En 2023, l’Afrique était la région ayant enregistré le nombre moyen d’attaques cybernétiques hebdomadaires par organisation le plus élevé au monde ; une organisation sur 19 y avait subi une tentative d’attaque chaque semaine. C’est ce que fait ressortir un nouveau rapport, publié le 3 juillet, par KnowBe4, fournisseur de la plus grande plateforme mondiale de formation à la sensibilisation à la sécurité et de simulation d’ hameçonnage.
Les auteurs du rapport décryptant l’état de la cybersécurité dans le secteur de la santé en Amérique du Nord, en Europe, au Royaume-Uni, en Asie-Pacifique, en Afrique et en Amérique latine, mettent en garde contre la hausse inquiétante des cyberattaques ciblant les structures hospitalières : «Les hôpitaux sont devenus des cibles de plus en plus attrayantes pour les attaques de rançongiciels en raison de leurs vastes bases de données de patients, des informations sensibles qu’ils détiennent et de l’interconnexion entre leurs systèmes et équipements.»
Cette vulnérabilité aux cybermenaces est, à leurs yeux, imputable aux mauvaises mesures de sécurité y existantes. «En cas de cybermenaces d’attaque, les cybercriminels peuvent potentiellement prendre le contrôle de l’ensemble des systèmes hospitaliers et accéder non seulement aux informations médicales des patients, mais aussi à leurs données financières et d’assurance.»
Pour l’ensemble du secteur, le plus touché financièrement, les conséquences sont désastreuses : «Le secteur de la santé a connu une augmentation spectaculaire des coûts des cyberattaques au cours des trois dernières années, le coût moyen d’une violation atteignant près de 11 millions de dollars, soit plus de trois fois la moyenne mondiale», s’inquiètent les experts de KnowBe4, leader mondial des outils de lutte anti-hameçonnage. Pis encore : à les en croire, les menaces, des plus sévères, que constituent les cyberattaques pour le fonctionnement des groupes hospitaliers devraient être prises très au sérieux.
D’autant qu’elles sont susceptibles d’entraîner «une baisse des soins aux patients, une perte d’accès aux systèmes électroniques et un recours à des dossiers papier incomplets». Elles peuvent aussi se traduire par «l’annulation de chirurgies, d’examens, de rendez-vous et, dans certains cas, même de pertes de vies humaines».
Le secteur de la santé particulièrement ciblé
D’où l’appel à la vigilance du patron de KnowBe4 : «Le secteur de la santé reste une cible de choix pour les cybercriminels cherchant à tirer profit des situations de vie ou de mort auxquelles sont confrontés les hôpitaux.
Avec les données des patients et les systèmes critiques pris en otage, de nombreux hôpitaux ont l’impression de n’avoir d’autre choix que de payer des rançons exorbitantes.»
Mais, en donnant la priorité à «une formation complète à la sensibilisation à la sécurité pour responsabiliser les employés et cultiver une culture positive de la sécurité comme rempart solide contre l’hameçonnage et les tactiques d’ingénierie sociale», ce cycle vicieux serait, selon lui, en mesure d’être aisément brisé.
Dans le rapport, qui met également en lumière certaines des attaques de rançongiciels les plus médiatisées survenues entre décembre 2023 et mai 2024, leurs conséquences et ce que les organisations de santé peuvent faire pour se protéger des cyberattaques, ont, pour la première fois, été publiquement révélées des données frappantes : au cours des trois premiers trimestres de 2023, le secteur mondial de la santé a subi pas moins de 1613 cyberattaques par semaine en moyenne, soit près de quatre fois la moyenne mondiale.
Les attaques de rançongiciels ont été le type de cyberattaque le plus répandu sur les organisations de santé, représentant plus de 70% des attaques réussies au cours des deux dernières années.
La majorité des cyberattaques (entre 79 et 91%), tous secteurs confondus, commencent par des tactiques d’hameçonnage ou d’ingénierie sociale, permettant aux cybercriminels d’accéder aux comptes ou serveurs.
Par secteur, l’état des lieux de référence 2024 dressé par KnowBe4 fera remarquer que les organisations de santé et pharmaceutiques étaient parmi les plus vulnérables aux attaques d’hameçonnage, «les employés des grandes entreprises du secteur ayant 51,4% de risque d’être victimes d’un e-mail d’hameçonnage, les cybercriminels ayant plus d’une chance sur deux de réussir à berner un employé du secteur».