Attaque par rançongiciel de MediSecure

En mai 2024, MediSecure — l'un des deux fournisseurs nationaux d'ordonnances électroniques d'Australie — a révélé une attaque par rançongiciel qui a exposé les informations personnelles et de santé d'environ 12,9 millions d'Australiens, ce qui en fait l'une des plus grandes violations de données de l'histoire australienne et a finalement détruit l'entreprise.

Ce qui s'est passé

MediSecure exploitait l'infrastructure numérique qui permettait aux médecins d'émettre, et aux pharmacies de délivrer, des ordonnances électroniques partout en Australie. Il a été établi par la suite que l'attaque avait débuté vers le 13 avril 2024, l'entreprise confirmant publiquement une « violation de données par rançongiciel à grande échelle » le 16 mai 2024. La violation a été attribuée à un fournisseur tiers dans la chaîne d'approvisionnement de MediSecure.

Les données volées étaient considérables. Elles comprenaient les noms, dates de naissance, adresses postales et courriel, numéros de téléphone, identifiants de santé individuels (IHI) et numéros de carte Medicare des personnes, ainsi que des champs cliniques profondément sensibles : détails des médicaments prescrits, motif médical de chaque ordonnance et instructions posologiques. L'archive contenait également des numéros de cartes Pensioner Concession, Commonwealth Seniors, Healthcare Concession et du Department of Veterans' Affairs.

Impact

• Environ 12,9 millions d'Australiens ont vu leurs données exposées — près de la moitié de la population nationale.
• Un cybercriminel a mis en vente la base de données volée sur un forum criminel pour environ 50 000 dollars américains, et les analystes ont estimé que les données avaient probablement été vendues.
• L'exposition des données d'ordonnances et de diagnostics a créé des préjudices à la vie privée particulièrement sensibles, révélant les pathologies des individus.

Effondrement de l'entreprise

Incapable d'absorber les coûts de l'incident et privée d'un sauvetage gouvernemental, MediSecure s'est placée sous administration volontaire début juin 2024, FTI Consulting étant nommé administrateur. L'entreprise est ensuite entrée en liquidation, devenant l'un des cas les plus nets d'une entreprise anéantie par une seule cyberattaque. Comme MediSecure avait déjà été remplacée en tant que fournisseur national actif d'ordonnances électroniques, la violation n'a pas perturbé les services d'ordonnances en cours, mais elle a laissé une entreprise défunte portant la responsabilité de millions de dossiers.

Pourquoi c'est important

La violation de MediSecure est un cas australien marquant sur trois plans : la nature particulièrement sensible des données d'ordonnances et de diagnostics, l'origine dans la chaîne d'approvisionnement de la compromission et le risque existentiel pour l'entreprise que représente une violation majeure pour une société de technologie de la santé de taille moyenne. Survenant en pleine prise de conscience post-Optus et post-Medibank sur la sécurité des données australiennes, elle a renforcé les débats nationaux sur la minimisation et la conservation des données — pourquoi un fournisseur historique détenait-il encore les dossiers de santé de près de 13 millions de personnes — et a accéléré les réformes des régimes australiens de protection de la vie privée et des infrastructures critiques.