Cyberattaque Massive chez Change Healthcare: La Chronologie
Imaginez un mercredi après-midi ordinaire qui bascule soudainement. C'est exactement ce qui s'est passé le 21 février 2024 lorsque les systèmes de facturation de cabinets médicaux et de pratiques de soins de santé ont cessé de fonctionner, et que le traitement des demandes d'assurance s'est brutalement interrompu. Change Healthcare, un géant américain des technologies de santé, venait d'être victime d'une cyberattaque massive aux répercussions sans précédent.
Cette attaque par rançongiciel, orchestrée par le gang ALPHV/BlackCat, a conduit au vol des données médicales ultra-sensibles de pas moins de 190 millions d'Américains, soit plus de la moitié de la population du pays. Il s'agit de la plus grande brèche de données médicales de l'histoire des États-Unis.
Les Premières Heures Critiques
Tout a commencé le 21 février lorsque Change Healthcare a dû invoquer ses protocoles de sécurité et shut down son réseau entier pour isoler les intrus détectés dans ses systèmes. Cette action a entraîné des pannes soudaines et généralisées dans le secteur des soins de santé qui dépend d'une poignée d'entreprises comme Change Healthcare pour gérer les demandes d'assurance et de facturation.
Il a ensuite été déterminé que les hackers s'étaient initialement introduits dans les systèmes de l'entreprise plus d'une semaine auparavant, vers le 12 février, en utilisant les identifiants volés d'un « employé de support client de bas niveau » qui n'étaient pas protégés par l'authentification multi-facteurs, une fonctionnalité de sécurité de base.
Un Gang de Rançongiciel Russe Identifié
Le 29 février, UnitedHealth, propriétaire de Change Healthcare, a confirmé que l'attaque était l'œuvre d'un gang de rançongiciel russe nommé ALPHV, aussi connu sous le nom de BlackCat. Ce groupe opère selon un modèle "Ransomware-as-a-Service", où les affiliés piratent les réseaux des victimes et déploient le malware développé par les chefs d'ALPHV/BlackCat, qui prennent une part des rançons collectées.
22 Millions de Dollars de Rançon Payée
Dans une tentative désespérée de récupérer les données volées, UnitedHealth a versé la somme astronomique de 22 millions de dollars au groupe de hackers début mars. Mais à la stupéfaction générale, les criminels ont disparu avec l'argent sans rendre les données, laissant Change Healthcare et des millions d'Américains dans une situation catastrophique.
Un affilié lésé d'ALPHV a affirmé que les chefs du gang avaient volé les 22 millions de dollars de rançon et a fourni comme preuve un lien vers une transaction Bitcoin unique datée du 3 mars.
Une Perturbation Massive du Système de Santé
Pendant ce temps, des semaines après le début de la cyberattaque, les pannes étaient toujours en cours, empêchant de nombreuses personnes d'obtenir leurs médicaments sur ordonnance ou les obligeant à payer de leur poche. L'assureur santé militaire TriCare a déclaré que « toutes les pharmacies militaires dans le monde » étaient touchées.
L'American Medical Association déplorait le peu d'informations fournies par UnitedHealth et Change Healthcare sur les pannes en cours, causant une perturbation massive qui continuait de se répercuter dans tout le secteur des soins de santé. La situation était si grave et complexe que le Département américain de la Santé et des Services sociaux est intervenu pour aider à notifier les patients touchés.
190 Millions d'Américains Affectés
Il aura fallu attendre le 24 janvier 2025, presque un an après le début de l'attaque, pour qu'UnitedHealth confirme l'ampleur stupéfiante de cette brèche de données : 190 millions d'Américains ont vu leurs informations médicales privées volées, y compris des dossiers médicaux, des diagnostics, des médicaments, des résultats de tests, ainsi que des données personnelles et bancaires.
Cette cyberattaque sans précédent met en lumière les failles de sécurité flagrantes de Change Healthcare, comme l'a révélé une plainte déposée par l'État du Nebraska. Mais surtout, elle soulève des questions cruciales sur la protection des données médicales ultra-sensibles à l'ère du numérique, et sur la responsabilité des entreprises qui en ont la charge.
Andrew Witty, PDG d'UnitedHealth Group, a admis devant les législateurs que les pirates avaient pénétré les systèmes de Change Healthcare en utilisant un seul mot de passe sur un compte utilisateur non protégé par l'authentification multi-facteurs.
L'histoire de cette cyberattaque massive, la plus grande de l'histoire américaine en termes de vol de données médicales, est un rappel brutal de l'importance vitale de la cybersécurité dans notre société de plus en plus connectée et dépendante du numérique. Elle met également en évidence les conséquences dévastatrices que peuvent avoir les failles de sécurité des entreprises sur la vie privée et la sécurité de millions d'individus.
Il est désormais impératif que les entreprises, en particulier celles qui gèrent des données aussi sensibles, renforcent drastiquement leurs protocoles de sécurité et investissent massivement dans la cybersécurité. Car comme le montre le cas Change Healthcare, une simple erreur peut avoir des répercussions catastrophiques à une échelle inimaginable.
