L’essor de la télésanté a rendu l’accès à l’expertise médicale plus pratique et abordable qu’avant. Toutefois, comme pour de nombreux services numériques, ce secteur présente des risques liés à la cybersécurité. Récemment, des utilisateurs d’une plateforme de soins en ligne ont fait les frais d’une importante fuite de données personnelles. Une aubaine pour les cybercriminels susceptibles de les exploiter.
Récemment, Jérémie Fowler, chercheur en cybersécurité, a découvert une fuite massive de documents médicaux en ligne. Son enquête a révélé que ces dossiers appartenaient aux utilisateurs de Confidant Health, une entreprise texane offrant des services de soins virtuels à des patients souffrant de troubles mentaux et de dépendance. Suite à cette découverte, le chercheur a rapidement signalé la fuite. Bien que l’accès aux données ait été restreint, cet incident souligne les risques croissants en matière de sécurité à mesure que le monde se numérise.
5,3 To de fichiers et 1,7 million d’enregistrements
Fowler a mis la main sur 126 276 fichiers, totalisant 5,3 To, appartenant à l’entreprise de télésanté. Les données publiées comprennent une liste de nombreux membres de la plateforme, avec des informations personnelles telles que le nom, l’adresse et bien plus.
Parmi les données exposées figurent également des copies de pièces d’identité, de documents d’assurance et de permis de conduire. Les dossiers médicaux révélant les conditions de santé, les antécédents médicaux, les prescriptions ainsi que des tests de dépistage de consommation de drogues, étaient aussi accessibles publiquement. « J’ai vu des documents indiquant des notes d’admission en psychothérapie et des évaluations psychosociales qui fournissaient des détails sur la santé mentale ou l’abus de substances », a ajouté l’expert dans son rapport.
En outre, plus de 1,7 million d’enregistrements audio et vidéo, ainsi que des transcriptions textuelles, ont été divulgués. Ces fichiers contiennent des discussions où les patients partagent notamment leur vie privée ainsi que leurs problèmes les plus personnels, y compris des détails sur leur vie familiale et conjugale. Ils y relatent par ailleurs leurs expériences traumatiques.
Une insécurité de plus en plus marquée
Si la majorité des informations de la plateforme ont été compromises, certaines seraient tout de même restées sous verrou. Cependant, il est tout de même très probable que les pirates réussissent dans le futur à accéder à l’intégralité des données. « Les cybercriminels disposent d’une série d’outils, notamment des outils d’attaque par force brute, qu’ils combinent à des tentatives d’ingénierie sociale, et qui pourraient potentiellement permettre un accès non autorisé à ces fichiers et documents protégés », explique Fowler.
Quoi qu’il en soit, les informations déjà exposées suffiraient pour orchestrer des actes malveillants, dont l’usurpation d’identité et l’extorsion. Étant donné la nature sensible des données divulguées, il serait facile pour des criminels d’exploiter les vulnérabilités des patients pour les faire chanter.
L’accès aux informations a été restreint suite au signalement du chercheur. Cependant, il est impossible de déterminer combien de temps elles ont été accessibles ou combien de personnes ont pu les consulter. L’incident ne fait qu’accentuer la crainte généralisée concernant la sécurité des données à l’ère numérique. Les mesures devraient être renforcées pour espérer un marché plus serein, en particulier dans le secteur de l’e-santé.
Dans son rapport, Fowler recommande aux entreprises comme Confidant Health de chiffrer les données sensibles et de limiter l’accès à ces dernières. Il suggère également de réduire la durée de vie des fichiers pour qu’ils soient stockés hors ligne après un certain temps. Aux patients, il conseille l’adoption de l’authentification multifacteur pour renforcer leur sécurité.