Publicité en cours de chargement...
Les RSSI santé sous pression : et si ce n’était pas toujours la faute des utilisateurs ?
Des établissements de santé victimes de rançongiciels, le sujet n’est pas vraiment nouveau, puisque ça fait presque une dizaine d’années que ce genre de cochonneries vient prendre en otage nos données, bien avant qu’un Président de la République s’empare du sujet.
Si pendant des années nous avons « maudits » les utilisateurs qui cliquent plus vite que leur ombre sur tous les liens et pièces jointes qui arrivent par courriel, avant de restaurer des sauvegardes, pour ceux qui avaient la chance d’en avoir, aujourd’hui, mieux vaut tourner sept fois la pierre dans sa main avant de la jeter sur les utilisateurs.
Si notre niveau de maturité en matière de sécurité a progressé, il en est de même pour celui des utilisateurs, notamment par grâces aux diverses actions de sensibilisations que nous avons pu mettre en place, comme par exemple, l’excellent Sant’Escape [3].
Même si nous ne devons pas relâcher nos efforts en matières de sensibilisation des utilisateurs, nous devons aussi nous remettre régulièrement en question.
Gardons en tête que les rançongiciels ne sont pas toujours déployés suite à « clic utilisateur ». Prenons l’exemple du retour d’expérience de l’établissement de santé victime l’an passé du rançongiciel Ncov, après avoir exposé un serveurs RDP sur Internet [4].
J’ai en tête plusieurs compromissions récentes (autres que par des rançongiciels) dont des établissements de santé français ont été victimes, pour lesquels la porte d’entrée utilisée par les attaquants était leur passerelle VPN. Juillet 2019, rappelons-nous, le CERT national américain tirait la sonnette d’alarme en indiquant que plusieurs solutions de ce type étaient vulnérables [5]. En janvier 2020, l’ANSSI alertait sur le fait que les vulnérabilités impactant les solutions VPN Pulse Secure [6] et Citrix Netscaler [7] étaient largement exploitées… En novembre, c’était au tour des solutions VPN Fortinet [8].
En comparant deux établissements victimes du même groupe d’attaquants sur une même période, on peut voir qu’ils utilisaient le même produit :
Ont-ils tardé à patcher ? Ce sont-ils fait dérober des identifiants et mot de passe internes par le biais de solutions restées vulnérables, exposées sur Internet ?
Cette fameuse base de données de 50 000 identifiants / mots de passe appartenant à des agents d’établissements de santé français, vu la quantité, il y a peu de chance qu’elle ait été construite à partir d’attaques de type phishing. Ne pourrait-elle pas provenir de « siphonnages » réalisés en exploitant des vulnérabilités affectant des machines exposées sur Internet ?
Patcher une vulnérabilité, même plusieurs mois après la publication du correctifs, reste évidement nécessaire, mais ce n’est pas une raison pour se croire tiré d’affaire. Si la « porte » est restée ouverte trop longtemps, il faut considérer que ses accès sont compromis et demander un renouvellement des mots de passe utilisateurs, sans oublier que l’ensemble des adresses de messagerie exfiltrées pourront bien évidemment servir pour réaliser d’autres actions malveillantes à l’encontre des utilisateurs…
Restons sur nos gardes, plusieurs adresses identifiées comme appartenant aux infrastructures des groupes UNC1878 (Ryuk) et TA505 (Clop), scannent actuellement Internet à la recherche d’accès SSH, RDP, MySQL notamment…
[3] https://www.esante-paysdelaloire.com/fr/santescape/
[5] https://www.forum-sih.fr/viewtopic.php?t=1287#p5040
[6] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-001/
[7] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-002/
[8] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-025/
Avez-vous apprécié ce contenu ?
A lire également.
Identité numérique en santé : l’application carte Vitale change de dimension
17 fév. 2026 - 00:02,
Actualité
- Rédaction, DSIHLa publication au Journal officiel d’un référentiel dédié à l’usage de l’application carte Vitale comme solution d’authentification à distance introduit une évolution plus stratégique que technique. Jusqu’ici perçue comme la déclinaison mobile de la carte physique, l’application est appelée à deveni...
Les enjeux de la médecine du futur autour de la data – les multiples ruptures de paradigmes
16 fév. 2026 - 23:02,
Tribune
-Pas de médecine sans donnée : dès lors que le praticien échange avec son patient, dès lors qu’un prélèvement est analysé, des données sont collectées de façon formelle et/ou tracée, qui lui sont indispensables pour la prise en charge. La médecine des prochaines décennies peut être vue et analysée au...
Accès aux dossiers médicaux : attention aux règles d’habilitation !
11 fév. 2026 - 10:26,
Actualité
-Un établissement de santé a encore récemment été sanctionné [1] pour avoir mal configuré les règles d’habilitation de son personnel accédant aux dossiers médicaux.
Souveraineté numérique : la Plateforme des données de santé migrera directement vers un cloud SecNumCloud d’ici fin 2026
10 fév. 2026 - 08:02,
Actualité
- Rédaction, DSIHSous l’impulsion du gouvernement, la Plateforme des données de santé change de cap : l’État abandonne la solution “intercalaire” pour migrer directement le Système national des données de santé (SNDS) vers un cloud souverain qualifié SecNumCloud, avec une copie complète attendue fin 2026. Cette déci...
