Le HSE confirme les données de 520 patients publiées en ligne

Le Health Service Executive a confirmé que les détails concernant 520 patients, y compris des informations sensibles, ont été publiés en ligne à la suite de l’attaque du ransomware il y a deux semaines.

Cette fuite de données a été signalée pour la première fois par le Financial Times il y a neuf jours. Le journal a rapporté que 27 dossiers, dont les dossiers personnels de 12 personnes, avaient été publiés par les criminels soupçonnés d’être à l’origine de la cyberattaque.

Cependant, le HSE a maintenant déclaré que 520 patients sont touchés. Certains documents d’entreprise, notamment des réunions et de la correspondance avec des patients, ont également été publiés, a-t-il déclaré.

C’est la première fois que HSE confirme que ces documents proviennent de ses serveurs.

“Ces données étaient la petite tranche initiale de données qui avait été précédemment signalée, et nous ne sommes au courant d’aucune autre tentative de publication de nos données”, a déclaré le HSE.

« Nous nous excusons pour la gêne occasionnée à nos patients et utilisateurs de services. Le HSE travaille avec An Garda Síochána sur cette enquête criminelle. »

Dans un communiqué, le HSE a déclaré qu’une “publication d’actualités” avait récemment écrit un article disant qu’elle avait vu des données HSE qui avaient été consultées illégalement.

«Nous avons informé la publication de l’ordonnance du tribunal que nous avons obtenue concernant cette affaire la semaine dernière et leur avons demandé de nous la fournir, et ils ont accepté.

“Nous l’avons examiné et pouvons confirmer qu’il s’agit de données HSE relatives à environ 520 patients, ainsi que de certains documents d’entreprise.”

Le bureau de protection des données du HSE a informé les prestataires de services de santé concernés et la Commission de protection des données (DPC), a-t-il déclaré.

« Le processus d’information des patients concernés a commencé. Cela impliquera une analyse plus approfondie des données, et nous le ferons aussi rapidement que possible. »

Vendredi soir, la Garda a exhorté toute personne ayant des informations ou ayant été affectée par la publication du matériel à contacter sa station Garda locale pour obtenir de l’aide.

Une porte-parole de la DPC a déclaré qu’elle n’avait pas encore identifié la notification du HSE concernant la violation de la vie privée relative aux données des 520 patients. Cela peut être dû au fait que le HSE n’utilisait pas les canaux habituels pour signaler les violations dues à la perturbation de ses systèmes informatiques, a-t-elle déclaré.

Le gang derrière l’attaque avait menacé de publier ou de vendre 700 gigaoctets de données d’ici lundi dernier à moins que le HSE ne paie plus de 16,4 millions d’euros. Le gouvernement a déclaré qu’aucune rançon ne serait payée.

Il n’y a eu aucune preuve d’une publication massive de données depuis lors, bien que des sources de sécurité préviennent que cela pourrait prendre des semaines à se matérialiser, surtout si les données ont été vendues.

Il y a eu une augmentation significative cette semaine des rapports de personnes recevant des appels téléphoniques de fraudeurs tentant d’extraire de l’argent tout en prétendant appartenir au HSE ou au Département de la protection sociale.

Cependant, il n’existe actuellement aucune preuve concrète que ces fraudeurs aient accès aux données volées. Des sources de Garda ont déclaré qu’il est plus probable qu’ils profitent simplement de la situation.

Progression “lente”

Les efforts se poursuivent pour restaurer les systèmes HSE. Certains systèmes sont de nouveau en ligne, mais les progrès ont été décrits comme « lents ». Le HSE a déclaré que la cyberattaque finirait par coûter au moins 100 millions d’euros.

Les Forces de défense ont fourni six équipes d’intervention en cas d’incident informatique pour aider le HSE et ses sous-traitants à restaurer les systèmes dans tout le pays.

Pendant ce temps, la Commission des forces de défense a été avertie que la réputation internationale de l’Irlande serait compromise si la cybercapacité de l’armée n’était pas dotée de ressources suffisantes.

La Confédération irlandaise des entreprises et des employeurs (Ibec) a appelé le gouvernement à « ressourcer et mettre en œuvre » la stratégie nationale de cybersécurité qui a été publiée en 2019.

Le monde des affaires considère les Forces de défense comme « un élément essentiel de l’infrastructure économique de l’Irlande », a déclaré Ibec, ajoutant que la réputation internationale de l’Irlande et sa capacité à attirer des investissements seraient « minées » à moins que les Forces de défense ne soient suffisamment dotées en ressources et soutenues.