Cyberattaque à l’hôpital de Cannes : les hackers de LockBit publient 61 gigaoctets de données

À la suite de la cyberattaque sur l’hôpital Simone-Veil de Cannes (Provence-Alpes-Côte d’Azur), survenue le 16 avril, le groupe de hackers LockBit a publié 61 gigaoctets de données confidentielles. Lundi, le gang russophone avait revendiqué la cyberattaque. Il avait alors émis une demande de rançon, avec menace de publication des données en cas de non-paiement de cette rançon.

L’ultimatum avait été fixé à mercredi soir, et le montant exigé n’avait pas été communiqué. “Les établissements publics de santé ne paient jamais de rançon face à ce type d’attaque”, avait indiqué, mardi soir, la direction de l’hôpital cannois.

Bilans de santé, cartes d’identité, bulletins de salaire…

Deux minutes après la fin de l’ultimatum, les données ont été publiées sur le site de LockBit sur le dark web. Suivant les premières captures d’écran rendues publiques, les données publiées comprennent à la fois des données personnelles sensibles sur les patients, des bilans de santé, psychologiques, et des informations confidentielles sur le fonctionnement de l’hôpital.

Des données du personnel de l’établissement ont également été diffusées, y compris des bulletins de salaire et cartes d’identité. Le centre hospitalier a confirmé, ce matin dans un communiqué, que “les données publiées dans la soirée du 1er mai lui appartiennent”.

La cyberattaque touchant l’hôpital cannois l’avait contraint à annuler toutes les opérations chirurgicales considérées comme “non urgentes” et n’entraînant pas de “perte de chance”, et à reporter toutes les consultations jusqu’au retour à la normale. L’établissement avait décidé de déconnecter tout son parc informatique, soit 350 serveurs et 1500 postes de travail. En début de semaine, les travaux de remise en fonctionnement du système informatique étaient toujours en cours, l’hôpital précisant ce matin que “l’activité a repris son cours quasi ordinaire”.

Attention aux campagnes de phishing ciblé

Le centre hospitalier explique avoir déposé plainte, et avoir alerté la Cnil et l’Agence nationale de la sécurité des systèmes d’information (Anssi). Elle précise qu’un “retour circonstancié” sera réalisé dans les prochains jours, avec des “conseils en cybersécurité à tenir”.

Les fichiers exfiltrés pourraient, dans les jours ou semaines à venir, être triés et simplifiés, avant d’être proposés à la vente sur le dark web. Ces lots d’informations peuvent permettent à d’autres cybercriminels de mener des campagnes de phishing ciblé (spear phishing), qui lient l’objet d’un e-mail ou d’un SMS malveillant envoyé à l’activité d’une personne ou à un établissement qui lui est familier.

Un groupe de cybercriminels pourtant démantelé en février

LockBit est décrit par Europol comme le groupe de cybercriminels “le plus prolifique et le plus dangereux au monde”. À la mi-février, les forces de l’ordre de onze pays, dont la France, avaient fait tomber son site principal et 34 de ses serveurs, dans le cadre de l’opération “Cronos”. Un répit de courte durée, puisque quelques jours plus tard, le groupe de cybercriminels avait restauré ses serveurs et lancé un nouveau site vitrine, en exposant douze nouvelles victimes.

Spécialisé dans le ransomware, le gang aurait perçu, en l’espace de cinq ans, l’équivalent de 84 millions d’euros. Il serait responsable de plus de 2000 cyberattaques dans le monde, et de 27% des demandes de rançon en France. En 2022, il avait également visé l’hôpital de Corbeil-Essonnes (Île-de-France), avant de publier les données de santé des patients.