Les logiciels informatiques rendent d’innombrables services au sein
d’hôpitaux toujours plus connectés. Mais leurs failles peuvent aussi
servir les cyber-criminels.
DANS LA TOURMENTE
DES FAILLES LOGICIELLES
LES ÉQUIPEMENTS DE SANTÉ
VECTEUR LOGICIEL
Les cyberattaques logicielles regroupent toutes les attaques qui
exploitent une faiblesse, une faille ou l’obsolescence d’un logiciel
installé sur un équipement informatique ou un instrument médical
informatisé.
DÉFINITION
( Video Motion Design )
Ces cyberattaques peuvent se dérouler localement sous réserve que le
cyber-criminel dispose d’un accès physique ou réseau à sa cible au sein
de l’hôpital. Mais elles peuvent également avoir lieu à distance, si cette
même cible est accessible via un réseau informatique. C’est par exemple
le cas de certains équipements médicaux monitorés par de vieux
systèmes d’exploitation.
Décryptez les différents types d’accessibilité des attaques logicielles
sur les équipements de l’hôpital.
ACCESSIBILITÉ
Dans la majorité des cyberattaques logicielles, ce sont les équipements
médicaux qui sont visés. Néanmoins, dans certains cas, la machine
attaquée en première intention ne constitue qu’une étape intermédiaire
pour atteindre la véritable cible : des données patient, un autre
équipement médical ou informatique, ou encore des installations
relatives à la gestion technique centralisée du bâtiment (GTB-GTC)
ou la gestion technique électrique (GTE).
CIBLES
Les conséquences d’une attaque logicielle contre un hôpital peuvent être
diverses, du sabotage à l’installation d’un ransomware en passant par la
corruption de données de santé.
Charles Blanc-Rolin, RSSI du Centre Hospitalier de Moulins-Yzeure et
vice-président de l’APSSIS, met en lumière les impacts potentiels et livre
quelques conseils utiles.
IMPACTS
( Video Motion Design )
EXEMPLES
D’ATTAQUES LOGICIELLES
EN MILIEU HOSPITALIER
Un hôpital allemand a été victime d’un ransomware,
déployé en exploitant une faille logicielle dans une
passerelle réseau Citrix. Une cyberattaque qui a
tourné au drame, puisque l’une des patientes n’ayant
pas pu être prise en charge est décédée lors de son
transfert vers un autre hôpital.
Gérard Gaston, Responsable Sécurité des Systèmes d'information Délégué à la protection des données LNA Santé, décrypte cette cyberattaque aux conséquences tragiques dans ce podcast.
Attaque tragique
à l’hôpital
de Düsseldorf
2020 |
En 2020, une polémique a mis au jour un certain
nombre de failles de sécurité dans une solution
du groupe Dedalus, spécialisé dans les logiciels
de santé. L’une d’elles permettait d’accéder aux
tickets ouverts par les hôpitaux et laboratoires
clients de la société, dans lesquels pouvaient
se trouver des identifiants et mots de passe
de télé-administration.
Failles
de sécurité
chez Dedalus
2020 |
Les urgences de ce centre hospitalier sont les
premières à donner l’alerte par une nuit d’octobre :
elles n’ont plus accès à leur logiciel métier.
En cause, Anti Recuva, un logiciel malveillant
qui s’est infiltré en pièce-jointe d’un email et a
paralysé tous les postes Windows en exploitant
une faille du système d’exploitation.
Cas de phishing
au Centre Hospitalier d’Issoudun
2019 |
Les autorités américaines ont alerté sur la
dangerosité potentielle des défibrillateurs
implantables de l’entreprise Medtronic, dont
le système de transmission de données pourrait
être piraté pour en perturber le fonctionnement.
Faille critique sur
les défibrillateurs Medtronic
2019 |
En savoir plus sur les solutions Stormshield
Pour prévenir les cyberattaques logicielles,
la sensibilisation des équipes est primordiale,
tout comme la conformité des postes de travail
aux meilleurs pratiques en la matière : limiter au
strict nécessaire les accès réseau des applicatifs,
réaliser un audit des systèmes, durcir les configurations
ou encore réaliser des sauvegardes hors-ligne.
La sécurité peut également passer par le recours à
l’analyse comportementale sur les postes de travail
et au chiffrement des données.
SOLUTIONS ET RECOMMANDATIONS POUR
SE PRÉMUNIR CONTRE UNE CYBERATTAQUE LOGICIELLE
découvrez notre ebook dédié.
Dans ce contexte, les dispositifs médicaux doivent impérativement porter
le marquage CE, signe de conformité avec la législation européenne.
Utilisation de machines homologuées, respect du référentiel « Sécurité
sanitaire dans les établissements de santé », les règles qui s’appliquent
aux hôpitaux pour garantir la sécurité des patients sont nombreuses
et variées.
Pour retrouver votre chemin dans le labyrinthe des réglementations cyber,
