Attaque par rançongiciel contre le Waikato District Health Board

Le 18 mai 2021, le Waikato District Health Board (DHB) — qui gérait cinq hôpitaux desservant plus de 400 000 personnes dans le centre de l'île du Nord de la Nouvelle-Zélande — a découvert que ses systèmes numériques défaillaient. En l'espace d'une journée, l'événement était confirmé comme une attaque par rançongiciel, l'un des incidents cybernétiques les plus graves jamais survenus dans le secteur public néo-zélandais.

Ce qui s'est passé

L'attaque, menée à l'aide du rançongiciel Zeppelin, a chiffré des serveurs à travers le Waikato DHB et a mis hors service simultanément les systèmes informatiques cliniques et les lignes téléphoniques. Les systèmes de dossiers patients, les résultats de laboratoire et de radiologie ainsi que les communications internes étant hors ligne, le personnel a été contraint de recourir à des solutions manuelles, sur papier, pour continuer à soigner les patients.

Le chercheur d'Emsisoft Fabian Wosar l'a décrit comme la plus grande violation Zeppelin qu'il ait vue. Les estimations des experts en sécurité situaient la demande de rançon probable dans une fourchette de sept à huit chiffres en cryptomonnaie.

Conséquences

• Les cinq hôpitaux du Waikato ont été touchés ; des interventions chirurgicales programmées et certains rendez-vous ambulatoires ont été reportés, et les traitements de radiothérapie ont été perturbés.
• Les systèmes téléphoniques sont tombés en panne, contraignant le DHB à publier d'autres numéros de contact et à dérouter certains services.
• Le 25 mai, les attaquants ont affirmé avoir dérobé des données sensibles de patients, de personnel et financières et ont lancé un ultimatum de rançon.
• Le Waikato DHB et le gouvernement néo-zélandais ont refusé de payer la rançon.
• Début juin, un tiers a publié des documents dérobés sur le dark web, confirmant que des informations de patients et de personnel avaient été exfiltrées.

Rétablissement

La restauration a été lente et laborieuse. Au 2 juin, environ la moitié des serveurs du DHB avaient été rétablis ; la radiothérapie a repris vers le 7 juin ; et au 15 juin — environ quatre semaines après l'attaque — la plupart des services cliniques, l'accès aux dossiers, les diagnostics de laboratoire et la radiologie étaient de nouveau en ligne. Même alors, le personnel a continué de recourir à des processus manuels dans plusieurs domaines, et le DHB a fait appel à un grand nombre de spécialistes informatiques supplémentaires pour reconstruire ses systèmes.

Pourquoi c'est important

L'attaque contre le Waikato DHB a été un moment décisif pour la cybersécurité néo-zélandaise, révélant à quel point l'informatique du secteur de la santé était devenue fragile et à quel point une attaque par rançongiciel peut directement mettre en danger les soins aux patients. Elle a durci la position du gouvernement contre le paiement de rançons et a directement alimenté la réforme nationale qui a consolidé les conseils de santé de district du pays en une entité unique, Te Whatu Ora / Health New Zealand, la cyber-résilience étant une préoccupation centrale. Elle demeure l'exemple néo-zélandais de référence du rançongiciel en tant qu'urgence de sécurité publique, et non simplement informatique.