Attaque par rançongiciel contre l'hôpital ophtalmologique Moorfields de Dubaï

En août 2021, le groupe de rançongiciels AvosLocker a attaqué l'antenne de Dubaï de l'hôpital ophtalmologique Moorfields, la déclinaison internationale du célèbre hôpital ophtalmologique Moorfields britannique affilié au NHS. Le gang a affirmé avoir volé environ 60 Go de données de patients et de personnel et, faute de réponse à ses exigences, les a publiées en ligne dans une opération classique de double extorsion.

Ce qui s'est passé

AvosLocker a inscrit la victime sur son site de fuite du dark web le 15 août 2021 sous le nom de « Moorfields NHS UK & Dubai », laissant entendre une compromission de l'organisation mère londonienne. En réalité, seuls les systèmes de l'hôpital de Dubaï ont été touchés — rien n'indiquait que les serveurs du NHS britannique aient été atteints. Moorfields a confirmé l'« incident de sécurité informatique » le 16 août, déclarant qu'il affectait ses opérations de Dubaï et que les patients concernés étaient en cours de notification.

Fidèle au modèle de la double extorsion, AvosLocker a à la fois chiffré les systèmes et exfiltré des données. Faute de paiement de l'hôpital, le gang a divulgué un premier lot de fichiers volés puis, le 1er septembre 2021, a publié le reste du trésor.

Impact

• Environ 60 Go de données internes ont été exfiltrés.
• Les fichiers volés comprenaient, selon les rapports, des copies de cartes d'identité de patients, des demandes d'assurance, des documents financiers, des journaux d'appels de l'hôpital et des messages internes — des données de santé et d'identité hautement sensibles.
• S'agissant des patients d'un hôpital ophtalmologique, ces données comportaient à la fois des risques de confidentialité médicale et d'usurpation d'identité pour les personnes concernées aux Émirats.
• Moorfields a notifié les patients de Dubaï concernés et a engagé une réponse à incident et une remédiation ; aucun paiement de rançon n'a été confirmé.

Attribution

L'attaque a été revendiquée par AvosLocker, une opération de rançongiciel-en-tant-que-service apparue à la mi-2021 qui ciblait des organisations d'infrastructures critiques et de santé dans le monde entier. AvosLocker a ensuite fait l'objet d'un avis du FBI/FinCEN en 2022 avertissant qu'il avait attaqué des entités dans plusieurs secteurs d'infrastructures critiques américains. L'opération contre Moorfields Dubaï a figuré parmi ses premières frappes médiatisées dans le secteur de la santé.

Pourquoi c'est important

La violation de Moorfields Dubaï a mis en lumière l'exposition des prestataires de santé de marque internationale opérant dans le Golfe, où un nom mondialement reconnu peut attirer des attaquants en quête d'un effet de levier et d'une publicité maximaux. Elle a illustré comment le rançongiciel à double extorsion transforme les données des patients en outil de coercition, et a renforcé la nécessité de réseaux de filiales étrangères cloisonnés et bien défendus, même lorsque les systèmes du pays d'origine de l'organisation mère restent intacts.