Les faits saillants du rapport :

• Les données patients et la propriété intellectuelle des entreprises sont particulièrement visées.
• Le prix de vente des dossiers médicaux sur le Dark Web varie entre 0,03€ et 2,2€.
• A titre de comparaison, une carte de crédit s’y monnaie entre 3,60 et 4,50€, tandis que l’accès à un compte bancaire varie entre 12,60 et 22,50€.
• Ainsi, selon Intel Security, les vols les plus lucratifs dans le domaine de la santé concernent la propriété intellectuelle de l’industrie pharmaceutique et des biotechnologies.
• Intel Security révèle également que les cybercriminels cherchent à recruter des employés des firmes médicales pour opérer les fuites de données.

« Pour un secteur d’activité où la confidentialité des données personnelles est cruciale, un déficit de confiance serait catastrophique », commente Fabien Rech, DG d’Intel Security France. « Dans la mesure où le domaine de la santé se retrouve de plus en plus menacé, il est indispensable d’évaluer d’ores et déjà le coût potentiel d’une fuite des données non seulement en termes de pertes financières, de temps, mais surtout en termes de perte de confiance. »

Le prix des données médicales

Ces dernières années, Intel Security a pu constater que les cybercriminels ne s’en tiennent plus seulement au vol de données bancaires. Leurs agissements concernent désormais aussi les données médicales. Néanmoins, le prix d’achat d’un dossier médical volé reste inférieur à celui des cartes de paiement et des comptes bancaires. La valeur d’un dossier médical s’élève de 0,03 à 2,20€, là où une carte de paiement se monnaie entre 3,60 et 4,50€ et l’accès à un compte bancaire entre 12,60 et 22,50€. Alors que les cartes et les comptes bancaires peuvent être rapidement bloqués et remplacés, ce qui n’est pas le cas pour les données médicales pouvant inclure des informations personnelles sensibles (noms de famille, numéro de sécurité sociale ou de retraite, données d’assurance, historique des adresses des patients, etc.). Cette tendance ne sera, pour Intel Security, pas renversée dans un futur proche.

Les résultats de l’étude suggèrent que le coût plus élevé des données bancaires s’explique par le fait qu’elles sont plus faciles à monétiser que les données médicales personnelles dont la revente nécessite un investissement supplémentaire. Afin d’identifier les possibilités de fraude, de vol, d’extorsion ou de chantage, il est possible que les cybercriminels soient amenés à analyser les données volées et à les corréler avec des informations provenant d’autres sources.
Le vol de la propriété intellectuelle et des données confidentielles d’entreprise
Le rapport d’Intel Security porte également sur les cyberattaques ciblant la propriété intellectuelle et les informations commerciales à caractère confidentiel des entreprises pharmaceutiques et biotechnologiques. Ses résultats suggèrent que la valeur économique de ces informations est considérablement plus élevée que les revenus potentiels de la vente des données personnelles des patients.
Les formules des médicaments de nouvelle génération, les résultats des essais cliniques et d’autres renseignements commerciaux confidentiels constituent une valeur importante pour les entreprises. Les chercheurs d’Intel Security ont démontré que les données, appartenant aux entreprises biopharmaceutiques, à leurs partenaires et aux organismes de réglementation impliqués dans l’introduction de nouveaux médicaments sur le marché, sont devenues une cible privilégiée des cybercriminels.

« Comme beaucoup d’autres choses dans le monde, l’espionnage industriel est lui aussi devenu numérique », explique Raj Samani, CTO EMEA d’Intel Security. « Compte tenu des investissements en recherche et développement consentis pour les industries pharmaceutiques et les biotechs, il n’est pas surprenant que les cybercriminels soient attirés par le retour sur investissement (ROI) rapide offert par le vol de données sensibles dans ce secteur. »

L’économie du Cybercrime-as-a-Service

Intel Security a dévoilé la manière dont les pirates informatiques s’appuient sur le marché du cyber-crime en tant que service pour exécuter leurs attaques contre les entreprises du secteur de la santé. Les chercheurs du McAfee Labs ont notamment trouvé des preuves d’achat et de location de kits d’exploitation permettant d’extorquer des données d’entreprises de la santé en tirant parti des vulnérabilités de leurs systèmes informatiques.

Dans l’un des cas cités en référence dans le rapport, un cybercriminel relativement peu compétent s’appuie sur le « service technique » gratuit du vendeur du kit d’exploitation pour orchestrer son attaque et extraire plus de 1 000 dossiers médicaux. Selon le fournisseur du service, le revenu net pour la revente de ces informations pourrait s’élever jusqu’à 14 000€.

En outre, Intel Security a pu également observer les efforts consentis par les cybercriminels dans le recrutement, dans leurs rangs, des employés du secteur de la santé. En effet, des annonces en ligne et sur les médias sociaux font appel aux personnes ayant accès à ces informations précieuses.

« Quand une communauté de cybercriminels cible un secteur qui n’est pas suffisamment protégé, comme celui de la santé, les entreprises ont tendance à essayer de se prémunir contre les menaces d’hier et non contre celles d’aujourd’hui et de demain. Afin de disposer d’une longueur d’avance sur les cybercriminels, il est indispensable de rejeter les paradigmes conventionnels et d’adopter une nouvelle stratégie radicalement différente. La collaboration entre les acteurs de l’industrie est désormais cruciale s’ils veulent garantir leur sécurité », constate Fabien Rech. « La mesure d’une cyber-sécurité a, longtemps, été sous-évaluée par le secteur, aujourd’hui, il est crucial que cela devienne la priorité absolue. Les entreprises doivent comprendre que dans l’économie numérique actuelle, la victoire dans course au temps est capitale pour lutter contre les cybercriminels. Elles seront ainsi en mesure de préserver leur argent et la confiance du public. »