La télésanté est-elle sans danger ?

Beaucoup considèrent la télésanté comme l’un des plus grands accomplissements du progrès scientifique : en effet, il est possible d’obtenir une consultation médicale en cinq minutes sans même quitter son canapé. Mais il y a un hic…

Sur le marché noir ou le marché gris, les données médicales se vendent plusieurs dizaines de fois plus cher que les informations de carte de crédit ou les identifiants de réseaux sociaux. Contrairement à une carte de crédit, qu’il suffit de faire bloquer et de remplacer, on ne peut pas vraiment effacer ses antécédents médicaux. Vos nom, date de naissance, adresse, numéro de téléphone, numéro d’assurance, diagnostics, résultats d’examens, ordonnances et programmes de traitement restent d’actualité pendant des années. C’est une véritable mine d’or pour toutes sortes d’activités, du marketing ciblé au chantage, en passant par la fraude ou l’usurpation d’identité.

Et avec l’essor de l’IA, Internet regorge désormais de faux sites Internet qui prétendent offrir des services médicaux, mais qui sont en réalité conçus pour soutirer des informations confidentielles à des victimes qui ne se doutent de rien. Aujourd’hui, nous allons examiner quelles données médicales sont menacées, pourquoi les pirates informatiques les convoitent et comment vous pouvez vous en protéger.

Plus précieuses que les cartes de crédit

Les escrocs monétisent les données médicales volées, tant par lots que par ventes individuelles. Leur première manœuvre consiste généralement à extorquer une rançon aux entreprises qu’ils ont réussi à pirater. (En effet, en 2024, 91 % des fuites de données médicales liées à des programmes malveillants aux États-Unis résultaient d’attaques par ransomware.) Mais par la suite, les données divulguées sont utilisées pour mener des attaques ciblées et personnelles. Elles permettent aux pirates informatiques de dresser le profil médical d’une victime (médicaments achetés, fréquence d’achat et traitements à long terme) afin de revendre ces informations à de grandes entreprises pharmaceutiques ou à des spécialistes du marketing, ou de les utiliser pour des escroqueries par phishing ciblées, comme la promotion d’un faux traitement innovant. Ils vont même jusqu’à faire chanter un patient au sujet d’un diagnostic délicat ou utiliser ces informations pour obtenir frauduleusement des ordonnances de substances soumises à contrôle. De plus, les compagnies d’assurance sont également très intéressées par ce type de données. Elles analysent ces informations pour augmenter les primes d’assurance des patients ou, dans certains cas, refuser purement et simplement de les couvrir. En bref, ils ont de nombreuses façons de s’en servir contre vous.

Est-ce vraiment grave ?

La plus grande violation des données médicales de l’histoire s’est produite en février 2024, lorsque le groupe de pirates informatiques BlackCat a pénétré dans les systèmes de Change Healthcare. Il s’agit d’une division du groupe UnitedHealth, qui traite environ 15 milliards de transactions d’assurance par an et sert d’intermédiaire financier entre les patients, les prestataires de soins de santé et les compagnies d’assurance.

Pendant neuf jours, les pirates ont parcouru librement les systèmes internes de Change Healthcare, dérobant six téraoctets de données confidentielles avant de déclencher leur ransomware. Le groupe UnitedHealth a été contraint de mettre hors ligne tous les centres de données de Change Healthcare pour empêcher la propagation du ransomware, et a fini par verser une rançon de 22 millions de dollars aux cybercriminels. Cette attaque a pratiquement paralysé le système de santé américain. Le nombre de victimes a été revu à trois reprises : d’abord 100 millions, puis 190 millions, pour atteindre finalement le chiffre stupéfiant de 192,7 millions de personnes, avec des dommages estimés à 2,9 milliards de dollars. Et la raison (du côté de Change Healthcare) de cet incident de grande ampleur, que nous avons analysé en détail dans un article distinct, était tout simplement… l’absence d’authentification à deux facteurs sur un portail d’accès à distance.

Avant cela, Cerebral, une start-up spécialisée dans la télésanté mentale, avait intégré des outils de suivi tiers directement dans son site Internet et ses applications. Résultat : les données de 3,2 millions de patients, notamment leurs noms, leurs antécédents médicaux et leurs historiques de prescriptions, ainsi que leurs informations d’assurance, ont été divulguées sur LinkedIn, Snapchat et TikTok. La Commission fédérale du commerce des États-Unis a infligé à l’entreprise une amende de 7,1 millions de dollars et lui a interdit, une mesure sans précédent, d’utiliser des données médicales à des fins publicitaires. Soit dit en passant, cette même start-up a également fait la une des journaux pour avoir envoyé à ses clients des cartes postales promotionnelles sans enveloppe, sur lesquelles figuraient les noms des patients ainsi que des informations permettant à n’importe qui de déduire facilement leur diagnostic.

Pourquoi la télésanté est-elle si vulnérable ?

Examinons les principaux points faibles des services de télésanté.

• Le suivi publicitaire dans les applications médicales. Les outils de suivi de Facebook, TikTok, Snapchat et d’autres géants de la technologie sont souvent intégrés directement aux plateformes de télésanté, divulguant les données des patients aux annonceurs à l’insu des utilisateurs.
• Canaux de communication non sécurisés. Il arrive parfois que les médecins échangent avec leurs patients via des applications de messagerie classiques plutôt que par le biais de plateformes médicales certifiées. C’est pratique, certes, mais c’est illégal pour la clinique et tout à fait dangereux pour le patient.
• Vulnérabilités des plateformes. Les plateformes de télémédecine sont exposées aux attaques informatiques classiques, comme les injections SQL qui permettent aux pirates informatiques de récupérer l’intégralité des bases de données de patients, le détournement de session et l’interception de données lorsque le chiffrement de la connexion est insuffisant ou inexistant.
• Mauvaise formation du personnel. Nos recherches ont révélé que 30 % des médecins ont déjà été confrontés à des fuites de données de patients, notamment lors de consultations à distance, et que 42 % du personnel médical ne comprend pas réellement comment les données de leurs patients sont protégées.
• Matériel médical obsolète. De nombreux appareils médicaux portables (tels que les moniteurs cardiaques ou les tensiomètres) utilisent un ancien protocole de transfert de données appelé MQTT. Ce protocole comporte de nombreuses failles qui pourraient permettre à des pirates informatiques de voler des informations sensibles, voire de perturber le fonctionnement de l’appareil.

Spam et phishing dans le domaine de la télésanté

Le secteur médical n’attire pas que les pirates informatiques – les spammeurs et les fraudeurs s’y intéressent aussi de près. Ils proposent des « services médicaux » avec des offres qui semblent trop belles pour être vraies, envoient des emails au sujet de prétendus changements concernant votre assurance maladie, ou vantent les mérites d' » anciennes traditions thérapeutiques himalayennes « . Bien sûr, tous les liens qu’ils envoient mènent à des sites suspects proposant des produits ou des services douteux.

Si vous tombez sur un tel site de phishing, les escrocs tenteront de vous soutirer toutes les informations personnelles possibles : des photos de votre pièce d’identité, de votre police d’assurance, de vos ordonnances, et parfois même… des photos de parties de votre corps qui auraient besoin de soins médicaux. Une fois récupérées, ces données peuvent être divulguées et vendues sur le Dark Web, ou utilisées à des fins de chantage, d’extorsion et pour mener de nouvelles attaques de phishing. Pour en savoir plus à propos du fonctionnement de cette chaîne de collecte de données clandestine, consultez notre article intitulé Qu’advient-il des données volées lors d’une attaque de phishing ?

En règle générale, les faux sites de cliniques omettent souvent la section relative à la politique de confidentialité et vous inondent d’offres « valables uniquement aujourd’hui » qui semblent trop belles pour être vraies. Cela dit, grâce à l’IA, il est désormais très facile de créer un site d’aspect professionnel, impossible à distinguer d’un vrai : vous n’avez même pas besoin de compétences graphiques ni de parler couramment la langue de la victime. C’est précisément pour cette raison que nous vous recommandons d’utiliser notre suite de sécurité complète : elle est conçue pour détecter les spams, les escroqueries et le phishing, et vous avertir de la présence de sites frauduleux avant même que vous n’y accédiez.

Conseils de sécurité à l’intention des patients recourant à la télésanté

• Créez une adresse email dédiée aux services médicaux. Si cette adresse venait à être divulguée à la suite d’un piratage de la clinique, il serait beaucoup plus difficile pour les escrocs de retracer le reste de votre vie numérique.
• Évitez d’utiliser les identifiants Google, Apple ou ceux des réseaux sociaux pour vous connecter aux sites de télésanté. En séparant ces informations, il est beaucoup plus difficile de relier vos données médicales à vos comptes personnels.
• Vérifiez bien quelle plateforme est utilisée pour votre consultation. Si la clinique vous propose de communiquer par téléphone ou par chat via une application de messagerie classique, c’est mauvais signe. Un portail patient sécurisé et chiffré fourni par la clinique est nettement plus sûr.
• N’envoyez jamais de documents médicaux via des applications de messagerie instantanée ou les réseaux sociaux. Veillez à toujours envoyer les résultats d’analyses, les radiographies et les dossiers médicaux via le portail patient officiel de la clinique.
• Utilisez un mot de passe unique et complexe pour chaque compte. Votre portail administratif, votre compte de clinique et votre application de prise de rendez-vous chez le médecin doivent chacun disposer d’un mot de passe distinct. Kaspersky Password Manager peut les générer et les enregistrer pour vous. Il analyse également régulièrement les bases de données de fuites de données et vous avertit si l’un de vos comptes est compromis.
• Activez l’authentification à deux facteurs. Commencez par vous adresser aux services publics et aux organismes de santé. Nous vous recommandons d’utiliser une application d’authentification plutôt que des codes par SMS : c’est plus sûr et entièrement anonyme. Kaspersky Password Manager peut également vous aider ici.
• Ne partagez que le strict nécessaire. Ne vous sentez pas obligé de remplir tous les champs facultatifs dans les applications médicales ou sur les sites Internet. Moins un service stocke de données, moins il y a de données susceptibles d’être divulguées.
• Faites attention lorsque vous partagez des informations médicales sur les réseaux sociaux ou dans les applications de messagerie instantanée. Les escrocs adorent profiter des gens lorsqu’ils sont vulnérables. Par exemple, en 2024, des pirates informatiques ont gagné la confiance du développeur de XZ Utils, qui avait publiquement évoqué son épuisement professionnel et sa dépression. Ils l’ont convaincu de leur céder le contrôle de son outil, qu’ils ont ensuite rempli de code malveillant. Étant donné que le logiciel XZ Utils est utilisé sur de très nombreux systèmes Linux et qu’il est lié à OpenSSH (un protocole permettant de se connecter à des serveurs à distance), cette attaque aurait pu paralyser une grande partie d’Internet si elle n’avait pas été détectée à temps.
• N’installez pas d’applications de télésanté provenant de développeurs inconnus. Consultez les avis et prenez le temps de parcourir la politique de confidentialité : même les grandes plateformes peuvent partager vos données avec des tiers.
• Gardez un œil sur vos informations médicales. Des ordonnances inhabituelles, des consultations médicales auxquelles vous n’avez jamais eu recours ou des médicaments dont vous n’avez jamais entendu parler sont autant de signes révélateurs d’une possible compromission de votre compte.
• Configurez vos accessoires de santé et mettez-les régulièrement à jour. Les bracelets connectés, les tensiomètres, les balances intelligentes et les capteurs d’activité transmettent tous des données à Internet. Des paramètres incorrects ou des vulnérabilités non corrigées constituent une porte ouverte aux fuites de données.

Autres informations utiles pour protéger votre santé en ligne :

• Fuite des cerveaux : les failles des applications de santé mentale
• Pourquoi les courtiers en données établissent-ils des dossiers sur vous, et comment les en empêcher ?
• Comment discuter avec un bot peut tourner au drame
• Confidentialité des applications de santé pour la reproduction
• Les cinq problèmes de la télémédecine