Une cyberattaque majeure a paralysé l’hôpital pour enfants Ann & Robert H. Lurie de Chicago en janvier 2024, exposant les données personnelles et médicales de près de 800 000 personnes. Cet incident souligne la vulnérabilité des infrastructures informatiques hospitalières, en particulier celles qui reposent sur des systèmes d’identification obsolètes.
L’attaque, qui s’est produite entre le 26 et le 31 janvier, a contraint l’hôpital à couper l’accès aux téléphones, aux courriels et aux systèmes essentiels aux patients, notamment les dossiers médicaux électroniques et le portail en ligne. Les hôpitaux et les établissements de santé sont confrontés à des environnements informatiques particulièrement complexes, résultat de décennies d’évolutions, de fusions et d’acquisitions, et de l’intégration de nombreux dispositifs médicaux spécialisés.
Cette complexité crée un réseau de dépendances où des composants anciens, comme les contrôleurs de domaine Microsoft Active Directory (AD) sur site, peuvent subsister uniquement pour assurer le fonctionnement d’applications spécifiques. Ces systèmes, souvent négligés en matière de mises à jour et de surveillance, représentent une porte d’entrée privilégiée pour les cybercriminels. Une fois infiltrés, ils peuvent élever leurs privilèges, se déplacer latéralement au sein du réseau et déployer des rançongiciels.
Selon les experts, AD fonctionne comme une clé maîtresse dans les environnements Windows. La compromission d’un contrôleur de domaine ou d’un compte privilégié peut donner aux attaquants un contrôle total sur l’ensemble du réseau. Bien que l’hôpital Lurie Children’s n’ait pas confirmé l’implication directe d’AD, l’ampleur de l’incident et la durée de la récupération suggèrent une compromission significative au niveau de l’identité.
L’hygiène d’Active Directory est souvent déficiente dans le secteur de la santé. Des comptes de service hérités, des comptes d’utilisateurs désactivés ou obsolètes, et des groupes AD disposant de privilèges élevés et peu surveillés offrent aux attaquants des opportunités faciles d’escalade. De plus, de nombreux hôpitaux continuent d’utiliser des protocoles d’authentification obsolètes ou des configurations Kerberos faibles pour assurer la compatibilité avec les systèmes existants, créant ainsi des failles de sécurité exploitables.
Les fusions et acquisitions fréquentes compliquent encore la situation, créant des environnements d’identité tentaculaires et incohérents. Les équipes informatiques, soumises à la pression d’intégrer rapidement les systèmes cliniques, ont tendance à reporter indéfiniment les travaux de consolidation et de suppression des identités redondantes. Parallèlement, la journalisation des audits, la surveillance des comptes privilégiés et la détection des menaces d’identité restent souvent sous-financées, laissant ainsi les infrastructures vulnérables.
Les attaquants ciblent de plus en plus l’infrastructure d’identité car elle permet d’acquérir rapidement une position dominante au sein d’un réseau. Une fois un contrôleur de domaine compromis, ils peuvent se déplacer latéralement, voler des informations d’identification, élever leurs privilèges et propager des rançongiciels à travers les systèmes. L’architecture d’Active Directory amplifie ce risque, car les modifications malveillantes peuvent se propager automatiquement à l’ensemble de la forêt.
Pour réduire le risque de rançongiciels, les hôpitaux doivent adopter une approche proactive axée sur la sécurité de l’identité. Cela implique d’auditer et de corriger les contrôleurs de domaine et les domaines hérités, de supprimer les fiducies obsolètes, d’appliquer le principe du moindre privilège, de désactiver les protocoles d’authentification anciens et de mettre en place une surveillance continue. Il est également essentiel de maintenir et de tester un plan de récupération pour restaurer rapidement l’infrastructure d’identité en cas de compromission.
L’incident survenu à l’hôpital Ann & Robert H. Lurie est un signal d’alarme. Les établissements de santé ne peuvent plus ignorer la sécurité de leur infrastructure d’identité. La résilience opérationnelle dépend désormais d’une cybersécurité proactive et d’une gestion rigoureuse des identités. Un ancien contrôleur AD, maintenu en ligne pour une seule application, peut suffire à déclencher une crise majeure.