Consultation

Étude de cas · Santé

Change Healthcare : un portail sans MFA paralyse la facturation médicale

États-Unis, 2024. Un rançongiciel frappe un intermédiaire central du système de santé et perturbe pharmacies et prestataires pendant des mois.

En une phraseLa politique exigeait l'authentification multifacteur ; un portail faisait exception. Vérifiez, ne supposez pas.

Secteur
Traitement des transactions de santé
Pays
États-Unis
Date
Février 2024
Personnes touchées
Environ 192,7 millions (estimation de 2025)
Rançon
22 M$ payés, sans empêcher une seconde extorsion

Analyse fondée uniquement sur des informations publiques. FZ Consultation n'a pas participé à cet incident et n'a aucun lien avec les organisations mentionnées.

Ce qui s'est passé

  1. 12 février 2024

    Des attaquants se connectent à un portail d'accès distant Citrix avec des identifiants compromis. Le portail n'exigeait pas d'authentification multifacteur.

  2. 12–21 février 2024

    Ils se déplacent dans le réseau et exfiltrent des données pendant environ neuf jours.

  3. 21 février 2024

    Le rançongiciel est déployé. L'entreprise coupe ses centres de données, ce qui interrompt les échanges électroniques entre prestataires, assureurs et pharmacies.

  4. Mars–avril 2024

    Une rançon de 22 M$ est payée. Un affilié conserve pourtant les données et une seconde extorsion est lancée par un autre groupe.

  5. Mai 2024

    Le PDG de la société mère témoigne devant le Congrès et confirme l'absence de MFA sur le portail.

Ce qui a mal tourné

D'après les sources publiques citées plus bas.

Une exception à la règle

Selon le témoignage du PDG, la MFA était une règle de l'entreprise pour les systèmes exposés, mais ce portail y échappait.

Un acteur trop central

L'entreprise traite une part majeure des transactions de santé américaines : sa panne est devenue celle de tout un secteur.

Payer ne protège pas

La rançon n'a pas empêché la conservation des données ni une nouvelle extorsion.

Les leçons pour votre organisation

  1. 1

    Vérifier, pas supposer

    Contrôler régulièrement que chaque accès exposé applique réellement la MFA, y compris après une acquisition.

    Préparer : une reprise qui tient
  2. 2

    Prévoir la perte d'un intermédiaire

    Identifier les fournisseurs dont la panne bloquerait votre activité et préparer des solutions de repli.

    Savoir : mesurer ce qu'un arrêt coûterait
  3. 3

    Planifier la reprise sans rançon

    Des sauvegardes isolées et testées sont la seule garantie de reprise.

    Préparer : une reprise qui tient

À vérifier lundi matin

Trois questions à poser à votre propre organisation cette semaine. Si vous ne pouvez pas répondre à l'une d'elles en cinq minutes, c'est votre première tâche.

  1. Testez chaque point d'accès exposé : exige-t-il vraiment un second facteur, y compris les systèmes hérités d'une acquisition ?
  2. Quel fournisseur intermédiaire arrêterait votre activité s'il tombait, et quel est votre plan de rechange ?
  3. Pourriez-vous restaurer sans payer ? Quand avez-vous restauré pour la dernière fois, en vrai ?
Mesurer votre dépendance aux tiers

Sources

Autres études de cas