Ransomware contre des hôpitaux britanniques
En 2017, les ransomwares ont fait la une des journaux lorsque WannaCry, l'une des plus grandes cyberattaques internationales à ce jour, a frappé de grandes organisations dans le monde entier. L'une des victimes les plus médiatisées a été le système de santé britannique (NHS, National Health Service) au Royaume-Uni. Dans cet article, nous examinons comment l'attaque par ransomware du NHS s'est produite, les conséquences de l'attaque et les leçons que vous pouvez tirer pour réduire le risque d'attaques par ransomware sur votre entreprise.
![](https://static3.avast.com/10003897/web/i/v2/aim/img/smb/pages/resources-what-is-hospital-ransomware/what-is-hospital-ransomware.png)
Quand a eu lieu l’attaque contre le système de santé du Royaume-Uni (NHS) ?
Le 12 mai 2017, le NHS du Royaume-Uni a été touché par un ransomware connu sous le nom de WannaCry. Cette attaque majeure de ransomware a laissé les hôpitaux dans l'incapacité de fonctionner, puisque les systèmes critiques sont tombés en panne. Des milliers d'interventions chirurgicales ont dû être annulées, et le personnel n'a pas pu accéder aux dossiers des patients ni même utiliser les systèmes téléphoniques.
Le NHS England a estimé qu'environ un tiers des 236 services de santé du NHS en Angleterre ont été touchés, ce qui a créé des problèmes de confidentialité et de santé pour le personnel et les patients, qui ont été victimes de la violation des données qui en a résulté.
Qu’est-ce que WannaCry ?
En mai 2017, WannaCry est devenu la forme de rançongiciel la plus célèbre au monde, frappant environ 230 000 ordinateurs dans le monde, en une seule journée. L'attaque WannaCry a été rapidement stoppée, mais des variantes du WannaCry original restent toujours actives.
En tant que ver, WannaCry est particulièrement difficile à arrêter, car il peut infecter des appareils et se déplacer automatiquement sur les réseaux, mettant ainsi en danger un grand nombre d'appareils à partir d'une seule infection. Wanna Cry n'est qu'une des nombreuses formes notoires de ransomware. Parmi les autres, on peut citer Sodinokibi et Ryuk.
Qu’est-ce que EternalBlue ?
L'exploit utilisé pour tirer parti de la vulnérabilité du système d'exploitation Windows est connu sous le nom d'EternalBlue, mais il n'a pas été créé par des pirates informatiques. Il a été développé par l'Agence nationale de sécurité américaine (NSA). Malheureusement, EternalBlue a été volé par un groupe de pirates connu sous le nom de The Shadow Brokers et a été utilisé pour créer WannaCry. Microsoft a rapidement créé un correctif, mais tout PC Windows qui n'a pas été mis à jour depuis sa publication reste vulnérable.
EternalBlue tire parti de SMBv1, un ancien protocole de communication réseau de Microsoft. En envoyant simplement un paquet malveillant au serveur cible, le malware peut se propager rapidement sur le réseau, créant ainsi une menace importante pour la sécurité en quelques instants.
Parmi les autres types de ransomware qui suivent une approche similaire figurent Petya (aussi basé sur EternalBlue), Cerber et Locky.
Attaque contre le NHS : que s'est-il passé ?
Les attaques WannaCry ne visaient pas des organisations spécifiques. Elles étaient plutôt spéculatives, à l'affût de toute occasion d'infecter des réseaux présentant des faiblesses de sécurité connues.
Bien que WannaCry n'ait pas directement visé le NHS, une sécurité insuffisante et des systèmes obsolètes ont facilité l'attaque. Les hôpitaux britanniques possédaient de nombreux ordinateurs fonctionnant avec des versions non corrigées de Windows 7, de sorte que de larges sections du réseau étaient vulnérables au moment même où ce ransomware se propageait rapidement dans le monde.
En plus d'infecter les réseaux locaux, le malware WannaCry a pu se propager sur le réseau N3, qui relie tous les sites du NHS. Toutefois, l'attaque n'a pas pu se propager via le système de messagerie du NHS, ce qui a permis d'éviter que davantage de données ne soient rançonnées ou utilisées pour le phishing.
Comment le NHS a-t-il répondu à l’attaque ?
Le NHS a-t-il payé la rançon de WannaCry ?
Le NHS et l'agence de lutte contre le crime organisé (National Crime Agency) ont signalé que les organisations du NHS n'ont pas payé les rançons des hôpitaux. Le ministère de la santé ne sait pas combien la perturbation des services a coûté au NHS, mais certaines estimations vont jusqu'à 92 millions de livres sterling (116 millions de dollars USD).
La cyberattaque a été stoppée par Marcus Hutchins, chercheur en sécurité informatique, qui a identifié un domaine non enregistré que le ransomware était programmé pour vérifier automatiquement. En enregistrant le domaine, il a pu créer un interrupteur. Le Centre national de cybersécurité du Royaume-Uni a passé les jours suivants à se protéger contre les tentatives de mise hors service du domaine jusqu'à ce qu'une méthode de déchiffrement soit trouvée.
Quelles ont été les conséquences de l'attaque par ransomware du NHS ?
Au moins 80 des 236 services du NHS au Royaume-Uni ont été touchés par le virus, en plus de 603 organisations de soins primaires et autres organisations du NHS et de 595 cabinets de médecins généralistes.
La cyberattaque a été stoppée par Marcus Hutchins, chercheur en sécurité informatique, qui a identifié un domaine non enregistré que le ransomware était programmé pour vérifier automatiquement. En enregistrant le domaine, il a pu créer un interrupteur. Le Centre national de cybersécurité du Royaume-Uni a passé les jours suivants à se protéger contre les tentatives de mise hors service du domaine jusqu'à ce qu'une méthode de déchiffrement soit trouvée.
Autres exemples d'attaques par ransomware contre de grands hôpitaux
Le ransomware contre le NHS n'est pas le seul incident très médiatisé impliquant des établissements médicaux. En juillet 2019, le Springhill Medical Center d’Alabama a été frappé par une attaque de ransomware, entraînant une panne de réseau qui a mis hors service les systèmes de surveillance de la salle de travail. Par la suite, une femme, Teiranni Kidd, a intenté un procès après que son enfant soit né avec des lésions cérébrales et ait perdu la vie à la suite de l'attaque, qui a changé la façon dont leur santé était surveillée. Il s'agit du premier décès présumé dû à un ransomware.
Ces dernières années, l'entreprise United Health Services a subi une autre attaque de ransomware très dommageable en septembre 2020. Leur réseau informatique a été fermé pendant plusieurs jours par le ransomware Ryuk, ce qui a entraîné l'annulation de rendez-vous, le transfert de patients vers d'autres établissements et le recours à des dossiers papier. Il a fallu près d'un mois pour s'en remettre, pour un coût estimé à 67 millions de dollars USD.
Malheureusement, les attaques de ransomware contre les hôpitaux sont de plus en plus fréquentes. Un rapport révèle que 45 millions d'individus ont été touchés par des attaques sur les soins de santé en 2021, soit une augmentation spectaculaire par rapport aux 34 millions de 2020. Une autre enquête a révélé que 81 % des organisations de soins de santé au Royaume-Uni ont été victimes d'attaques par ransomware en 2021.
Quelles leçons peuvent être tirées par les propriétaires d'entreprises ?
Le ministère de la Santé a été averti des risques de cyberattaques sur le NHS un an avant l'attaque WannaCry, et bien que des travaux aient été entrepris pour apporter des changements, il était trop tard. Le ministère a également été critiqué à l'époque pour avoir autorisé l'utilisation de systèmes Windows aussi anciens que Windows XP, que Microsoft a cessé de prendre en charge en 2014.
La principale leçon à tirer de cette attaque très médiatisée est de privilégier les meilleures pratiques en matière de cybersécurité et de mettre en œuvre la gestion des correctifs. Bien que cela puisse être difficile dans un environnement exigeant, c'est essentiel pour prévenir les vulnérabilités qui peuvent être exploitées par des pirates pour accéder au réseau et au serveur de votre entreprise.
Parallèlement, il convient de suivre les meilleures pratiques en matière de cybersécurité, telles que :
- Créer un plan de reprise après sinistre informatique
- Mettre en œuvre des outils de protection contre les ransomwares
- Former du personnel pour éviter les attaques par phishing/ingénierie sociale
- Créer des sauvegardes de données sécurisées afin de pouvoir récupérer les documents sensibles
En combinant ces éléments, le risque de subir une attaque peut être réduit, ce qui permet de minimiser les temps d'arrêt et de récupération. Si votre entreprise est victime d'une attaque, sachez que de nombreuses agences gouvernementales et de sécurité ont créé des outils de déchiffrement pour aider à récupérer les données volées par certains types de ransomware connus.
Pour en savoir plus sur les principales attaques de ransomware, ne manquez pas de consulter nos études de cas sur les attaques de la ville d'Atlanta et de Baltimore.
Laissez Avast protéger votre entreprise contre les attaques de ransomware
Les sauvegardes et la mise en œuvre efficace de la sécurité sont essentielles pour protéger votre entreprise contre les attaques de ransomware. Les solutions de cybersécurité pour PME d'Avast vous permettront de choisir le niveau de protection le mieux adapté à la taille et aux besoins de votre entreprise, en vous aidant à protéger les appareils contre les ransomwares et d'autres types de cyberattaques.