Rançongiciel contre le HSE irlandais (Conti)

Au matin du 14 mai 2021, le Health Service Executive irlandais — l'autorité nationale responsable des soins de santé publics dans toute la République — a découvert que l'équipe du rançongiciel Conti avait chiffré des serveurs dans l'ensemble du parc du HSE pendant la nuit. Au matin, les hôpitaux de Dublin à Cork fonctionnaient sur papier, les rendez-vous externes étaient annulés à l'échelle nationale, et le gouvernement irlandais prenait publiquement la décision de refuser la demande de rançon.

Ce qui s'est passé

L'intrusion a commencé par un unique courriel d'hameçonnage ciblé ouvert par un employé du HSE le 18 mars 2021. Le document Excel joint contenait des macros malveillantes qui ont déposé une balise Cobalt Strike. À partir de ce seul point d'ancrage, les opérateurs de Conti ont passé huit semaines de séjour sans entrave sur le réseau du HSE :

• Le réseau du HSE ne présentait aucune segmentation significative entre les 70 000 terminaux du parc s'étendant aux hôpitaux, à l'administration centrale et aux soins primaires.
• Les identifiants d'administrateur de domaine ont été obtenus en quelques jours.
• Le rapport post-incident indépendant de PwC a ultérieurement constaté que la solution antivirus du HSE avait signalé l'activité de Conti à plusieurs reprises pendant la période de séjour, mais que les alertes n'avaient pas été triées faute de SOC 24×7.
• Environ 700 Go de données de patients ont été exfiltrés dans les jours précédant l'événement de chiffrement.

Vers 04 h 00 le 14 mai 2021, les opérateurs de Conti ont déclenché le chiffreur sur les serveurs du HSE à l'échelle nationale. La réaction immédiate du HSE a été d'une ampleur sans précédent : il a mis hors ligne tous les systèmes informatiques de l'ensemble du service de santé publique par précaution contre toute propagation supplémentaire.

Impact

• Hôpitaux et cliniques à l'échelle nationale : tous fonctionnant sur papier pendant des semaines. Résultats de laboratoire, imagerie, dossiers de prescription, planification des rendez-vous, paie — tout a été perturbé.
• Rendez-vous externes : annulés pendant plusieurs semaines ; soins en oncologie, imagerie diagnostique et interventions programmées touchés à l'échelle nationale.
• ~700 Go de données de patients et d'employés exfiltrés, dont des actes de naissance, des antécédents médicaux et des informations de protection de l'enfance. ~80 000 personnes ont finalement été avisées que leurs données étaient directement concernées.
• Le post-mortem indépendant de PwC a estimé le coût total à plus de 100 M€, la majeure partie incombant à la reconstruction informatique et à la réponse à incident externe.
• Les données divulguées circulent toujours sur des forums du dark web des années plus tard.

La rançon impayée

Conti a exigé 20 millions de dollars en bitcoin. En quelques heures, le Taoiseach (Premier ministre) Micheál Martin a déclaré publiquement que le gouvernement irlandais ne paierait pas. Six jours plus tard, Conti a publié de manière inattendue la clé de déchiffrement gratuitement, invoquant des « raisons humanitaires » après que les gouvernements américain et irlandais eurent publiquement exercé une pression.

Le déchiffreur fonctionnait mais la récupération a été lente — à l'échelle du HSE et compte tenu de l'intégrité limitée des sauvegardes liée à l'architecture du réseau, restaurer 70 000 terminaux et reconstruire la confiance du réseau a pris des mois, et non des jours. Conti a également continué à divulguer sélectivement des dossiers de patients pour maintenir la pression malgré la fourniture du déchiffreur — une attaque réputationnelle calculée plutôt qu'une option de récupération.

Attribution

L'opération a été attribuée à l'opération de rançongiciel Conti tôt dans l'incident. Les Conti Leaks de février 2022 — 170 000 messages Jabber internes provenant d'un informateur ukrainien — ont ultérieurement confirmé la structure organisationnelle de l'opération et nommé plusieurs membres de Conti.

En février 2023, les États-Unis et le Royaume-Uni ont conjointement sanctionné sept opérateurs de Conti / TrickBot, Vitaly Kovalev (Stern) étant identifié comme l'équivalent du PDG de l'opération.

Pourquoi c'est important

Le HSE est le cas de référence d'un rançongiciel contre un système de santé national ayant refusé de payer. Il a établi :

• Qu'un gouvernement national peut refuser publiquement une rançon et tout de même récupérer, à condition de disposer de suffisamment de résilience et de soutien externe.
• Que le refus de payer n'arrête pas les fuites secondaires : Conti a continué à diffuser des dossiers volés des années plus tard.
• Que la segmentation du réseau n'est pas un luxe pour les réseaux de santé — le séjour de huit semaines de Conti sur le réseau du HSE était la conséquence d'un unique domaine de diffusion L2 plat couvrant 70 000 terminaux.

Le rapport post-incident publié par le HSE (PwC) est l'un des rapports publics d'incident de rançongiciel les plus cités en cybersécurité de la santé et demeure une lecture obligatoire pour tout grand opérateur de santé.