travaillé 24 heures sur 24 pour mettre en place des garanties supplémentaires pour protéger vos informations. Dans un souci de transparence et conformément aux réglementations en matière de confidentialité, nous faisons cette annonce pour informer tous les clients. Il existe des informations concernant environ 15 millions de clients sur les systèmes informatiques qui ont été potentiellement consultés dans cette violation. La grande majorité de ces clients se trouvent en Colombie-Britannique et en Ontario, avec relativement peu de clients dans d’autres endroits. Dans le cas des résultats des tests de laboratoire, nos enquêtes à ce jour sur ces systèmes indiquent qu’il y a 85 000 clients touchés en 2016 ou avant en Ontario; nous travaillerons pour informer ces clients directement. Notre enquête à ce jour indique que toute information sur la carte Santé datait de 2016 ou plus tôt. (…) Bien que vous ayez le droit de déposer une plainte auprès des commissaires à la protection de la vie privée, nous les avons déjà informés de cette attaque et ils enquêtent sur la question. Nous avons également informé nos partenaires gouvernementaux. (…) Bien que nous ayons pris des mesures au cours des dernières années pour renforcer nos cyberdéfenses, cela nous a rappelé que nous devons rester en tête de la cybercriminalité qui est devenue un problème omniprésent dans le monde dans tous les secteurs. (…) Tout client préoccupé par cet incident peut bénéficier d’une année de protection gratuite qui inclut une surveillance du dark web et une assurance contre le vol d’identité ». Déclarait ainsi le chef de direction.

Interrogé sur le cas présent le commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique déclare :  « Je suis profondément préoccupé par cette question. La violation de renseignements personnels sensibles sur la santé peut être dévastatrice pour les personnes touchées (…) Nos bureaux indépendants se sont engagés à enquêter de manière approfondie sur cette violation. Nous communiquerons publiquement nos conclusions et recommandations une fois nos travaux terminés ».

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage