Le système de santé de Singapour a récemment été victime de la plus importante cyberattaque jamais perpétrée à son encontre, a annoncé le 20 juillet 2018 le gouvernement de la cité-État. Des hackers ont volé les informations personnelles d’environ 1,5 million de personnes, dont celles du Premier ministre Lee Hsien Loong.
Cette attaque qualifiée de « délibérée, ciblée et bien planifiée » a visé les patients ayant effectué un séjour dans des cliniques entre le 1er mai 2015 et le 4 juillet 2018, a précisé le ministère de la Santé dans un communiqué.
« Ce n’était pas le travail de hackers occasionnels ou de gangs criminels », a-t-il ajouté, expliquant que les hackers avaient ciblé leur attaque sur des données concernant le Premier ministre et en particulier les médicaments qui lui avaient été prescrits en ambulatoire.
« Nous n’avons pas trouvé de preuve d’une violation similaire dans les autres systèmes informatiques de santé publique », ont déclaré l’Agence gouvernementale de sécurité cybernétique (CSA) et l’agence de santé IHiS. « Dès sa découverte, la brèche a été immédiatement réparée, empêchant une nouvelle exfiltration illégale ».
Cette faille survient quelques jours après que les Australiens aient eu l’opportunité de se retirer de la base de données de santé nationale du gouvernement fédéral, My Health Record, replaçant au premier plan les préoccupations concernant la protection des informations patients.
Le hackeur serait un acteur étatique
Les hackers ont posté l’image d’un masque de Guy Fawkes, symbole du mouvement hacktiviste Anonymous, sur le site du Premier ministre avec le commentaire : « C’est super d’être Singapourien aujourd’hui ».
Les autorités ont refusé de commenter l’identité des pirates, citant la « sécurité opérationnelle », mais des experts ont expliqué à l’AFP que la complexité de l’attaque et sa focalisation sur des personnes de renom comme le Premier ministre indiquaient que le hackeur devait être un acteur étatique.
Entre-temps, un rapport de police a été établi le 12 juillet 2018. Des enquêtes sont en cours.
Les professionnels de santé « temporairement interdits d’utiliser des ordinateurs »
Les employés de SingHealth, le plus grand groupe d’établissements de santé de Singapour, sont temporairement interdits d’utiliser des ordinateurs professionnels. « [Les pirates] ont d’énormes ressources et n’abandonnent jamais », a justifié l’organisation.
« La violation des données de santé décrit une nouvelle réalité. Nous ne pouvons pas revenir aux dossiers papier, a déclaré Olli Jarva, consultant en gestion pour le groupe Integrity Software du développeur de logiciels Synopsys (source : Personaltechmd.com). Compte tenu de la nature de cette attaque, il est difficile de dire exactement quelle [sera] l’issue de l’opération, surtout quand les attaquants ne se sont pas identifiés. »
Wong Onn Chee, directeur de la technologie au sein de la société de sécurité Resolvo Systems – l’un des experts majeurs en matière de fuite d’informations en Asie -, a souligné que lorsqu’il était question de cybersécurité, « ce n’est pas une question de si, mais de quand ».
Protection des données de santé : une préoccupation centrale aussi en Asie
L’attaque survenue à Singapour s’est produite alors que la privatisation des données personnelles fait l’objet d’un débat mouvementé en Australie.
Les Australiens ont eu la possibilité, pendant trois mois, de choisir de ne pas figurer dans la base de données de santé nationale, My Health Record : le gouvernement fédéral crée automatiquement pour chaque citoyen un dossier de santé numérique à moins qu’il n’exprime explicitement sa volonté de ne pas faire partie du système ( “opt out” model).
Cette décision a suscité de vives discussions entre les professionnels de santé, les organismes de santé mentale, les défenseurs de la vie privée et les professionnels de la sécurité informatique.
“opt out” model : faciliter l’accès aux informations de santé…
Les responsables de My Health Record ont promis de centraliser les dossiers de santé, permettant aux différents professionnels de santé du pays d’accéder plus facilement à toutes les données des patients et donc, potentiellement, de sauver davantage de vies (possibilité d’alerter les médecins en cas d’allergies ou d’antécédents médicaux majeurs…).
…au dépens de leur privatisation ?
Cependant, de nombreux d’individus redoutent des abus. Parmi les inquiétudes centrales des patients figure la crainte de ne pouvoir sortir du système. Par exemple, si certains parents décident d’ouvrir un dossier de santé numérique pour leurs enfants, celui-ci peut être annulé lorsque les enfants grandissent mais il ne peut pas être supprimé, le gouvernement ayant spécifié que le dossier serait conservé pendant trente ans après la mort du patient concerné. Cependant, après son annulation, le dossier sera inaccessible aux professionnels de la santé, assurent les autorités.