Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Anthem medical data breach : retour sur l’une des plus grosse fuite de données de santé

14 mai 2019 - 10:16,
Tribune - Charles Blanc-Rolin
   

anthem_data_leak

Jeudi 7 mai, le Ministère de la Justice américain a rendu publique un acte d’accusation [1] contre deux résidents Chinois, accusés de faire partie du groupe d’attaquants ayant réussi à dérober 78,8 millions de dossiers médicauxà l’assureur Anthem [2] et plusieurs de ses filiales.

wanted

Les deux suspects, Fujie Wang, connu également sous le pseudo « Dennis », ainsi qu’un autre membre de ce fameux groupe Chinois, dont le vrai nom n’est pas connu, mais opérant sous les pseudos, « John Doe », « Deniel Jack », « Kim Young » ou encore « Zhou Zhihong », auraient activement participé à l’intrusion dans le système d’information de l’Assureur Anthem, le maintien dans ce système et l’exfiltration de près de 79 millions de dossiers médicaux d’assurés sur une période allant de mai 2014 à janvier 2015. Ils sont accusés de complot en vue de commettre une fraude, de vol d’identité et de dégradations volontaires sur des systèmes d’informations.

Quelles leçons tirer de cette attaque ?

Les attaquants auraient mis en œuvre une campagne de phishing très ciblée, envoyant des messages contenant des liens vers des logiciels malveillants de type « cheval de Troie », permettant d’établir des liens persistants avec leurs serveurs de commandes et de contrôle dès lors que les victimes ont eu la mauvaise idée de « cliquer ».

→ Une fois de plus, la messagerie, reste une porte d’entrée privilégiée pour les attaquants, et le manque de sensibilisation des utilisateurs est toujours un point faible important. 

Après avoir pris le contrôle de quelques postes, ils ont réussi à se déplacer latéralement dans le réseau de l’assureur, ainsi que dans ceux de ses filiales. Puis réaliser des élévations de privilèges sur le SI afin d’accéder aux données. On peut donc imaginer, que des réseaux à plat sans cloisonnement ni filtrage avaient été mis en œuvre. Nous pouvons également supposer que la configuration de l’annuaire utilisateur Active Directory n’était pas optimale et que la politique de mot de passe était faible.

→ Le cloisonnement des réseaux est crucial. Un durcissement de la configuration Active Directory et une révision de sa politique d’authentification (sujet abordé avec Michel Dubois lors du dernier Congrès de l’APSSIS [3]) sont également des remparts nécessaires. 

L’acte d’accusation nous révèle également que les « intrus » ont été patients et ont su se faire discrets. Ils ont avancé très lentement leurs pions sur l’échiquier et auraient attendu plusieurs mois entre différentes étapes de la compromission, afin d’éviter de « déclencher des alarmes ». Ils auraient ensuite placé les données dérobées dans des archives chiffrées, qu’ils auraient d’abord fait transiter par les serveurs C2 hébergés en Californie et dans l’Arizona, configurés par Fujie Wang pour réaliser cette attaque, avant de les exfiltrer vers la Chine. 

→ Si une surveillance accrue du réseau (consommation de bande passante, indicateurs de compromission…) reste de mise. Il est très difficile de lutter dans le cas d’attaques très ciblées comme celle-ci, avec des attaquants qui n’agissent pas en mode « gros bourrin ».

Si l’acte d’accusation ne détaille pas les répercutions de cette attaque pour l’assureur, il est important de les rappeler :

En 2017, Anthem a versé 115 millions de dollars aux victimes ayant participé à un recours collectif. Nous pouvons aisément imaginer que l’assureur à perdu de nombreux clients suite à cet incident et son engouement médiatique, et également que les pertes financières ne s’arrêtent pas aux indemnités versées.

L’actualité a toujours de quoi nous faire méditer.


[1] 

[2] 

[3] 

Avez-vous apprécié ce contenu ?

A lire également.

Illustration La cyber et les probabilités paresseuses

La cyber et les probabilités paresseuses

26 mai 2025 - 21:29,

Tribune

-
Cédric Cartau

Récemment, j’ai assisté à la conférence d’un entrepreneur qui propose des prestations de service relatives à des « calculs d’impact ». Oui, dit comme cela, c’est étrange, mais en fait pas autant qu’il y paraît : dans l’idée, si vous disposez d’un budget fixe, entre deux choix de projets cyber (par e...

Illustration Cybersécurité, simuler pour protéger : la force des formations immersives

Cybersécurité, simuler pour protéger : la force des formations immersives

19 mai 2025 - 23:41,

Tribune

-
Christine HEULIN

Dans un secteur aussi sensible que celui de la santé, la cybersécurité et la cyber résilience sont prioritaires. Les séquences immersives intégrées dans les formations à la cybersécurité jouent un rôle essentiel pour préparer les professionnels à faire face aux menaces. Ces approches pédagogiques re...

Illustration La cyber, les rillettes et les puces en 5 minutes

La cyber, les rillettes et les puces en 5 minutes

19 mai 2025 - 23:24,

Tribune

-
Cédric Cartau

C’est ce que je trouve bien dans la cyber : la discipline est au carrefour des possibles, et il ne faut pas bien longtemps pour tordre une nouvelle ou un article glanés çà ou là avant de les cyber-retourner, souvent avec la mauvaise foi qui me caractérise, j’en conviens. Exercice en live.

Illustration Cybersécurité hospitalière : le GHT Rhône Nord Beaujolais Dombes, premier lauréat du programme CaRE

Cybersécurité hospitalière : le GHT Rhône Nord Beaujolais Dombes, premier lauréat du programme CaRE

09 mai 2025 - 16:39,

Actualité

- DSIH

Le programme CaRE franchit une étape clé. Moins d’un an après le lancement de son premier appel à financement dédié à la sécurisation des annuaires techniques et de l’exposition sur Internet, la direction du programme annonce la validation du premier dossier ayant atteint l’ensemble des objectifs fi...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.