Une cyberattaque ransomware sans précédent a frappé Change Healthcare plus tôt cette année, entraînant potentiellement l’une des plus grandes violations de données médicales de l’histoire des États-Unis. Des mois après l’incident survenu en février, on estime qu’au moins 100 millions de personnes sont maintenant concernées par ce piratage massif.

Change Healthcare : Un géant du traitement des données de santé

Change Healthcare gère la facturation et les assurances pour des centaines de milliers d’hôpitaux, pharmacies et cabinets médicaux à travers le secteur de la santé américain. Au fil des fusions et acquisitions, l’entreprise est devenue l’un des plus grands processeurs de données de santé aux États-Unis, traitant entre un tiers et la moitié de toutes les transactions de santé du pays.

21 février 2024 : Premiers signes de l’attaque

Ce qui semblait être un mercredi après-midi ordinaire a basculé lorsque les systèmes de facturation des cabinets médicaux ont cessé de fonctionner et le traitement des demandes d’assurance s’est interrompu. Change Healthcare a confirmé « une interruption de réseau liée à un problème de cybersécurité », suggérant qu’un incident grave s’était produit.

29 février 2024 : Le gang de ransomware ALPHV/BlackCat revendique l’attaque

UnitedHealth, la maison mère de Change Healthcare, a révélé que l’attaque était l’œuvre d’un gang de ransomware connu sous le nom d’ALPHV/BlackCat. Ce groupe criminel russophone proposait du « ransomware-as-a-service », permettant à des affiliés de mener des attaques en échange d’un pourcentage sur les rançons collectées.

3-5 mars 2024 : UnitedHealth paie une rançon de 22 millions de dollars

Début mars, le gang ALPHV a soudainement disparu après avoir reçu un paiement de rançon de 22 millions de dollars en bitcoins de la part d’UnitedHealth. Malgré cela, les cybercriminels ont gardé les données volées, laissant planer la menace d’une nouvelle extorsion.

15 avril 2024 : Un affilié mécontent publie une partie des données volées

Mi-avril, un affilié lésé a mis en place un nouveau racket d’extorsion appelé RansomHub. Disposant toujours des données dérobées à Change Healthcare, il a exigé une deuxième rançon à UnitedHealth, publiant un échantillon de dossiers de patients pour prouver sa menace.

22 avril 2024 : UnitedHealth confirme le vol massif de données médicales

Plus de deux mois après le début de l’attaque, UnitedHealth a finalement admis qu’une violation de données touchait probablement une « proportion substantielle de la population américaine ». Les informations volées comprenaient des dossiers médicaux, diagnostics, ordonnances, résultats de tests et bien d’autres données sensibles.

20 juin 2024 : Change Healthcare commence à notifier les victimes

Change Healthcare a commencé à informer officiellement les personnes dont les informations avaient été dérobées, comme l’exige la loi HIPAA. Mais l’ampleur de l’incident était telle que le Département américain de la Santé (HHS) est intervenu pour permettre aux prestataires de santé touchés de déléguer ces notifications à UnitedHealth.

• Mi-juillet, les premières lettres de notification ont été envoyées aux victimes identifiées, un processus qui s’est poursuivi jusqu’en octobre.
• Le 24 octobre, UnitedHealth a confirmé qu’au moins 100 millions de personnes étaient concernées par cette violation de données, faisant de cet incident le plus grand vol numérique de dossiers médicaux américains à ce jour.

Une brèche de sécurité de cette ampleur dans le secteur de la santé est tout simplement inacceptable. Cela souligne la nécessité d’investir massivement dans la cybersécurité pour protéger les données sensibles des patients.

Andrew Witty, PDG d’UnitedHealth Group, lors de son témoignage devant le Congrès en mai 2024

16 décembre 2024 : Un procès révèle les failles de sécurité chez Change Healthcare

Dans le cadre d’une action en justice intentée par l’État du Nebraska contre Change Healthcare, de nouveaux détails sur le piratage ont émergé. Les hackers d’ALPHV ont initialement pénétré les systèmes en utilisant l’identifiant et le mot de passe volés d’un « employé du support client de bas niveau », qui n’étaient pas protégés par une authentification multi-facteurs. De plus, la mauvaise segmentation des réseaux IT de Change Healthcare aurait permis aux pirates de se déplacer librement entre les serveurs une fois à l’intérieur.

Cette cyberattaque dévastatrice met en lumière les vulnérabilités critiques qui subsistent dans le secteur de la santé malgré les avertissements répétés des experts en sécurité. Il est urgent que les acteurs de la santé renforcent leurs défenses pour empêcher de tels incidents à l’avenir et protéger les données confidentielles de millions de patients.