Après le piratage du PMP (Prescription Monitoring Program) de Virginie, des informations médicales sont à nouveau exposées. Cette fois-ci, c'est l'université de Berkeley (Californie) qui est touchée. Rappelons que, aux Etats-Unis, quelques informations de base (numéro de permis de conduire, numéro d'assurance maladie, adresse...) permettent de voler une identité très simplement.
Données médicales piratées
From : Vivien Derest avec IDG news service
PMP de Virginie
Un pirate informatique dit avoir volé les informations médicales de plus de 8 millions de patients sur le site sécurisé du programme de surveillance des prescription (PMP - Prescription Monitoring Program) de Virginie. Il demande 10 millions de dollars, sans quoi il les rendra publiques. Le FBI confirme de son côté qu'une investigation est en cours.
Un pirate informatique qui dit avoir piraté le site sécurisé du programme de surveillance des prescription (PMP - Prescription Monitoring Program) de Virginie. Le piratage lui-même remonterait au jeudi 30 avril. Le pirate aurait sauvegardé puis crypté les données médicales de plus de 8 millions de patients (auxquelles s'ajoutent 35 millions de prescriptions), avant de supprimer les données originales. Il demande 10 millions de dollars.
« J'ai en ma possession, actuellement, 8,257,378 dossiers médicaux et un total de 35,548,087 prescriptions. J'ai fait une sauvegarde cryptée et supprimé l'original. Malheureusement pour la Virginie, leurs sauvegardes semblent
avoir aussi disparues. », est supposé avoir écrit le pirate dans sa revendication, dont une copie est disponible sur
Wikileaks. « Pour 10 millions de dollars, je vous enverrais le mot de passe avec plaisir. » est censé avoir écrit le
pirate supposé.
La revendication continue, donnant sept jours aux autorités pour payer la rançon, sans quoi « Je mettrais les
informations sur le marché, et j'accepterais la meilleure enchère. »
Le pirate admet que bien qu'il ne soit pas vraiment sûr de la valeur des données ou de qui pourrait être intéressé, il
est certain que quelqu'un le sera. Et que s'il ne trouve personne pour les prescriptions, quelqu'un voudra surement
des informations personnelles (noms, âges, adresses, numéro de sécurité sociale et permis de conduire).
Jusqu'à maintenant le PMP de Virginie et la police d'État de Virginie n'ont pas fait de commentaires. Quant au site
principal du PMP, il est indisponible.
Le PMP avait été crée pour permettre aux docteurs, pharmaciens et professionnels de la santé de surveiller les
médicament prescrits à un patient, notamment en ce qui concerne les narcotiques. Ils peuvent par une page
sécurisée accéder aux bases de données du PMP.
Le Richmond Times-Dispatch avait annoncé mardi que le FBI et la police d'État confirmaient une investigation au
PMP. Timothy Kaine, le gouverneur de Virginie, précise que les données en question ne sont pas celles des
fichiers des médecins, seulement celles du site du PMP : « Ce ne sont pas des dossiers médicaux, aucune
information médicale individuelle n'a été compromise. »
C'est un piratage qui intervient dans des temps d'inquiétude accrue à propos de la sécurité médicale.
Rappelons que le DMP (Dossier Médical Personnel) est toujours au point mort en France. Ce n'est pas cette
affaire qui va le relancer.
Université de Berkeley Californie
L'université de Californie à Berkeley a annoncé vendredi que des pirates informatiques avaient eu accès à des
bases de données sensibles du centre médical du campus. L'université commence à prévenir ses anciens et actuels étudiants que des informations personnelles les concernant auraient pu être volées. Ce piratage intervient une dizaine de jours après celui du PMP (Prescription Monitoring Program) de Virginie.
De nombreuses informations médicales compromises
Une déclaration de l'université de Berkeley indique que les pirates ont pu s'attaquer à des informations relatives
aux couvertures d'assurances maladie et à quelques informations médicales. Le numéro médical UHS (University
Health Services pour Services de santé de l'université), les dates de visites et noms des médecins, ou le numéro de sécurité sociale font partie des informations qui ont été piratées. Les numéros de sécurité sociale sont utilisés
comme identifiants uniques pour les étudiants inscrit au plan d'assurance maladie des élèves, déclare l'université.
Près de 160 000 individus sont concernés, un chiffre qui inclut 3 400 élèves du Mills College dont les informations
sont aussi reliées à Berkeley. « L'université regrette profondément d'avoir exposé ses élèves et ceux du Mills à un
vol d'identité potentiel. », déclare Shelton Waggener, DSI de l'université et vice-chancelier associé aux technologies de l'information.
L'université croit que l'infraction a commencé le 9 Octobre 2008, et a continué jusqu'au 9 Avril de cette année. Des
administrateurs effectuant un travail de maintenance ont alors identifié des messages laissés par les pirates, qui
attaquaient depuis l'étranger. Ils accédaient à un site web public et ont par la suite atteint des bases de données
additionnelles stockées sur le même serveur, soutient l'université.
Les administrateurs de Berkeley ne croient pas que les pirates aient pu voler des dossiers médicaux complets,
stockés sur un système différent.« La protection de la vie privée et la qualité des soins apportés à nos patients sont la pierre angulaire de nos services. », souligne Steve Lustig, vice chancelier associé pour les services de santé. Il ajoute que l'université est « profondément troublée » par cette faille, mais que « Les dossiers médicaux n'ont pas été touchés dans cet incident.
Nous attendons que l'audit de nos systèmes nous informe de la marche à suivre pour continuer à améliorer notre
sécurité. ».
Une enquête en cours
Berkeley travaille avec la police du Campus et le FBI sur cette faille de sécurité et conseille aux victimes de cet
incident de mettre une alerte à la fraude sur leurs comptes de crédit.
L'université de Berkeley avait déjà fait les gros titres il y a quelques années suite à d'autres problèmes de sécurité,
notamment le vol d'un ordinateur portable contenant des informations sur les diplômés, et une base de données de résidents californiens compromise.