Un pirate informatique menace de divulguer les notes thérapeutiques des patients

Les attaques de ransomwares ont a augmenté dans le monde entier ces derniers mois, ciblant les grandes entreprises et les organisations critiques comme les hôpitaux. Mais l’extorsion numérique prend de nombreuses formes. Et une agression particulièrement vicieuse est actuellement en cours en Finlande, où un pirate informatique menace de publier des notes de thérapie et d’autres données volées au cours des deux dernières années dans l’une des plus grandes cliniques de services psychiatriques du pays.

Le fournisseur de soins de santé et de services de santé mentale Vastaamo a déclaré avoir commencé à enquêter sur une éventuelle violation à la fin du mois de septembre, lorsqu’un pirate informatique a contacté trois des employés de l’organisation pour leur demander des extorsions. Depuis lors, Vastaamo collabore avec la société de sécurité privée Nixu, la police criminelle centrale finlandaise et d’autres services répressifs nationaux pour enquêter sur la situation. Il semble que Vastaamo avait au moins une base de données exposée d’informations sur les patients qui a été violée en novembre 2018 et probablement à nouveau à la mi-mars 2019. On ne sait pas combien de patients ont été touchés, mais le Bureau national d’investigation a déclaré dimanche que le nombre pourrait être dans les dizaines de milliers.

Le ou les hackers qui mènent la campagne d’extorsion ont exigé 200 euros de bitcoin, environ 230 $, aux victimes dans les 24 heures suivant la demande initiale, ou 500 euros (590 $) après cela, sinon ils rendront leurs informations publiques. Un hacker persona « ransom_man » a mis en place un site sur le service web anonyme Tor qui répertorie déjà les données divulguées d’au moins 300 patients Vastaamo. finlandais rapports des médias indiquent également que Vastaamo a reçu une demande d’environ 530000 dollars de bitcoins pour garder les données volées hors du domaine public.

Dans un déclaration mis à jour lundi, Vastaamo a déclaré qu’un directeur général avait été démis de ses fonctions en raison de l’incident. « Les autorités et le bureau de réponse feront tout leur possible pour découvrir ce qui s’est passé, pour empêcher la diffusion d’informations et pour traduire les auteurs en justice », indique le communiqué, tel que traduit par Google. « Nous nous excusons pour les lacunes en matière de sécurité des données, dont les conséquences et le coût humain sont devenus extrêmement lourds. »

La police criminelle centrale finlandaise a déclaré dans une déclaration qu’il enquêtait sur l’incident en tant que cambriolage aggravé, extorsion aggravée et diffusion d’atteintes aggravées à la vie privée, ajoutant que la situation est «exceptionnelle… en raison de la sensibilité du matériel diffusé en ligne», comme traduit par Google.

Les attaques d’extorsion de données peuvent prendre de nombreuses formes. Par exemple, un type courant d’escroquerie par courrier électronique consiste à menacer de divulguer des photos nues ou d’autres images sexuellement explicites d’une victime si elle ne paie pas. Ces types de messages sont souvent un pur bluff, personnalisés pour contenir l’un des anciens mots de passe de la victime exposés lors d’une violation de données historique afin de tenter de légitimer la demande.

Mais si le concept peut être largement connu, la pratique est largement considérée comme particulièrement immorale. Et la fuite de données sur les patients en santé mentale pour extorsion semble être un nouveau creux.

«J’ai vu beaucoup de choses, mais je n’ai pas vu cela», déclare Mikko Hyppönen, directeur de la recherche au sein de la société de sécurité F-Secure en Finlande. « C’est une affaire tellement triste, et cet agresseur n’a aucune honte. Pour obtenir justice pour les victimes, je ne voudrais rien de plus que de faire arrêter la personne derrière cela. Cependant, j’aimerais aussi voir la clinique de Vastaamo être tenue responsable de ne pas avoir protégé les données critiques des patients. « 

Hyppönen et d’autres soulignent qu’il existe un autre exemple connu de données de patients utilisées dans des programmes d’extorsion; en 2019, les attaquants ont utilisé violation de données de chirurgie plastique d’un bureau en Floride pour tenter de faire chanter les patients.