Cyberattaque massive : les données de 33 millions de Français exposées

Fin janvier 2024, deux entreprises de gestion de tiers payant, Viamedis et Almerys, ont été victimes d’une cyberattaque de grande ampleur. Les données personnelles de plus de 33 millions de personnes ont été compromises, soit près de la moitié de la population française.

Le déroulé de la cyberattaque

Cette attaque a eu lieu dans un contexte de multiplication des cyberattaques contre les organismes de santé en France et dans le monde.

En 2023, on a recensé plus de 1000 cyberattaques contre des hôpitaux et des cliniques en France, soit une augmentation de 30 % par rapport à 2022.

Chronologie des événements

29 janvier 2024

• Viamedis subit une cyberattaque de grande ampleur.
• Les pirates informatiques parviennent à s’infiltrer dans le système informatique de l’entreprise et à exfiltrer des données sensibles. Les pirates ont usurpé les identifiants de soignants pour parvenir à récupérer les données des assurés.
• L’attaque est détectée rapidement par Viamedis, qui met en place des mesures pour limiter l’impact de l’attaque.

1ᵉʳ février 2024

• Viamedis informe ses clients et les autorités de la cyberattaque.
• L’entreprise communique sur les données qui ont été compromises, précisant que les informations bancaires, les coordonnées postales, les numéros de téléphone et les adresses e-mail ne sont pas concernées.
• Viamedis met en place un plan d’action pour accompagner ses clients et les aider à se protéger contre les risques de fraude et d’usurpation d’identité.

5 février 2024

• Almerys, un autre acteur majeur du tiers payant en France, annonce avoir également été victime d’une cyberattaque.
• Le mode opératoire semble similaire à celui de l’attaque de Viamedis.

7 février 2024

• Il est révélé que les données de plus de 33 millions de personnes ont été exposées lors des cyberattaques de Viamedis et Almerys.
• Il s’agit d’une des plus importantes cyberattaques jamais survenues en France.
• La CNIL, Commission nationale de l’informatique et des libertés, ouvre une enquête sur ces deux attaques.

Les données dérobées et exposées

Les pirates ont réussi à dérober les informations suivantes :

• Nom et prénom.
• Date de naissance.
• Numéro de sécurité sociale.
• Nom de l’assureur santé.
• Garanties du contrat.

Actions & Recommandations pour les entreprises et les clients

Actions entreprises par les plateformes et les autorités

• Déconnexion des plateformes dès la découverte des intrusions pour limiter les dégâts.
• Dépôt de plainte auprès du Procureur de la République pour engager des poursuites judiciaires.
• Notification de la CNIL (Commission Nationale de l’Informatique et des Libertés) pour une enquête et des sanctions potentielles.
• Information des clients et des professionnels de santé par email et via les sites web des plateformes.
• Mise en place de mesures de sécurité renforcées pour prévenir de futures attaques.

Recommandations pour les personnes potentiellement affectées

• Surveiller vos comptes bancaires et vos relevés de carte de crédit avec vigilance pour détecter toute activité suspecte.
• Rester vigilant face aux emails et appels suspects ne provenant pas d’une source fiable.
• Changer régulièrement vos mots de passe et utiliser des mots de passe forts et uniques pour chaque compte.
• Se méfier des liens et des pièces jointes suspectes dans les emails et ne jamais les ouvrir si vous n’êtes pas sûr de leur provenance.
• Contacter votre banque ou votre assureur en cas de suspicion de fraude.

Impacts et conséquences de cette cyberattaque

L’attaque qui a touché Viamedis et Almerys a eu des conséquences importantes pour les assurés, les entreprises et le système de santé.

Impacts sur les assurés et clients

• Fuite de données personnelles : Plus de 33 millions de personnes ont été exposées, y compris leurs noms, adresses, dates de naissance, numéros de sécurité sociale et informations médicales.
• Risque de fraude et d’usurpation d’identité : Les pirates informatiques peuvent utiliser les données volées pour usurper l’identité des victimes et effectuer des transactions frauduleuses.
• Inquiétude et stress : Les victimes de la cyberattaque sont préoccupées par l’utilisation de leurs données personnelles et les conséquences potentielles, comme la surveillance des comptes bancaires, l’opposition aux cartes bancaires, etc.

Impacts sur les entreprises touchées

• Atteinte à la réputation : La confiance des clients dans les entreprises a été ébranlée. Il peut y avoir une perte de confiance des clients, mais aussi des partenaires.
• Coûts financiers importants : Les entreprises doivent investir dans la mise en place de mesures de sécurité informatique plus strictes et dans la gestion des conséquences de l’attaque. Viamedis & Almerys devront mettre en place de mesures de sécurité supplémentaires, faire des investigations sur l’attaque, établir une communication de crise, etc.
• Risques juridiques : Les entreprises peuvent être poursuivies en justice par les victimes de la cyberattaque. De plus, la CNIL peut sanctionner les entreprises concernées si des manquements ont été constatés dans leur sécurité informatique.

Impacts sur le système de santé

• Perturbation du système de tiers payant : Les cyberattaques ont entraîné des retards dans le traitement des demandes de remboursement et des difficultés pour les professionnels de santé.
• Risque de violation du secret médical : Les données médicales des patients ont été exposées, ce qui peut avoir des conséquences graves sur leur vie privée.

Se protéger de ces cyberattaques

Pour prévenir et éviter de se retrouver dans une situation similaire à celle des gestionnaires des tiers payants, Viamedis et Almerys, voici plusieurs conseils pour se prémunir des cyber-attaques :

Assurer la protection des données personnelles

Il est primordial de protéger les données personnelles des clients, partenaires et collaborateurs. Pour cela, nous recommandons de :

• Limiter la collecte de données personnelles à ce qui est nécessaire.
• Stocker les données personnelles de manière sécurisée.
• Ne partager les données personnelles qu’avec des tiers de confiance, qui possèdent également un système sécurisé.
• Respecter les réglementations en matière de protection des données personnelles.

Sensibiliser et former les employés et collaborateurs

Les pirates informatiques savent que les employés sont souvent le maillon faible de la sécurité informatique. Ils exploitent leur manque de connaissances pour les inciter à faire des erreurs qui peuvent entraîner des cyberattaques.

C’est pour cela qu’il est primordial de :

• Former les équipes aux risques cybercriminels et aux bonnes pratiques de sécurité.
• Mettre en place une politique de sécurité des données claire et concise.
• Organiser des simulations d’attaques de phishing pour tester la vigilance des employés.

Attaques de phishing

Les cyberattaques et le phishing sont en constante augmentation. Voici quelques statistiques récentes pour vous donner une idée de l’ampleur du problème :

• En 2023, il y a eu une augmentation de 50 % des attaques de phishing par rapport à 2022.
• Les attaques de phishing sont le type de cyberattaque le plus courant, avec 91 % des cyberattaques qui commencent par une attaque de phishing.
• Les types d’attaques de phishing les plus courants sont les attaques par e-mail, les attaques par SMS et les attaques par téléphone.
• Le coût moyen d’une attaque de phishing pour une entreprise est de 35 000 €.

Organiser des simulations d’attaques de phishing est un excellent moyen de sensibiliser vos employés aux risques du phishing et de les tester pour savoir comment ils réagiraient à une véritable attaque.

Mettre en place des mesures de sécurité informatique efficaces

Voici un ensemble de mesures à mettre en place pour assurer une bonne sécurité informatique.

• Installer des solutions de sécurité fiables et les maintenir à jour (antivirus, pare-feu, système de détection d’intrusion (IDS), etc.). Nous conseillons très fortement d’utiliser un scanner de vulnérabilités.
• Mettre à jour régulièrement les logiciels et le système d’exploitation pour combler les vulnérabilités connues.
• Effectuer des audits de sécurité réguliers pour identifier les failles du système informatique.

Scanner de vulnérabilité

Un scanner de vulnérabilités est un outil utilisé pour identifier les vulnérabilités dans un système informatique. Il s’agit d’un type d’outil d’évaluation des vulnérabilités qui peut être utilisé pour analyser les systèmes à la recherche de failles de sécurité qui pourraient être exploitées par les attaquants.

Les scanners de vulnérabilités peuvent être un outil précieux pour améliorer la sécurité des systèmes informatiques.

Cependant, il est important de noter qu’ils ne sont pas un moyen infaillible de trouver toutes les vulnérabilités. Il est important de réaliser, au moins une fois par an, un audit de sécurité informatique, ou Pentest.

Pentest

Les audits de sécurité en informatique s’appellent des Pentests. Un pentest, ou test d’intrusion, est une simulation d’attaque informatique menée par un expert en sécurité.

L’objectif est d’identifier les vulnérabilités d’un système ou d’un réseau informatique afin de les corriger avant qu’elles ne soient exploitées par des pirates informatiques.