La santé, nouvelle cible des cybercriminels

Publié le 18 novembre 2022

Chirurgiens-dentistes, la cybersécurité est un sujet crucial, qu’il n’est plus permis d’ignorer. Face à la multiplication des cyberattaques, il est de votre responsabilité individuelle de protéger les données à caractère personnel de vos patients. Ne pas le faire, c’est courir le risque de perdre les dossiers médicaux, et de paralyser votre activité. Identifier les cyber-risques est la première étape pour se protéger.

Des hôpitaux aux cabinets de ville

Les cyberattaques et plus généralement les cyber-risques, sont à l’image de l’essor des outils et des modes de communication numériques, ils augmentent. Depuis le début de l’année 2021, l’Agence du numérique en santé (ANS) a relevé au moins une cyberattaque par semaine. Ces attaques touchent principalement les hôpitaux, cliniques, laboratoires, plateformes du fait de la valeur que représentent les données de santé qu’elles gèrent. Si ces établissements sont des cibles stratégiques, le risque se déplace aussi vers les plus petites structures, comme les cabinets médicaux et dentaires. Ce sont des “proies” faciles, liées à leur usage d’objets connectés, robotisés, d’outils numériques (plateformes de télémédecine ou de prise de rendez-vous), sans une réelle démarche sécuritaire suffisante. Ainsi, tout professionnel de santé peut un jour être la cible de ce type d’attaque. Les exemples parmi les libéraux se multiplient et la menace grandit. Bien les identifier est une priorité pour s’en protéger.

Identifier la menace
sur les cabinets dentaires

Une cyberattaque est une atteinte des systèmes informatiques réalisée dans un but malveillant. Elle cible les différents dispositifs informatiques, tels que les ordinateurs ou les serveurs, isolés ou en réseaux, reliés ou non à Internet, les équipements périphériques tels que les imprimantes, les téléphones mobiles, les tablettes… Elle vise à couper l’accès aux données stockées dans des serveurs informatiques, à crypter, à voler, ou encore à corrompre des données, dans un but d’escroquer de l’argent. Elle est le fait de cybercriminels qui diffusent largement leur attaque afin de toucher un maximum d’utilisateurs qui n’auraient pas mis en œuvre les mesures de sécurité. Il existe de nombreux types d’attaques dont les manières d’agir sont de plus en plus invisibles et sophistiquées.

Les cabinets dentaires peuvent être face à :

L’attaque par hameçonnage (“phishing”), très courante en ligne.

Vous recevez un e-mail frauduleux déguisé en un tiers de confiance (votre banque, une administration, un fournisseur d’accès…). Le message invite le destinataire à mettre à jour ses informations personnelles sur un site falsifié vers lequel vous êtes redirigé. L’objectif est de procéder à une usurpation d’identité afin d’obtenir des renseignements personnels et des identifiants bancaires pour en faire un usage frauduleux.

L’attaque par logiciel rançonneur/rançongiciel (“ransomware”).

Le pirate informatique diffuse un courriel avec une pièce jointe ou un lien piégé. En un clic, le logiciel malveillant (virus informatique) est téléchargé sur l’ordinateur et crypte toutes les données.
Les fichiers sont rendus inaccessibles. Un message s’affiche pour réclamer le versement d’une rançon (en milliers, voire en millions, payable en monnaie virtuelle/cryptomonnaies, telles que le bitcoin, ou via une carte prépayée, en échange de la clé de décryptage afin de restaurer l’accès à ces données, qui peut toutefois ne pas être efficace.

L’attaque par piratage d’un système informatique.

Elle consiste en l’intrusion d’un tiers non autorisé sur votre ordinateur, tablette, téléphone mobile, objet connecté, serveur par une faille de sécurité dans celui-ci, qui lui permet ainsi d’accéder à l’ensemble des données stockées informatiquement, comme les données personnelles et médicales des patients, mais aussi les logiciels de prises de rendez-vous. Le pirate informatique peut récupérer ces données en vue de les revendre sur le dark web.

Le piratage de compte de réseaux sociaux, de messagerie.

Cette manœuvre permet au pirate informatique d’usurper votre identité et d’envoyer des messages piégés à vos contacts dans un but lucratif généralement.

La défiguration de site internet.

Elle consiste en la modification de l’apparence de votre site par un pirate informatique. Le site n’est alors plus utilisable. Une mention peut être inscrite, comme “owned” ou “hacked” signifiant que l’attaquant a obtenu les droits de votre site lui permettant de récupérer ou d’en modifier le contenu et les données sensibles (personnelles, bancaires, médicales).

Les portes d’entrée d’une cyberattaque

La messagerie électronique est la porte d’entrée privilégiée de nombreux cyberattaquants, car son utilisation est très répandue et l’accès est facile. Le message est porteur d’un virus informatique ou d’un hameçonnage. La seconde entrée réside dans l’exploitation de failles de sécurité non corrigées dans les outils informatiques : la mauvaise configuration d’un logiciel ou d’un équipement, la non-application des mises à jour de l’éditeur, par exemple peuvent être exploitées par les cybercriminels

Le double risque auquel vous êtes exposés

Les chirurgiens-dentistes exerçant en libéral, ou en centres de santé, n’ont pas toujours conscience des risques auxquels ils sont exposés du fait du manque de sécurité informatique dans leurs structures. Immergée depuis longtemps dans la technologie numérique, la profession n’a pas pris conscience des risques à leur “petite” échelle, s’estimant sans doute trop “petit” pour intéresser les cybercriminels. De ce fait, la profession est peu sensibilisée à la menace qui plane sur elle et ne perçoit pas les risques, et par conséquent ne se protège pas, ce qui rend la tache des pirates informatiques plus facile.
Le second risque auquel s’expose le professionnel de santé concerne sa responsabilité individuelle quant à la protection des données personnelles et médicales qui lui sont confiés.
Enfin, les données personnelles volées par les hackers peuvent entre autres nourrir des campagnes d’hameçonnage, au cours desquelles certaines personnes vont se faire passer, par e-mail, pour vous ou votre cabinet et tenter de voler des identifiants bancaires, par exemple.

Qu’est-ce que la cybersécurité ?

La cybersécurité est la mise en œuvre des moyens techniques et juridiques qui assurent la protection et l’intégrité des données conservées informatiquement contre les cyberattaques. Elle concerne les systèmes, les réseaux et les données informatiques à sécuriser les dommages ou les accès non autorisés. Ces moyens doivent être choisis en fonction des équipements utilisés et en respect de la règlementation en matière de sécurité.