Deux fuites de données majeures ont été recensées dans le monde de la santé au cours du mois de janvier 2019, à Singapour mais aussi en France.
• France : plus de 16 000 adresses email de professionnels de santé de différents établissements sanitaires, « souvent publiées avec le mot de passe associé » et « issus de divers piratages », ont été découverts regroupés sur une plateforme en ligne, a alerté dans un bulletin publié le 28 janvier 2019 la cellule d’accompagnement cybersécurité des structures de santé* (ACSS) du gouvernement. La divulgation, jugée « massive » par l’organisme, a eu lieu le 18 janvier. « Les informations ont toutefois été retirées et ne sont plus directement disponibles », est-il précisé dans le bulletin d’alerte.
• Singapour : le ministère de la Santé singapourien a annoncé le même jour que les données confidentielles de 14 200 personnes atteintes du VIH, dont celles de 8 800 étrangers, ont été piratées puis mises en ligne. Il s’agit de la deuxième faille de sécurité de grande ampleur survenue en moins d’un an au sein de la cité-État, la première ayant visé les patients qui avaient effectué un séjour dans des cliniques entre le 1er mai 2015 et le 4 juillet 2018. Les informations personnelles d’environ 1,5 million de personnes, dont celles du Premier ministre Lee Hsien Loong, avaient été volées.
Fuite de données mondiales : 773 millions d’adresses email recensée
La fuite révélée par la cellule ACSS, intitulée « Collection #1 », a eu lieu le 16 janvier 2019 à l’échelle internationale, précise l’organisme du ministère des Solidarités et de la Santé. Il s’agit d’une « découverte record », avec près de 773 millions d’adresses email recensées.
« Des millions de mails et de mots de passe, issus de divers piratages, ont été découverts regroupés sur une plateforme (Mega) via 12 000 fichiers distincts pesant en tout 87 Go, est-il indiqué dans le bulletin. Ces fichiers sont le fruit de plusieurs années de collecte de données piratées, provenant de diverses sources (de 2008 à 2019). »
Le document précise que les propriétaires de ces adresses de messagerie « ne sont pas responsables du piratage de ces bases de données mais il doit être signalé que ces adresses sont souvent publiées avec le mot de passe associé au compte de messagerie ».
Un probable recours au chantage à venir
La cellule d’alerte prévient que les pirates vont « très probablement » utiliser ces données pour mettre en place des escroqueries dites de « phishing » (technique utilisée pour obtenir des informations personnelles afin de perpétrer une usurpation d’identité) et « recourir au chantage ».
Un site pour savoir si une adresse email a été piratée
Pour vérifier si une adresse email se trouve dans le fichier divulgué, la cellule ACSS conseille de se rendre sur le site Haveibeenpwned.com, qui permet de lancer une recherche sur une adresse email, que celle-ci soit personnelle ou professionnelle.
« Le site indique si l’adresse entrée est trouvée ainsi que, si cela est identifié, l’origine de la fuite (site professionnel, de réseau social, etc.), explique-t-elle. Une information qui ne signifie pas forcément que ces données soient en danger, mais il convient par mesure de précaution de changer le ou les mots de passe associés au compte. »
De plus, la cellule met en avant deux documents réalisés par l’Asip Santé et par l’Agence nationale de la sécurité des systèmes d’information (Anssi), qui présentent des recommandations de sécurité relatives aux mots de passe :
- Sensibilisation a la sécurité des mots de passe (Asip Santé et cellule ACSS) ;
- Recommandations de sécurité relatives aux mots de passe (Anssi).
Singapour : la séropositivité de 14 200 personnes atteintes du VIH dévoilée
Le ministère de la Santé de Singapour a annoncé dans un communiqué que l’identité (noms, numéros de passeport ou de cartes d’identité), les coordonnées (adresses, numéros de téléphone) et la séropositivité (informations médicales en général) de 14 200 personnes atteintes du VIH ont été dévoilées sur internet, précisant que 2 400 personnes sont touchées par un vol de leurs coordonnées.
Cette faille concerne 5 400 Singapouriens diagnostiqués positifs au VIH avant janvier 2013 et 8 800 étrangers atteints du virus et diagnostiqués avant janvier 2012.
Une Américain serait l’auteur du piratage
Un Américain serait à l’origine du piratage. Il a vécu dans la cité-État de 2008 à 2016 et a été condamné pour possession de drogue et faux et usage de faux. Il a utilisé un faux certificat de diplôme de l’université de Princeton pour devenir conférencier. De plus, il a utilisé le sang de son compagnon pour tricher à un test du VIH et conserver son visa. Il a été expulsé de Singapour après une condamnation de 28 mois.
Le gouvernement singapourien a demandé l’aide des autres pays puisque cette personne ne réside plus au sein de la cité-État.
Pour rappel, l’homosexualité masculine est passible de deux ans d’emprisonnement à Singapour. Toutefois, cette loi n’est plus appliquée depuis 1999.
L’accès aux informations volées a été désactivé
Selon les autorités, la personne suspectée détenait ces informations confidentielles depuis 2016. L’accès aux données volées a été désactivé le 25 janvier 2019.
Le ministre de la Santé Gan Kim Yong a présenté ses excuses à plusieurs reprises par le biais de diverses déclarations dans les médias.
Selon Ouest France, deux organismes de santé singapouriens ont été condamnés par l’autorité de protection des données à des amendes, dont le montant équivaut à 645 000 euros.