Attaque par rançongiciel Hive contre la CCSS

Le 31 mai 2022, la Caja Costarricense de Seguro Social (CCSS) — l'institution qui gère l'ensemble du système de santé publique et la collecte des cotisations sociales du Costa Rica — a été frappée par le groupe de rançongiciel Hive. Survenant quelques semaines seulement après les attaques de Conti qui avaient déjà plongé le pays dans un état d'urgence national, l'intrusion contre la CCSS a transformé une crise financière et administrative en urgence de santé publique.

Ce qui s'est passé

Aux premières heures du 31 mai, les techniciens de la CCSS détectent des « flux d'information anormaux » sur le réseau. Par précaution, ils coupent l'infrastructure critique, mais il est déjà trop tard : les imprimantes en réseau des hôpitaux se mettent à cracher des notes de rançon Hive et des pages de caractères illisibles, la signature classique d'un chiffrement en cours.

Les premiers rapports évoquent environ 30 serveurs touchés. En un jour, les responsables révisent drastiquement ce chiffre à la hausse : plus de 800 serveurs et environ 9 000 ordinateurs d'utilisateurs ont été compromis, rendant impossible la reprise en une semaine qui avait été prévue.

Impact

La CCSS a délibérément mis hors ligne ses systèmes phares pour contenir la propagation, dont l'Expediente Digital Único en Salud (EDUS) — le dossier de santé électronique national unifié — et sa sauvegarde EDAC. Sans EDUS, les cliniciens de tout le pays ne pouvaient plus consulter les antécédents des patients, les ordonnances ni les résultats de laboratoire.

• Hôpitaux et cliniques sont revenus aux processus papier, la grande majorité des établissements appliquant des plans de continuité.
• Le premier jour seul a vu environ 4 871 rendez-vous manqués dans quelque 80 établissements de santé ; des milliers d'autres ont été annulés les jours suivants.
• La dispensation en pharmacie, le traitement des laboratoires et le système de collecte des cotisations SICERE ont tous été perturbés.

Le 2 juin, Hive a réclamé environ 5 millions de dollars en bitcoin. Conformément à la position du gouvernement durant l'épisode Conti, la CCSS a refusé de payer et a reconstruit à partir de ses sauvegardes.

Attribution

Hive était une opération de rançongiciel-as-a-service prolifique, avec une préférence documentée pour les cibles du secteur de la santé. Le groupe louait son maliciel à des affiliés qui menaient les intrusions et partageaient les gains. L'infrastructure de Hive a finalement été saisie lors d'un démantèlement international coordonné par le FBI en janvier 2023, après que le Bureau eut discrètement infiltré le gang et distribué des clés de déchiffrement aux victimes.

Pourquoi c'est important

L'attaque contre la CCSS est un exemple typique de la manière dont un rançongiciel visant une seule institution nationale peut mettre des vies en danger à grande échelle. Contrairement à l'attaque Conti, qui avait surtout paralysé les systèmes fiscaux et douaniers, Hive a frappé l'épine dorsale de la prestation de soins d'un pays. L'épisode a renforcé la détermination du Costa Rica à ne jamais payer, accéléré les investissements dans la cyberdéfense nationale et est devenu un cas de référence du risque systémique que représente une informatique de santé publique sous-protégée à travers l'Amérique latine.