Change Healthcare : un mot de passe sans double authentification et des millions de dossiers exposés

En février 2024, un rançongiciel a paralysé Change Healthcare, un maillon central de la santé aux États-Unis. Une rançon de 22 millions de dollars a été payée, et environ 190 millions de personnes ont été concernées.

En février 2024, Change Healthcare, filiale du groupe UnitedHealth qui traite une grande partie des paiements et des remboursements de santé aux États-Unis, a été frappée par un rançongiciel. Pendant des semaines, des pharmacies et des cliniques ont eu du mal à facturer et à être payées.

Les faits principaux

• L’attaque est attribuée à un affilié du groupe ALPHV, aussi appelé BlackCat.
• Devant le Congrès américain, le dirigeant d’UnitedHealth a confirmé le paiement d’une rançon de 22 millions de dollars en bitcoin.
• Il a aussi reconnu que l’accès initial s’était fait par un portail à distance qui n’était pas protégé par une double authentification.
• UnitedHealth a ensuite estimé à environ 190 millions le nombre de personnes dont les données avaient été touchées.

Payer ne règle pas tout

Selon la presse, l’affilié qui avait mené l’attaque affirme ne pas avoir reçu sa part de la rançon, et une partie des données a ensuite circulé avec une nouvelle demande de paiement. Payer une rançon ne garantit ni la suppression des données, ni la fin de l’incident.

Les leçons pour toute organisation

• Activer la double authentification sur tous les accès à distance, sans exception.
• Recenser les portails et comptes oubliés, souvent les moins protégés.
• Préparer la continuité : comment facturer, encaisser ou servir les clients si le système central tombe.
• Décider à l’avance de la position face à une demande de rançon, avec un conseil juridique.

Une protection simple, un impact énorme

La double authentification ne coûte presque rien à mettre en place. Son absence sur un seul accès a contribué à l’un des incidents les plus coûteux de l’histoire de la santé. C’est souvent la mesure la plus rentable en cybersécurité.

Un seul accès sans double authentification peut suffire à faire tomber tout un système.

Sources : audition au Congrès américain (avril-mai 2024), HHS, TechCrunch, 2024-2025.

Vous voulez un espace client ou une administration de site mieux protégés ? Décrivez votre projet dans notre formulaire d’estimation : nous vous répondons avec une estimation adaptée et les prochaines étapes.