Singapour : l’infection d’un ordinateur permet le vol des données d’1,5 million de patients

La corruption d’un seul poste informatique (un seul suffit) appartenant au SIH d’un des 18 établissements du groupe aura permis cette impressionnante fuite de données.
D’après ce communiqué détaillé établi après enquête conjointe de la CSA [2] (l’équivalent de notre ANSSI) et de l’IHiS [3] (agence en charge des systèmes d’informations des institutions de santé publique), nous apprenons que le poste infecté a servi de point d’entrée aux attaquants, qui grâce au logiciel malveillant agissant comme un cheval de Troie, ont pu récupérer des informations de connexion (couple identifiant / mot de passe) permettant un accès privilégié à la base de données.

L’attaque a été décelée le 4 juillet, après la détection d’une activité inhabituelle par l’IHiS dans l’une des bases de données de SingHealth. L’hémorragie a été arrêtée immédiatement.
Le début de l’exfiltration aurait commencé le 27 juin, soit 8 jours auparavant.
Aucune altération des données n’a été constatée à ce jour selon le Ministère.

Déjà, nous pouvons saluer la réactivité des équipes qui ont réussi à détecteret contenir l’attaque en seulement 8 jours !Même si ça peut paraître long pour un non initié ou un vendeur de solutions de sécurité, le temps moyens pour découvrir une infiltration dans un système d’information est de 201 jours (voir les chiffres fournis par Cédric CARTAU pour l’année 2017 [4]).

Pour 1,5 million de patients concernés par ce « leak », « seules » les informations « administratives » ont été exfiltrées, nom, prénom, date de naissance, adresse, NIR, sexe et origine raciale. Une pêche intéressante pour vendre des états civils complets sur le dark web.
Mais ce n’est pas ce qui semblait intéresser les attaquants, en effet les prescriptions médicamenteuses de 160 000 patients, dont celles du Premier Ministre Lee Hsien Loong ont également été dérobées.
Le communiqué, révèle que les informations du Premier Ministre auraient été à plusieurs reprises, spécifiquement ciblées.

Sans qu’il n’y ait de suspicion explicite annoncée, le ton employé dans le communiqué peut laisser imaginer la probabilité que cette attaque ait été menée par un État.

Alors, attaque d’État à l’encontre du Premier Ministre ou vol de données dans le but de gagner des Bitcoins ? L’enquête policière en cours nous révélera peut-être la motivation de cette attaque d’envergure.

Les patients victimes de cette fuite de données seront notifiés d’ici le 25 juillet par SMS et peuvent déjà savoir s’ils sont concernés en se connectant à au site Web ou à l’application mobile de SingHealth.

Le Ministère de la santé a ordonné à l’IHiS un audit approfondi du système d’information de santé publique dans le but d’améliorer la prévention la détection et la réponse aux menaces cyber.

Gardons à l’esprit que ça n’arrive pas qu’aux autres…

[1] https://www.moh.gov.sg/content/moh_web/home/pressRoom/pressRoomItemRelease/2018/singhealth-s-it-system-target-of-cyberattack.html

[2] Cyber Security Agency of Singapore

[3] Integrated Health Information System

[4] /article/2607/cybersecurite-2017-l-analyse-de-l-analyse.html