Quello che sappiamo della massiccia pirateria che ha colpito 33 milioni di francesi

Quali aziende sono sotto attacco?

Viamedis (una filiale degli assicuratori sanitari Malakoff Humanis e Vyv) e Almerys (un gruppo indipendente Be-Ys) sono operatori di pagamento terzi per conto degli assicuratori sanitari. In particolare, consentono agli operatori sanitari (farmacisti e optometristi in particolare) di verificare che il loro cliente sia iscritto ad un'assicurazione sanitaria complementare e abbia diritto a pagamenti di terzi. Almerys è quindi orgogliosa dei suoi 230.000 professionisti della sanità.

Quale metodo di attacco?

Gli aggressori sono riusciti a mettere le mani sulle coppie nome utente/password degli operatori sanitari. Una volta collegati, gli aggressori sono riusciti a “succhiare le pagine delle offerte” degli assicurati della previdenza sociale qualificati per i pagamenti di terzi, utilizzando un “bot”, una procedura automatizzata, secondo Almeres.

Gli aggressori sarebbero rimasti alla periferia del sistema Almeris, su un portale che permetteva solo la consultazione dei dati. Almeres ha affermato che il sistema informativo centrale dell'azienda “non è stato sottoposto ad alcun attacco informatico”. L'attacco è avvenuto da due indirizzi IP “identificati”.

Quali dati sono stati rubati?

Secondo la CNIL, “i dati in questione sono, per gli assicurati e i loro familiari, lo stato civile, la data di nascita, il numero di previdenza sociale, il nome della compagnia di assicurazione sanitaria, nonché le garanzie del contratto concluso”. Non contengono in precedenza informazioni importanti per gli hacker come informazioni bancarie, dati medici, rimborsi sanitari, dettagli postali, numeri di telefono, e-mail, ecc.

Gli specialisti spiegano che i dati rubati da soli non consentono attacchi e non hanno quasi alcun valore sul mercato nero dei dati. Tuttavia, se combinati con altri file da parte di hacker ben organizzati, consentono di lanciare attacchi di phishing. L'hacker avrà a disposizione informazioni che gli permetteranno di dimostrare la sua credibilità agli occhi della sua vittima.

Cosa fai per proteggerti?

La legge impone alle compagnie di assicurazione sanitaria complementare di avvisare individualmente le persone i cui dati sono stati rubati. Per gli interessati: essere più vigili e attuare rigorosamente le istruzioni di sicurezza fornite da tutti gli operatori online, in campo sanitario o altrove.

“Non dovresti mai inviare dati personali e/o bancari, password, ecc. via telefono o e-mail”, ha ricordato Viamidis giovedì. In caso di tentativo di frode, è necessario “conservare tutte le prove (messaggi, indirizzo del sito web, screenshot, ecc.) e fare un annuncio sul sito web del governo designato a questo scopo, internet-signalement.gouv.fr”, dice la stessa fonte. indica. .

E gli operatori sanitari?

E anche loro sarebbero stati colpiti. Secondo la Federazione dei sindacati farmaceutici francesi (FSPF), Viamedis ha indicato che gli indirizzi e-mail, il login Viamedis, il RIB e il numero Siret […] Potrebbe essere stato rubato. Viamedis ha messo a disposizione un numero verde gratuito per i professionisti: 0805 62 00 10

Quante persone sono colpite?

L’esatta portata della fuga di dati non è ancora chiara. Secondo la CNIL, la fuga di dati “riguarda 33 milioni di persone”. Ma non è sicuro che oggi esista effettivamente un file di 33 milioni di nomi presso gli hacker. Secondo le informazioni finora conosciute, questo numero si basa sul numero di persone citate da Viamidis e Almeris e non sul numero di persone i cui dati sono già stati copiati. Potrebbero esserci anche dei duplicati, ha detto uno specialista.

Quali sono le conseguenze giudiziarie e legali?

La CNIL (il protettore francese dei diritti digitali) ha avviato un'indagine per determinare se le due società hanno implementato correttamente le misure di sicurezza richieste dalla legislazione europea sui dati (GDPR). Le due società hanno presentato denuncia alla Procura della Repubblica. È stata allertata l'Anssi (l'agenzia francese per la sicurezza informatica).

Precedenti in Francia?

Nel 2021, l’Assistenza Pubblica agli Ospedali di Parigi (AP-HP) ha rivelato che i dati personali di 1,4 milioni di persone sottoposte al test Covid sono stati rubati durante un attacco informatico. Questi dati non includono alcun elemento medico ma includono “l’identità, il numero di previdenza sociale e i dettagli di contatto delle persone testate”.

Nello stesso anno, la Procura di Parigi ha avviato un'indagine sulla fuga di dati medici sensibili di 500.000 persone nei laboratori di analisi mediche. Ciò include informazioni sull'identità dei pazienti e talvolta sulle loro condizioni di salute (come la gravidanza o l'infezione da HIV). Il software sanitario Dedalus, utilizzato dai laboratori di analisi mediche, è stato identificato come fonte della fuga di notizie, a seguito di un attacco informatico.