En bref
- Les hackers ciblent les fournisseurs de santé qui donnent accès à de nombreux établissements.
- Craneware confirme une cyberattaque avec des données clients potentiellement volées.
- Cette attaque s’inscrit dans une vague de cyberattaques massives contre la santé américaine.
Les hackers ne visent plus seulement les hôpitaux. Ils frappent aussi les boîtes qui tournent derrière, celles qu’on ne voit presque jamais mais qui branchent des milliers d’établissements sur les mêmes outils. Et dans la santé américaine, c’est exactement le genre de point d’entrée qui peut faire très mal.
Les fournisseurs santé, nouvelle porte grande ouverte
Quand un attaquant compromet un prestataire utilisé à grande échelle, il ne récupère pas juste un serveur ou deux. Il met la main sur des flux, des dossiers, des historiques, bref sur des masses de données liées aux soins et à la facturation. C’est aussi ce qui nourrit les tentatives d’extorsion, avec la menace classique de publier les informations volées.
Dans ce dossier, Craneware coche pas mal de cases sensibles. Son logiciel phare de comptabilité et de facturation est utilisé par des milliers de cliniques, d’hôpitaux et de pharmacies aux États-Unis. Clairement, ce n’est pas le petit éditeur perdu dans un coin.
Ce que Craneware reconnaît déjà
Craneware, groupe basé au Royaume-Uni, a indiqué lundi avoir subi une cyberattaque au cours de laquelle un volume important de données clients a été dérobé. L’entreprise ajoute que les pirates semblent avoir été expulsés de ses systèmes, mais que l’enquête continue.
L’information a été communiquée dans une déclaration transmise au London Stock Exchange. Pour l’instant, la société reste floue sur la nature exacte des données emportées. Elle parle d’un pourcentage de données d’employés, de données clients et d’enregistrements de partenaires qui ont été exfiltrés.
Autre zone grise, et elle compte : Keith Neilson, le PDG de Craneware, n’a pas répondu aux questions sur un éventuel contact des pirates ni sur une possible demande de rançon. On ne sait pas non plus si les systèmes de l’entreprise peuvent toujours recevoir des e-mails pendant l’incident.
Pourquoi ce dossier pèse plus lourd qu’un simple incident IT ?
Le problème, c’est la place de Craneware dans la chaîne. Ses outils aident les prestataires de santé à facturer les patients pour les services rendus, ce qui implique la gestion de données médicales et de données patients pour le compte de ses clients.
Et il y a un précédent qui donne le vertige. Lors du rachat de l’éditeur de logiciels pour pharmacies Sentry, basé en Floride, en 2021, Craneware expliquait avoir récupéré l’accès à 147 millions de dossiers de patients collectés sur deux décennies. Pas de quoi paniquer tout de suite, mais oui, l’échelle force le respect.
Une série noire qui ne ralentit pas
Cette affaire s’ajoute à une longue liste récente. En mars, TriZetto a confirmé le vol de données personnelles et de santé de plus de 3,4 millions de personnes. Le même mois, CareCloud a signalé une brèche dans un stockage de dossiers médicaux électroniques, sans préciser encore l’ampleur du vol.
L’été dernier, Episource a commencé à prévenir au moins 5,4 millions de personnes que leurs informations avaient été dérobées. Et au-dessus de tout ça plane le cas Change Healthcare, propriété de UnitedHealth, victime en 2024 d’un gang de ransomware russophone. Bilan reconnu : au moins 192 millions de personnes touchées. Là, on ne parle plus d’un incident, mais d’une faille de système.
