La cyberattaque subie par Ascension en mai a entraîné la divulgation des informations personnelles et médicales de 5,6 millions de patients, selon une récente notification de violation déposée auprès du procureur général du Maine.
Le système de santé fournit gratuitement à tous les patients concernés des services de surveillance du crédit et de protection de l’identité. Les données exposées comprennent des informations personnelles telles que des numéros de carte de crédit, des numéros de compte bancaire, des numéros de sécurité sociale, des numéros de permis de conduire et des adresses, ainsi que des informations médicales telles que des codes de procédure et des types de tests de laboratoire.
Il n’y a cependant aucune preuve que des données ont été volées dans le DSE d’Acension ou dans d’autres systèmes cliniques, a déclaré le système de santé dans un communiqué la semaine dernière.
Lorsque Ascension – le quatrième système de santé du pays – a été attaqué plus tôt cette année, les répercussions ont été majeures en termes de sécurité des patients et d’efficacité opérationnelle.
Les hôpitaux de plusieurs États ont été fermés, les ambulances ont dû être redirigées vers des hôpitaux dont les systèmes fonctionnaient encore et des milliers de cliniciens ont dû recourir à la tenue de dossiers papier. Il a fallu des semaines à Ascension pour restaurer complètement son DSE et ses opérations cliniques, la situation étant revenue à la normale à la mi-juin.
L’attaque a également eu un impact majeur sur les finances du système de santé. Les résultats financiers d’Ascension pour le quatrième trimestre de l’exercice 2024 ont révélé une perte de marge opérationnelle de 1,8 milliard de dollars, due en grande partie à la cyberattaque.
Le groupe de ransomware Black Basta a revendiqué la responsabilité de l’attaque. Le cybergang – qui serait une émanation du célèbre groupe cybercriminel russe Conti – a touché plus de 500 organisations à travers le monde, selon un avis de mai de l’Agence de cybersécurité et de sécurité des infrastructures (CISA).
Les cyberattaques dans le domaine de la santé de cette ampleur sont susceptibles de se poursuivre, selon Tim Rawlins, conseiller principal et directeur de la sécurité du cabinet de conseil en cybersécurité NCC Group.
« Les soins de santé seront toujours une cible attractive, compte tenu de la quantité de données sensibles détenues par les organisations et de la nécessité de mettre les informations à la disposition du personnel médical le plus rapidement possible. Cette affaire reflète cette situation. Cela est également révélateur de la situation que nous observons dans de nombreux établissements médicaux : investir dans le maintien de systèmes informatiques corrigés, sécurisés et segmentés passera toujours après un nouveau dispositif médical dans l’esprit de la plupart des médecins », a-t-il déclaré dans un communiqué envoyé à MedCity. Nouvelles.
Photo : JuSun, Getty Images
