Quels sont les points d’entrée des cyberattaques dans les établissements de santé ?

Les établissements de santé, une cible privilégiée par les maliciels du fait de leurs multiples vulnérabilités

La proportion de la surface d’attaque des établissements de santé au risque cyber ne cesse de croître. Les contraintes structurelles touchant les établissements (réduction budgétaire, manque de personnel technique, augmentation des logiciels tiers) combinées à la porosité des zones OT (technologies opérationnelles) et IT (technologies de l’information), et à la nécessaire sensibilisation du personnel à la sécurité informatique, augmentent les chances de compromission.

De nouveaux malwares détectés dans les établissements de santé

Dès le mois d’octobre 2022, le CERT-Santé a détecté l’utilisation de nouveaux infostealers (littéralement des voleurs d’informations) contre des établissements de santé français. Ces maliciels sont conçus pour exfiltrer des identifiants, des mots de passe stockés par exemple dans les navigateurs Internet ou encore des codes d’authentification à facteurs multiples. Ces informations peuvent faciliter le déploiement d’autres maliciels – dont des rançongiciels – ou être utilisées dans un second temps pour exfiltrer des données de santé.

Un des points d’entrée des maliciels : la propagation via un tiers à l’établissement

Ce dispositif d’attaque peut par exemple toucher la chaîne d’approvisionnement de l’établissement.
Le Centre Hospitalier Sud Francilien aurait ainsi été touché : les attaquants auraient pu obtenir préalablement des identifiants d’authentification valides. Ces derniers leur auraient permis d’accéder au réseau privé virtuel (VPN) d’un prestataire externe éditant un logiciel de visualisation d’imagerie médicale interconnecté avec le système d’information hospitalier de l’hôpital. Ils auraient ainsi pu se propager sur le réseau et déclencher leur charge malveillante. L’écosystème dans son ensemble accroît ainsi la vulnérabilité d’un établissement de santé.

L’attaque par rebond : un point d’entrée potentiel pour un maliciel

Parce qu’ils peuvent mener des études cliniques, ou d’autres projets notamment en lien avec l’industrie pharmaceutique, les établissements de santé pourraient également être ciblés dans le cadre d’attaques plus larges visant des laboratoires pharmaceutiques, par exemple à des fins de cyberespionnage. De telles opérations n’ont pas été observées en France. Cependant, cette hypothèse ne peut être exclue car les attaquants peuvent cibler un système d’information plus vulnérable afin d’exploiter les liens de confiance préexistants entre ce système d’information et celui de leur cible finale, procédant ainsi à une attaque par rebond.

Certaines organisations cybercriminelles sont d’ores et déjà connues pour avoir ciblé directement et indirectement le secteur de la santé (prestataires de soins, industrie pharmaceutique, fournisseurs de solutions informatiques pour les soins de santé, fabricants d’équipements de santé) en profitant dès qu’il le pouvait des interconnexions entre ces cibles.

Des programmes et appareils médicaux toujours plus connectés

Si l’IT (technologie de l’information) est régulièrement ciblée dans le cas d’attaques informatiques, d’autres dispositifs spécifiques des établissements de santé peuvent être exploités par les cyberattaquants.

C’est le cas notamment :

• des programmes informatiques de gestion technique des bâtiments ou gestion technique centralisée qui supervisent et pilotent en temps réel les fluides, le froid, l’aéraulique des blocs, ou encore les ascenseurs dans les bâtiments connectés.
• de la technologie opérationnelle médicale, système en interaction avec le processus du soin qui concourt au diagnostic, au traitement et au suivi du patient. Les objets qui composent ce système sont toujours plus nombreux et plus connectés.
• De l’internet des objets (IoT): réseau d’appareils physiques équipés de logiciels et de capteurs spéciaux qui leur permet de collecter et retransmettre des informations.

Exemple d’IoT médicaux : les moniteurs de surveillance médicale en périopératoire ou les appareils de gestion des médicaments contre la douleur, lorsque les patients sont de retour au domicile, représentent des sources de données de santé. Ils sont exposés directement aux menaces et constituent des points d’entrée sur des passerelles de l’établissement.