Les données des patients détenues par le centre de psychothérapie Vastaamo ont été détournées la semaine dernière par des cybercriminels, d’après Foreigner.fi, un journal finlandais en ligne. Les données piratées ont commencé à être divulguées en ligne et les criminels ont demandé à Vastaamo 450 000 euros en échange de l'arrêt de la publication. Les informations publiées comprenaient les données personnelles et le contenu des séances de thérapie des patients - y compris les mineurs. Mais la publication des données a cessé vendredi, suscitant des rumeurs sur un éventuel paiement, selon le journal.Les pirates informatiques ont réussi à accéder à la base de données de milliers de clients de la société Vastaamo et ont commencé à publier des données personnelles sur des patients après avoir détecté des vulnérabilités dans leur système, a rapporté Foreigner.fi. Mais le scandale causé par l'extorsion d'un groupe de pirates informatiques à la société privée qui fournit des services de psychothérapie au système de santé publique a pris fin vendredi à la grande stupéfaction des Finlandais.
La cible du groupe de piratage était Vastaamo, un centre privé de psychothérapie en tant que sous-traitant du système de santé publique finlandais. Vastaamo fournit un traitement psychiatrique aux patients souffrant de dépression et de troubles d’anxiété, dont beaucoup visitent le centre par le biais de l'organisation d'assurance sociale KELA. Il faut noter que la Finlande est souvent placée à l’avant-garde de la révolution numérique et de l’innovation. Mais cela n’a pas empêché les criminels de mettre la main sur les données sensibles des patients.
Le journal rapporte que les extorqueurs ont exigé environ 450 000 euros (en bitcoins) en échange de la non-publication des données cliniques et de santé mentale de milliers de personnes. Pour emmener les responsables de Vastaamo à vite réagir, les cybercriminels ont commencé à publier les données de 100 personnes chaque jour, à partir de mercredi dernier, sur le réseau informatique chiffré Tor.
Les pirates informatiques ont ensuite affirmé qu'ils n'arrêteraient pas la divulgation des données tant qu'ils n'auraient pas reçu l'argent. Comme l'entreprise résistait pour répondre aux demandes des pirates, les données personnelles de plus de 200 personnes - dont des mineurs - ont été publiées en ligne au bout de deux jours, a rapporté le journal. Les informations publiées comprenaient le nom du patient, son numéro d'identification personnel, son numéro de téléphone, son adresse électronique et son adresse de résidence, ainsi que le contenu des séances de thérapie.
« Une entité hostile inconnue a contacté Vastaamo et a prétendu avoir obtenu des informations confidentielles des clients de l'entreprise. La police criminelle centrale a lancé une enquête pénale sur cette affaire. Des notifications immédiates ont également été faites au Centre finlandais de cybersécurité, à Valvira et au commissaire à la protection des données. En outre, Vastamo a pris des mesures immédiates pour clarifier l'affaire en coopération avec des experts en sécurité externes et indépendants », a déclaré la société dans un communiqué de presse, selon Foreigner.fi.
Un arrêt de divulgation des données suite à un potentiel paiement de rançon
Alors que les données concernant 100 autres personnes ont été publiées jeudi soir, la page où les données étaient publiées avait été supprimée le vendredi, ce qui a déclenché des rumeurs sur un éventuel paiement aux extorqueurs. Selon le journal, au moment de la rédaction de son article le vendredi, Vastaamo n'avait ni confirmé ni nié le paiement de la rançon. Tuomas Kahri, président du conseil d'administration de la société, a déclaré au tabloïd finlandais Ilta Sanomat qu'il ne commenterait pas les allégations de paiement de la rançon.
Ilta Sanomat a échangé plusieurs messages avec les pirates informatiques jeudi, et selon le tabloïd, les criminels ont déclaré qu'ils ne savaient pas qu'il y avait des données sur les mineurs parmi les informations publiées. Cependant, ils ont assuré que cela ne les arrêterait pas. Jusqu’à la publication de l’article de Foreigner.fi, l'identité des extorqueurs était encore inconnue, et il semble qu'ils ne soient pas inquiets de leur éventuelle arrestation par les autorités. Selon le même tabloïd, les cybercriminels avaient également offert à des patients individuels la possibilité de supprimer leurs propres données en payant environ 540 euros en bitcoins.
Le Bureau national d'investigation (l’agence KRP) enquête sur l'attaque comme un cas de violation grave et de diffusion d'informations privées, selon Foreigner.fi. La police demande aux personnes qui ont remarqué la diffusion de leurs informations privées de déposer un rapport de criminalité en ligne sur les faits leur concernant. Les victimes ont critiqué l'entreprise pour ne pas avoir informé plus tôt ses clients que leurs données avaient été exposées dans cette affaire d'extorsion. Certains se sont plaints de n'avoir été contactés qu'après que l'affaire ait été portée à la connaissance du grand public.
Les pirates informatiques intéressent davantage aux données personnelles au fil des années. Selon un rapport de recherches de Risk Based Security publié en décembre dernier, l’année 2019 a été une année record en termes de violations de données, le nombre total de violations ayant augmenté de 33 % par rapport à l'année précédente.
À titre d’exemple, selon le rapport, au moins 20 millions de patients ont vu leurs données révélées, rien que dans le mois de juin, lorsque le collecteur de factures American Medical Collection Association a été piraté. De multiples recours collectifs ont été intentés contre l'AMCA et ses clients contractuels pour violation des données de paiement des patients, des numéros de sécurité sociale, des informations médicales, des dates de naissance, des numéros de téléphone, des adresses, etc.
La divulgation des données des patients de Vastaamo s’est arrêtée, mais il n’est pas clair que les pirates informatiques ont supprimé toutes les informations qu’ils détiennent. Les cybercriminels peuvent s’en servir de multiples façons. Par exemple, les adresses électroniques peuvent être utilisées pour cibler les personnes avec des courriers de phishing. Les informations personnelles identifiables peuvent aussi être vendues à des entreprises qui les utiliseront à des fins de ciblage publicitaire. Bien souvent, ces données se retrouvent aussi en vente libre sur le Dark Web.
Source : Foreigner.fi
Et vous ?
Que pensez-vous de cette nouvelle violation de données des patients ? Doit-on penser que les mesures prises par les services médicaux pour protéger les informations personnelles ne sont pas assez solides pour dissuader les pirates informatiques ? Comment pourraient-ils faire pour protéger efficacement les données des patients ? Voir aussi :
Des millions de données médicales dont des images de radiologie ou de mammographies ont été mises en ligne, sans mesures de protection élémentaires et sont accessibles à tous 2019 a été une « année record » en termes de violations de données, petit tour d'horizon sur celles qui ont le plus marqué Des hackers volent des données médicales de 15 millions de patients, puis les revendent au laboratoire qui les détenait Les violations de données ont exposé 2,8 milliards d'informations personnelles en 2018, selon ForgeRock 
. Des personnes peu scrupuleuses qui auront accès à ces informations pourront "influer" sur le court de la vie des victimes déjà "handicapé(es)" par des problèmes de santé mentale ...