Attaque par rançongiciel Medusa contre PhilHealth

Le 22 septembre 2023, le gang de rançongiciel Medusa a frappé la Corporation philippine d'assurance maladie (PhilHealth), l'agence publique qui administre la couverture maladie universelle des Philippines. L'attaque a chiffré les systèmes internes, mis hors ligne les services destinés aux membres et exfiltré environ 750 Go de données hautement sensibles.

Ce qui s'est passé

Medusa est une opération d'extorsion et de rançongiciel à motivation financière. Après avoir pénétré le réseau de PhilHealth, le gang a déployé un rançongiciel et dérobé une masse considérable de dossiers avant d'exiger une rançon de 300 000 dollars — soit environ 17 millions de pesos philippins — en échange d'une clé de déchiffrement et de la promesse de supprimer les données volées.

Une enquête ultérieure a révélé une cause profonde frappante : au moment de l'attaque, les systèmes de PhilHealth n'étaient pas protégés par un logiciel antivirus, car la licence avait expiré et son renouvellement avait été retardé par les procédures de marchés publics du gouvernement.

Données exposées

Les quelque 750 Go de données exfiltrées comprenaient certaines des catégories les plus sensibles d'informations personnelles détenues par un État :

• Dossiers et fichiers médicaux des patients
• Dossiers de facturation et identifiants des membres
• Dossiers des rebelles repentis du programme PAMANA
• Dossiers de membres en situation de handicap (PWD) révélant des mots de passe
• Dossiers de facturation des indigents et des personnes âgées
• Dossiers « tués au combat » et « tués en opération »

Des rapports ultérieurs ont indiqué que la fuite pourrait avoir touché jusqu'à 42 millions de personnes.

Bras de fer sur la rançon

Le gouvernement philippin, coordonnant via le Département des technologies de l'information et de la communication (DICT), a publiquement refusé de payer la rançon, invoquant à la fois la politique de non-financement des criminels et l'incertitude qu'un paiement protégerait les victimes. À l'expiration du délai début octobre 2023, Medusa a commencé à publier les données volées sur le dark web.

Impact et réponse

La fuite a exposé des millions de Philippins — y compris des patients et des groupes vulnérables — au vol d'identité, à l'extorsion et à la fraude. La Commission nationale de la protection des données a ouvert une enquête, et PhilHealth a exhorté les membres à surveiller leurs comptes et à rester vigilants face à l'hameçonnage. L'incident est devenu un scandale national sur l'état de la cybersécurité des agences gouvernementales philippines.

Pourquoi c'est important

La fuite de PhilHealth est l'incident emblématique du secteur de la santé aux Philippines. Une licence antivirus expirée — une défaillance élémentaire et évitable — a laissé les dossiers les plus sensibles d'un assureur maladie national exposés à un gang de rançongiciel. Elle a mis en lumière un sous-investissement chronique et des retards liés aux marchés publics dans la cybersécurité gouvernementale, et a réaffirmé, à l'échelle nationale, le principe selon lequel les données publiques critiques exigent une protection soutenue et bien financée.