La cybersécurité est aujourd’hui un sujet de préoccupation majeur, et les récentes violations de données dans le secteur de la santé illustrent parfaitement cette réalité. Ainsi, la faille de sécurité massive qui a touché UnitedHealth a exposé les informations personnelles et médicales de plus de 100 millions d’Américains. Cet incident met en lumière les enjeux critiques de la protection des données et les risques auxquels font face les entreprises du secteur.
La faille chez UnitedHealth
Les informations sur cette violation ont progressivement émergé, révélant une ampleur sans précédent. Selon des sources fiables, UnitedHealth a confirmé qu’au moins 100 millions de personnes ont vu leurs données personnelles et leur historique médical compromis, établissant ce piratage comme l’un des plus graves ces dernières années.
Le directeur général de UnitedHealth, Andrew Witty, avait déjà soulevé des inquiétudes lors d’une audience au Congrès en affirmant qu’environ “un tiers” des dossiers de santé des Américains pourraient avoir été affectés. Un mois plus tard, Change Healthcare a diffusé un avis de violation de données, évoquant un pourcentage “substantiel” de personnes touchées.
La portée de cette violation est inquiétante, d’autant plus que les données impliquées étaient de nature extrêmement sensible. Les informations compromises incluent notamment :
- Informations sur l’assurance maladie, telles que les numéros d’identification de groupe et d’autres données liées aux autorités sanitaires ;
- Données médicales, englobant les antécédents médicaux, les diagnostics, les traitements et les résultats d’examens ;
- Informations financières, comme les numéros de compte, les codes de facturation et les paiements effectués ;
- Identifiants personnels, y compris les numéros de sécurité sociale et les numéros de permis de conduire.
La compromission de ces données personnelles a eu lieu en raison d’une faille dans les mesures de sécurité. En effet, les identifiants dérobés ont permis l’accès au système de l’entreprise, notamment parce qu’aucune authentification à deux facteurs n’était en place sur leurs services d’accès à distance.
Au total, pas moins de 6 To de données ont été extraites, créant une situation chaotique pour les professionnels de santé et leurs patients. Il a été rapporté que l’entreprise a versé une rançon d’environ 22 millions d’euros pour récupérer ses données.
Pour aggraver la situation, cette cyberattaque a été orchestrée par un groupe criminel organisé. Les pirates ont ensuite réclamé une seconde rançon pour éviter la publication des données compromises, indiquant même que UnitedHealth aurait cédé à cette demande.
Ces événements soulignent l’urgence d’une réévaluation des mesures de sécurité au sein du secteur de la santé. Il est crucial que les entreprises mettent en œuvre des pratiques de cybersécurité robustes pour protéger les données aussi sensibles que celles des patients.
