Données de santé : cet “eldorado” de données monétisables aux yeux des hackers

L’attrait des données de santé pour les e-pirates de tous poils ne se dément pas. Bien au contraire. Un article publié sur le site Portail de l’Intelligence Economique réexplique les raisons de cet attrait.

Données purement administratives ou de nature plus médicale, les données de santé peuvent porter préjudice à la personne à laquelle se rattachent ces données mais également aux établissements, organismes et autorités de soins de santé qui en sont dépositaires ou gestionnaires. Ainsi, outre les actes de soins, “le patrimoine immatériel d’un centre hospitalier [inclut] les résultats d’essais cliniques, les bases de données génomiques ou encore les stocks de médicaments critiques”. Par extrapolation, les hackers et ceux auxquels ils revendent les données peuvent également “obtenir une vision globale de la résilience sanitaire d’une nation”. Le risque de déstabilisation n’est pas loin…

“L’objectif de ces attaques est de démontrer à la population que l’État (représenté par l’hôpital) est incapable de la protéger dans son moment de plus grande vulnérabilité : la maladie. C’est une opération de guerre hybride qui vise à éroder le contrat social et la confiance envers les institutions. La divulgation de données personnelles (pathologies, interruptions de grossesse, données psychiatriques) en est l’un des moyens principaux. […] Cela permet d’atteindre le cœur de la résilience sociétale et de tester les capacités de réaction de l’État cible. Les groupes criminels à l’origine des attaques permettent de rester sous le seuil du conflit armé, l’absence d’affiliation officielle avec des nations complique indéniablement l’attribution d’une attaque.”

Résultat : une donnée de santé chapardée vaut, selon diverses estimations d’observateurs, entre 250 et 1.000 dollars. Moins opposables que des données bancaires volées, elles ont une “durée de vie” – lisez : d’exploitation par des personnes mal intentionnées – plus longe et donc plus juteuse. Elles permettent ainsi, selon l’auteur de l’article, de “commettre des fraudes à l’assurance et des usurpations d’identité indétectables sur le long terme”.

De quoi rappeler l’importance de cadenasser systèmes et données, de cartographier systèmes et risques, de se préparer aux attaques et d’élaborer des plans de résilience.

Source : Portail de l’Intelligence Economique.