Attaque par rançongiciel d'Advanced / NHS 111

Le 4 août 2022, Advanced, important fournisseur de logiciels et d'hébergement du National Health Service britannique, a été frappé par le rançongiciel LockBit 3.0 dans une attaque qui s'est propagée à travers le système de santé britannique et a contraint les soignants à revenir au papier et au crayon.

Ce qui s'est passé

Les attaquants ont pénétré via un compte client dépourvu d'authentification multifacteur, puis ont déployé LockBit 3.0. Advanced a détecté l'intrusion le 4 août et a immédiatement déconnecté une partie de son infrastructure pour limiter la propagation.

Ce confinement, bien que nécessaire, a mis hors service des systèmes cliniques hébergés dont Adastra — utilisé par environ 85 % des services NHS 111 pour trier les appels urgents non vitaux — ainsi que Carenotes, Caretaker, Crosscare, Odyssey et Staffplan. La perturbation a été suffisamment grave pour que le gouvernement britannique convoque une réunion de crise COBR, craignant l'impact sur les soins aux patients alors que le personnel revenait à la tenue manuelle des dossiers.

Impact

• Le service de triage NHS 111 et plusieurs systèmes communautaires et de santé mentale ont été perturbés pendant des semaines, le temps qu'Advanced rétablisse les services.
• Les attaquants ont exfiltré des données avant le chiffrement. L'ICO a confirmé par la suite que des données personnelles — numéros de téléphone et dossiers médicaux — de 82 946 personnes avaient été dérobées, dont les modalités d'accès aux domiciles de 890 personnes recevant des soins à domicile.
• Advanced a déclaré avoir dépensé environ 18,3 millions de livres en remédiation, avec des coûts supplémentaires l'exercice suivant.

Action réglementaire

En août 2024, l'ICO a annoncé son intention provisoire d'infliger à Advanced une amende de 6,09 millions de livres, estimant que l'entreprise n'avait pas mis en œuvre de mesures appropriées — notamment une authentification multifacteur complète et une analyse des vulnérabilités en temps voulu — avant l'attaque. En mars 2025, l'ICO a finalisé une sanction réduite de 3,07 millions de livres, tenant compte de la coopération d'Advanced et du règlement amiable.

Pourquoi c'est important

L'incident Advanced est un exemple britannique marquant du risque de chaîne d'approvisionnement dans la santé : la compromission d'un seul fournisseur d'hébergement a dégénéré en panne nationale du triage d'urgence, démontrant comment une dépendance concentrée envers un fournisseur peut mettre en danger la sécurité des patients. L'absence d'authentification multifacteur sur un seul compte comme point d'entrée en a fait un cas d'étude récurrent dans les recommandations du NHS et de l'ICO sur la sécurité des fournisseurs et les contrôles d'accès élémentaires.