Covid-19 : une période propice aux cyberattaques des hôpitaux ?

À en croire certaines informations, les cyberattaques augmenteraient ces derniers temps notamment dans le secteur médical. L’effet Covid-19 ? En réalité, c’est davantage la cible de certains cybercriminels qui a changé, mais le sujet est loin d’être nouveau. Le coût de la cybercriminalité est estimé à 6 milliards de dollars (1). Et la pandémie constitue un terreau favorable à de nouvelles cyberattaques contre les hôpitaux et bien d’autres institutions. Pourtant, le phénomène est beaucoup plus ancien et de nombreuses cyberattaques ne sont jamais décelées, ni même révélées.

◆ Tous confinés, tous concernés

Presque toute la planète voit ses habitants confinés chez eux. Plus de 50% de la population mondiale est en ligne, soit plus d’un million de personnes, et 2/3 de la population l’est sur ses propres terminaux (téléphones et tablettes) (2). L’internet est sous tension, d’où les difficultés pour les opérateurs d’assurer une fluidité des réseaux wifi et mobiles 3G ou 4G. Ils n’envisagent pas de blackout, mais notez que « ça rame » plus qu’avant et que ce n’est pas le fait d’une défaillance technique, mais d’une recrudescence de connexions qui n’a pas été envisagée à cette ampleur. Les cybercriminels en herbe, ou ceux qui ne faisaient jusqu’ici pas trop de cyber-délit, peuvent faire partie de ceux qui accroissent le nombre de cyberattaques. Ils ont du temps de libre pour s’exercer et développer leur potentiel, mais aussi accroitre leur réseau, analyser le terrain afin d’en évaluer les risques, les failles et détecter de nouvelles cibles ; cette pandémie est parfaitement propice à cela.

Par ailleurs, le télétravail a été mis en place dans l’urgence et géré comme une situation temporaire. Les cyberprotections sont plus instables, moins sécurisées, puisqu’il n’y a plus de gestion des risque en interne. En effet, le rempart est bien mince quand c’est l’ordinateur personnel qui permet d’effectuer son travail, mais aussi de s’adonner à ses diverses utilisations privées, lesquelles peuvent réduire à néant l’effort de cyberprotection de l’entreprise. Plus largement, les incidents de sécurité proviennent à 63% des collaborateurs actifs (3). 76 %  des entreprises pensent être suffisamment préparées contre les failles de sécurité et seulement 25 %  rattache leur organisation de sécurité au comité exécutif (4). Dans les faits, notre société, nos administrations, nos entreprises sont en déficit non pas seulement de technologie, mais aussi de compréhension des cybercriminels. La sécurité et la cybersureté ne sont pas des sujets que les entreprises intègrent dans leurs pratiques de RSE (responsabilité sociale des entreprises), elles ne sont pas même prises en compte dans les risques opérationnels. La réponse technique est souvent une solution référence en « copier/coller » que les entreprises utilisent sans tenir compte de la psychologie multidimensionnelle des cybercriminels ; ceux-ci puisent leurs sources dans le réel, vivent dans le réel, mais développent également une vie dans le virtuel.

En fait, c’est une manne logique pour les délinquants du réel et du virtuel, puisqu’une intrusion réussie permet non seulement de collecter des éléments, mais également des pratiques de l’entité attaquée, offrant ainsi la possibilité de les reproduire à l’infini. La cybersureté sera le prochain poste essentiel à intégrer dans les comités de direction et les comités exécutifs pour se protéger dans ces deux espaces que sont le réel et le virtuel. 

◆ L’hôpital pris pour cible ?

Qui va se préoccuper en période de crise sanitaire mondiale des délinquants et des cybercriminels, alors qu’il y a urgence partout ? La presse internationale a dernièrement mis en avant des activités cybercriminelles contre des hôpitaux tchèques (5), qui grandissent la liste des nombreux hôpitaux victimes de cyberattaques depuis des années dans le monde entier. Certains hôpitaux ne sont pas attaqués directement, mais au travers d’un prestataire de service, comme cela arrive souvent pour toute entreprise intéressant un cybercriminel. Ce n’est malheureusement pas le cas pour tous les hôpitaux qui doivent alors fermer l’ensemble de leur système (6) et reporter des opérations urgentes.

Lors d’une cyberattaque, on évoque trop souvent une intrusion technique, sans pour autant en découvrir systématiquement la source et la motivation réelle. Les intérêts souvent avancés sont économiques ou politiques. Les mondes des affaires, de la recherche, de la connaissance sont avides de « data », de données indispensables pour créer de nouvelles offres, de nouveaux produits afin d’être compétitif dans cette guerre commerciale incessante qui se joue au détriment de l’humain. Cette attitude oblige certains cybercriminels, tels que les Anonymous, à rendre publiques ces dérives. Ils peuvent aussi devenir des lanceurs d’alerte comme Edward Snowden et dénoncer des cyberattaques, parfois discutables ou improbables, entre États. On évoque peu les trusts ou les conglomérats qui missionnent des cybercriminels pour savoir qui vous êtes, ce que vous mangez, quel est votre rythme de vie, votre état de santé… bref tout ce qui permettra de créer les besoins de demain. Ainsi, l’hôpital est une cible choisie pour tout savoir sur les patients, leurs prescriptions, leurs maladies, etc. Les données engrangées se revendent très bien dans le darknet.

L’ensemble des conditions de travail (l’urgence, le manque de personnel, le nombre de malades, la fatigue) ne permet pas de demander à une infirmière ou un médecin de prendre en compte la cybersécurité de leur établissement. D’autant plus que peu ont été formés ne serait-ce que sur la forme que peut prendre une cyberattaque. Quelle aubaine pour des cybercriminels sans éthique. Oui, certains cybercriminels ont une éthique et ils l’ont prouvé en annonçant une trêve contre les hôpitaux en cette période de crise sanitaire (7). Les profils des cybercriminels sont variés. Aux yeux de certains, l’humain, la notion de vie ou de mort, la solidarité ou le respect d’autrui n’ont pas de grandes valeurs. D’autres cherchent à s’enrichir ; le rançonnage étant une pratique des plus courantes, et les logiciels (8) et les services liés à cette activité ont leur propre marché sur le darkweb (9).

◆ Les cybercriminels qui protègent les hôpitaux

On n’appréhende les cyberattaques qu’avec et par la technique, or elles sont conçues et lancées par des êtres humains. Leurs cerveaux est un paramètre dont il convient de tenir compte. Le préventif et le prédictif ne sont pas intégrés, même culturellement en France. Face à cet espace virtuel, transversal, sans frontière, sans loi, sans emprise, on réfléchit comme dans l’espace réel, pyramidal, lent, peu réactif, peu créatif, entravé par de nombreux dogmes et paradigmes. Certains hôpitaux n’ont pas été « intrusés » par des cybercriminels du fait du Covid-19, mais ils étaient déjà victimes de cyberattaques, et cela depuis des années. Si l’on devait comparer réel et virtuel, le nombre de récidives de cambriolage dans le premier, est-il aussi important que dans le second ?  Une fois l’intrusion virtuelle réalisée, c’est pour toujours. Les secteurs les plus à risque sont ceux qui présentent un intérêt hautement financier. Interpol, au moment d’écrire cet article, enquête déjà sur trente affaires d’escroqueries liées au Covid-19, avec dix-huit comptes gelés et plus de 730 000 dollars de transactions frauduleuses présumées (10). Le médical, la recherche et la finance sont les cibles favorites des cybercriminels, ce qui est connu depuis longtemps, mais ces cibles sont-elles suffisamment analysées afin d’être mieux cybersécurisées ? De même, de nombreuses cyberattaques restent des énigmes non résolues faute d’avoir établi le profil, ou net-profil, des cybercriminels, aussi variés soient-ils. Une volonté internationale de protection du corps médical est tout de même en œuvre. Pour exemple : « Nous avons un message très clair pour les gangs qui pratiquent le ransomware : ne ciblez pas les hôpitaux. Si vous le faites, vous subirez la colère de la communauté de la cybersécurité. » s’indigne Mikko Hyppönen, chercheur pour l’entreprise de cybersécurité finlandaise F-Secure. Un groupe pour lutter contre ces cybercriminels s’est créé, Cyber Volunteers 19 (CV19), afin d’aider les acteurs de la santé à se protéger contre les attaques, au moyen de briefings quotidiens et de conseils.

Nadine Touzeau

 

À propos de l’auteur

Professeure-chercheuse en comportement des cybercriminels et neurosciences, Nadine Touzeau est à l’origine des théories sur les différenciations comportementales entre le réel et le virtuel développées dans de nombreuses publications aux États-Unis dont neuf la première année. Elle est l’auteure notamment de “Net Profiling – Appréhender les profils des cybercriminels (éd. Transition, 2018)”. Nadine Touzeau agit comme profiler et net-profiler auprès de diverses institutions.

✰ Magazine NEXUS : 112 pages, 0 Pub, 100 % inédit, 100 % indépendant, le magazine à saisir en kiosque et en ligne tous les 2 mois ! ✰

👉Découvrez tous nos magazines et nos sujets inédits en cliquant ici

 

1. Rapport du le coût de la cybercriminalité, mars 2019 Accenture (https://www.accenture.com/_acnmedia/PDF-96/Accenture-2019-Cost-of-Cybercrime-Study-Final.pdf#zoom=40)

2. Rapport sur les risques globaux janvier 2020, World Economics Forum (http://www3.weforum.org/docs/WEF_Global_Risk_Report_2020.pdf)

3. Rapport Deloitte 2018, p.13 l’humain au cœur de la cybercriminalité (http://efl.fr.s3.amazonaws.com/pdf/20180118_Etude_Cyber2018_VDEF.pdf)

4. Rapport Deloitte 2019, Les grands enjeux de la cybersecuité (https://www2.deloitte.com/fr/fr/pages/risque-compliance-et-controle-interne/articles/enjeux-cyber.html )

5. Article du Reuters, 17 avril 2020, Les Tchèques mettent en garde contre les cyberattaques imminentes à grande échelle contre les hôpitaux (updat1-Czechs warn of imminent, large-scale cyberattacks on hospitals : https://www.reuters.com/article/czech-cyber-idUSL8N2C41JL)

6. Article du Siècle Digital, 23 mars 2020, Les hopitaux de Paris touchés par une cyberattaque (https://siecledigital.fr/2020/03/23/les-hopitaux-de-paris-touches-par-une-cyberattaque-en-pleine-crise-de-covid-19/)

7. BFM, 21 mars 2020, En pleine pandémie, des hackers s’en prennent à des organismes de santé (https://www.bfmtv.com/tech/en-pleine-pandemie-des-hackers-s-en-prennent-a-des-organismes-de-sante-1878143.html)

8. Article Numerikare, 25 mars 202, Le centre pour la cybersécurité met en garde les hôpitaux contre les logiciels de rançons (https://www.numerikare.be/fr/actualites/le-centre-pour-la-cybersecurite-met-en-garde-les-hopitaux-contre-les-logiciels-de-rancon.html)

9. Europol, 3 avril 2020, Catching the virus cybercrime, disinformation and the COVID-19 pandemic (https://www.europol.europa.eu/publications-documents/catching-virus-cybercrime-disinformation-and-covid-19-pandemic)

10. Interpole 13 mars 2020 INTERPOL met en garde contre les escroqueries financières liées à la COVID-19 (https://www.interpol.int/fr/Actualites-et-evenements/Actualites/2020/INTERPOL-met-en-garde-contre-les-escroqueries-financieres-liees-a-la-COVID-19)