La plupart des fuites de données de santé sont dues aux réactions inadaptées des professionnels de santé face à des attaques de phishing (hameçonnage ou filoutage) de plus en plus nombreuses visant les établissements de santé. Afin d’augmenter encore le niveau de sécurité des données de santé, une étude* parue dans le British Medical Journal (BMJ) en septembre 2019 et intitulée Phishing in healthcare organisations : threats, mitigations and approaches suggère de sensibiliser le personnel des hôpitaux et organisations de santé à la menace que constitue ce type de piratage.
Par la simulation d’une attaque de phishing au Great Ormond Street Hospital for Children de Londres et une recherche bibliographique centrée sur les dispositifs de sécurité anti-phishing mis en place au National Health Service (NHS) et au États-Unis, l’organisme DRIVE (Digital Research, Informatics and Virtual Environments) montre que les infrastructures de sécurité ne suffisent pas à empêcher les personnels de cliquer sur les objets attachés à des emails potentiellement frauduleux. Seules des formations adaptées permettent de protéger les personnels et les données de santé contre ces piratage.
Par ailleurs, ces formations doivent promouvoir une protection adaptée des données personnelles des employés des hôpitaux notamment sur les réseaux sociaux : l’objectif est de rendre moins aisée l’obtention des identités et adresses électroniques des professionnels de santé par des individus potentiellement malveillants.
Le phishing : une menace grandissante
Données de santé et phishing
Avec l’adoption de solutions de dossiers médicaux électroniques et de stockage numérique de nouveaux types de données de santé telles que des résultats d’examens biologique ou radiologiques, de dépistage du génome entier, etc., la valeur des données personnelles augmente et génère de nouvelles méthodes frauduleuses d’accès à ces informations. En réponse, les techniques de cybersécurité comme le cryptage des données se développent. L’humain, cible d’attaques reposant sur les principes de l’ingénierie sociale telles que les attaques de phishing, devient alors la principale faille des réseaux de sécurité informatique mis en place par exemple dans le domaine de la santé.
En effet, bien que des causes de fuites de données autres que le phishing perdurent, ce mode d’accès à des données protégées demeure la plus répandue et la plus susceptible d’aboutir : selon le rapport d’enquête Verizon de 2019 sur les compromissions de données, 40 % des logiciels malveillants pénétrant les organisations seraient transmis par courrier électronique malgré un taux de clic total très faible (3 %) sur les liens ou pièces jointes attachés aux messages frauduleux.
Si les organismes de santé, conscients du risque informatique, se dotent de systèmes de sécurité de plus en plus sophistiqués, les professionnels qui y évoluent semblent peu sensibilisés aux menaces telles que le phishing : la plupart des formations en informatiques reçues par les personnels médicaux ou de soins concernent les fonctionnalités « fonctionnelles » de systèmes d’information (SI) récemment mis en place. Ainsi, de nombreuses violations de données de santé par hameçonnage ont été signalées ces dernières années, comme lors de l’attaque dirigée contre le personnel de l’Augusta University Health (Etats-Unis) en août 2018, qui a exposé plus de 400 000 dossiers de patients.
La situation du NHS : prise de conscience et efforts
Aux Royaume-Uni, où l’étude a été menée, des efforts particuliers concernant la sécurité des données de santé sont réalisés depuis 2017 et la diffusion du ransomware WannaCry (le ransomware ou rançongiciel est un logiciel informatique malveillant prenant en otage les données).
Le NHS England et le NHS Digital ont en particulier mené de nombreuses actions coordonnées visant à mieux sécuriser les données de santé sur le territoire britannique. Par exemple, le NHS Digital organise au sein de toutes les cliniques du NHS des exercices de simulation d’attaque de hameçonnage et propose un lexique permettant aux professionnels de s’informer sur le phishing, le smishing (pishing par SMS), le spear phishing (variante du pishing), les hyperliens suspicieux et une utilisation raisonnable des réseaux sociaux.
Méthodes
Principe : simuler une attaque de phishing
L’étude a été réalisée dans le cadre d’un audit par DRIVE, une organisation indépendante spécialisée dans la sécurité informatique.
Afin de tester la robustesse des systèmes de sécurité déjà mis en place, DRIVE a réalisé des essais de pénétration classique des SI du Great Ormond Street Hospital for Children de Londres et conduit de fausses attaques de phishing pendant une période d’un mois.
De fausses adresses emails utilisées
Les adresses utilisées pour envoyer les emails frauduleux étaient :
- soit de fausses adresses rappelant des adresses réelles (c’est-à-dire dont la forme correspondait à celle des réels employés de l’hôpital : la structure et le nom de domaine de ces adresses ayant été copiés après quelques recherches sur internet) et adossées à des comptes de l’application web Microsoft Outlook souvent utilisée pour le phishing ;
- soit des adresses authentiques permettant alors de contourner les dispositifs de sécurité standard à mêmes de bloquer automatiquement les faux emails.
Puis, les cibles de l’attaque ont été identifiées par le recours à des ressources gratuites, sur internet, telles que Facebook, Linkedin et plusieurs sites de rencontre. Certains employés ont alors directement reçu des messages et « demandes d’amis » depuis un faux compte créé spécialement et exclusivement pour l’étude ou reçu des mail piégés à leur adresse électronique identifiable sur des fichiers ouverts au public proposant des listes d’adresse emails.
Le contenu des messages envoyés
Pendant la période test d’un mois, des emails comportant de fausses pièces jointes (faux fichiers Microsoft Word ou Excel) et des liens vers de faux sharepoints ou Dropbox ont été envoyés à la moitié des employés ciblés. L’autre moitié du personnel a reçu des liens vers de fausses pages d’authentification.
D’autres messages ont également été envoyés aux employés afin de tenter :
- de les convaincre que leur mort de passe Facebook avait été changé afin de les pousser à cliquer sur un hyperlien les redirigeant également vers une fausse page d’authentification ;
- de les persuader qu’il s’agissait d’une offre d’emploi transmise par un PDF joint consistant en fait en un virus permettant d’accéder à distance aux ordinateurs.
Aucune stratégie de spear fishing ou de whaling (attaque ciblant les cadres supérieurs) n’a cependant été élaborée dans le cadre de cette étude.
Résultats
2,2 % des emails identifiés comme des menaces potentielles
Pendant le mois de test qui s’est déroulé au cours de l’année 2018, l’hôpital a reçu environ 858 200 emails. 139 400 (soit 16,2 %) d’entre eux ont été classés comme des publicités par les systèmes de détection de spams déjà en place et 18 871 soit (2,2 %) d’entre eux ont été identifiés comme des menaces potentielles.
Des adresses mail facilement accessibles mais aucune pièce jointe téléchargée
Les adresses électroniques de 468 employés de l’hôpital ont été recueillies sur internet et ciblées pour la simulation d’attaque de phishing. D’autres employés ont été identifiés sur les réseaux sociaux par le port de leur uniforme, voire de leur badge d’identification sur leur photo de profil. 4 d’entre eux ont reçu des fausses demandes d’amis et 1 a répondu par un message.
Cet employé est cependant le seul à avoir répondu aux messages frauduleux. En effet, aucun autre professionnel n’a cliqué sur les hyperliens ou téléchargé les fichiers proposés : les messages frauduleux ont pour une grande part d’entre eux été automatiquement bloqués, tandis que les autres ont suscité la méfiance des employés.
Les pare-feux et systèmes de sécurité ainsi que les formations dispensées aux employés de l’hôpital semblent donc efficaces dans la mesure où ceux-ci se montrent méfiants à l’égard du contenu des emails. Cependant, dès progrès restent à faire concernant la protection des données personnelles des personnels, notamment sur les réseaux sociaux.
Recommandations pour lutter contre le phishing : infrastructures et formations des personnels
Les systèmes de sécurité mis en place au NHS semblent robustes. Cependant, des formations doivent encore être dispensées pour promouvoir une utilisation raisonnable des réseaux sociaux.
Mettre en place des infrastructures de qualité
Cette étude menée au NHS ainsi que d’autres expériences relatées dans la littérature concernant la cybersécurité montrent que disposer de pares-feux efficaces est indispensable pour se prémunir des attaques de phishing : ces pares-feux permettent de bloquer l’accès aux fichiers joints ou aux sites malveillants au cas où les employés n’identifieraient pas les messages comme des menaces potentielles.
La désactivation de fonctionnalités auxquelles les personnels de santé n’ont pas recours dans le cadre de leurs activités, l’installation de filtres de spams capables de bloquer les emails provenant de sites souvent utilisés par les organisateurs de campagnes de phishing et le recours à des systèmes d’authentification multifacteur protègent également les établissements de santé des actes inconsidérés des utilisateurs vulnérables au hameçonnage.
Cependant, la sécurité des hôpitaux et autres organisations de santé ne doit pas reposer seulement sur la robustesse de ces pares-feux, filtres et systèmes d’authentification : il semble indispensable de former, de sensibiliser les employés à la protection de leurs données personnelles pour qu’ils ne cliquent jamais sur les liens ou pièces jointes frauduleuses et que leurs adresses électroniques personnelles comme professionnelles ne soient pas facilement accessible.
Identifier et former les personnels à risque
Les utilisateurs les plus vulnérables aux attaques de phishing sont les moins méfiants à l’égard des pièces jointes ou hyperliens envoyés par messages électroniques voire via des applications de messagerie instantanée.
Une étude menée sur un échantillon de 200 personnes a montré que les facteurs de vulnérabilité au hameçonnage concernaient notamment le niveau d’éducation des individus et la connaissance du phénomène. Des interventions pédagogiques simples permettent donc d’agir sur ces facteurs et de réduire la vulnérabilité des personnes au phishing, relèvent les auteurs de l’étude. Des formations sous forme de jeux vidéos plus ou moins complexes permettent de sensibiliser efficacement les utilisateurs aux menaces d’hameçonnage.
Si certaines techniques de phishing ciblé (spear phishing, whaling) sont centrées sur certaines catégories socio-professionnelles alors à risque, le phishing classique touche toutes les catégories sociales : les caractéristiques personnelles, sociales, financières, etc., des individus ne sont pas des facteurs de vulnérabilité.
Proposer des formations continues et ciblées plutôt que des interventions ponctuelles et destinées à tout le personnel
2 études menées aux États-Unis au sein d’établissements de santé ont montré que les formations comprenant des séances, simulations ou rappels réguliers proposés sur de longues périodes, et en particulier aux utilisateurs les plus vulnérables, sont plus efficaces que les enseignements ponctuels dispensés indifféremment à tout le personnel.
- Une première recherche réalisée sur un échantillon de 5 000 employés d’un établissement de santé ciblés par des attaques de phishing proches de celles mises en place dans la présente étude a mis en évidence qu’une formation obligatoire dispensée ponctuellement et indifféremment à tout le personnel (sans ciblage des utilisateurs les plus vulnérables) n’a aucun effet sur la prévention contre le hameçonnage.
- Les 3 500 employés qui avaient cliqué sur les hyperliens ou fichiers attachés à au moins 2 messages électroniques envoyés dans le cadre de l’étude et avant de recevoir une formation avaient à nouveau cliqué sur des messages frauduleux après dispensation de la formation.
- Une autre étude rétrospective et multicentrique menée au sein de 6 établissements du NHS entre 2011 et 2018 avait au contraire montré que des formations répétées, dispensées régulièrement, peuvent diminuer la vulnérabilité des employés au phishing.
- Alors qu’au début de l’étude, 400 000 des 3 millions (soit 14 %) d’emails frauduleux qui avaient été envoyés avait suscité des téléchargements et des clics sur les hyperliens, ce taux était fortement amoindri après plusieurs sessions de formation.
Ces formations doivent permettre aux employés :
- de questionner l’authenticité des messages qu’ils peuvent recevoir ;
- de questionner l’authenticité des sites internet vers lesquels les hyperliens attachés à des emails potentiellement frauduleux peuvent les rediriger ;
- de réagir correctement en cas d’identification d’une menace : les formations doivent en particulier conduire les personnels à contacter les services informatiques et à ne pas ouvrir eux-mêmes les pièces jointes ou cliquer sur les liens pour vérifier l’authenticité des messages en cas de doute ;
- de prendre conscience des risques associés à l’utilisation des réseaux sociaux et d’adopter un comportement plus raisonnable sur ces sites internet.
