Renseignements sur les menaces axés sur l'identité dans le secteur de la santé.

L'équilibre entre les ressources allouées aux soins des patients et les autres activités représente un défi constant pour les établissements de santé. Cette situation, conjuguée à des équipes réduites qui doivent souvent se battre pour obtenir des ressources malgré les risques pour la sécurité des patients et l'organisation, et à la sensibilité des données (informations de santé protégées, informations personnelles identifiables et données de soins de santé) crée un ensemble de vulnérabilités systémiques qui les rendent particulièrement vulnérables aux cybercriminels. Nous allons l'analyser plus en détail ici.

• Environnement à forte valeur ajoutée et à forte urgence : Les auteurs de rançongiciels ciblent spécifiquement les hôpitaux car l'urgence clinique engendre des pressions pour payer. Une panne de système dans un hôpital représente non seulement un problème financier, mais peut également empêcher les cliniciens d'accéder aux dossiers médicaux ou aux résultats d'imagerie.
• Accès aux dossiers médicaux électroniques (DME), aux outils pharmaceutiques et à la facturation via logiciel malveillant voleur d'informations: Les appareils des employés sont compromis par un logiciel malveillant qui collecte silencieusement les identifiants de connexion, les cookies de session et les données de navigation. Ces informations sont ensuite regroupées dans un package. de fichiers cleptogiciels et vendus sur des forums de cybercriminalité, offrant aux acteurs malveillants un accès authentifié aux systèmes de dossiers médicaux électroniques, aux plateformes de facturation et aux outils de dispensation pharmaceutique sans déclencher d'alertes de sécurité traditionnelles.
• Systèmes hérités avec des surfaces d'attaque étendues : Les hôpitaux utilisent des dispositifs médicaux (Internet des objets médicaux), des systèmes d'imagerie (PACS) et des plateformes d'interopérabilité datant de plusieurs décennies et qui n'ont jamais été conçus en tenant compte des normes de sécurité modernes. La mise à jour de ces systèmes est souvent impossible à mettre en œuvre.
• Risques liés aux tiers et à la chaîne d'approvisionnement : Les plateformes de gestion des cabinets spécialisés, les fournisseurs de télésanté et les sociétés de gestion du cycle de revenus détiennent tous des informations de santé protégées ou des identifiants d'accès au système. Flare Research Des identifiants pour des plateformes comme SimplePractice, WebPT, Omnicell et Imprivata ont été trouvés dans les journaux de vol de données. sur les marchés clandestins.
• Les outils de cybersécurité eux-mêmes sont compromis : L'une des conclusions les plus alarmantes de notre étude de 2025 est que les identifiants des plateformes de conformité des soins de santé (Censinet, Clearwater) et des outils de sécurité des dispositifs médicaux (Medigate, Cynerio, Asimily) ont été trouvés dans les journaux des voleurs, fournissant ainsi aux attaquants une feuille de route des vulnérabilités connues.

Le vol d'identifiants dans le secteur de la santé a connu une forte augmentation en 2025., allant à contre-courant de la tendance générale. Alors que le volume total des journaux de vol d'informations sur les forums clandestins a diminué de 32.2 % d'une année sur l'autre, l'exposition des identifiants spécifiques au secteur de la santé a augmenté de 33 % : passant de 26 117 journaux en 2024 à 34 875 journaux en 2025.

Fin 2025, environ 2 900 appareils compromis ayant accès au système de santé (principalement aux dossiers médicaux électroniques) étaient partagés chaque mois sur les marchés criminels. Un pic en octobre-novembre 2025 a porté ces volumes à un niveau record.

Concentration géographique : Les États-Unis ont représenté 48 % de tous les registres de voleurs de données de santé au cours des deux dernières années, ce qui en fait, de loin, la principale source mondiale. Au sein de la zone EMEA, plusieurs marchés connaissent une croissance nettement supérieure à la moyenne régionale, notamment le Kenya (7.3 fois), l'Ukraine (6.2 fois), l'Ouganda (4.6 fois) et la Turquie (3.8 fois).

L’accélération du vol d’identifiants ciblant le secteur de la santé, alors même que l’activité générale des voleurs d’informations a diminué, indique que les acteurs malveillants privilégient délibérément les identifiants du secteur de la santé en tant qu’actif de grande valeur, une tendance qui ne montre aucun signe d’inversion.

bûches de voleur Ce sont des fichiers de données structurés générés par des logiciels malveillants voleurs d'informations, qui infectent silencieusement un appareil et collectent les noms d'utilisateur, les mots de passe, les cookies de session, les données de remplissage automatique du navigateur et les informations système. Les données collectées sont regroupées dans un « journal » et vendues ou échangées sur des forums de cybercriminalité. Telegram des chaînes, souvent pour quelques dollars seulement par appareil.

Pour les prestataires de soins de santé, un seul journal de voleurs peut contenir des identifiants authentifiés pour plusieurs systèmes critiques à partir d'un seul appareil d'employé compromis : un identifiant de connexion au dossier médical électronique, un mot de passe de plateforme de facturation, un jeton de système de distribution de pharmacie, et même les identifiants d'une plateforme d'authentification unique (SSO) comme Imprivata qui déverrouille pratiquement toutes les autres applications cliniques.

Notre analyse de 154 000 journaux de voleurs Identifiants des systèmes de dossiers médicaux électroniques, des plateformes de télésanté, des systèmes de gestion du cycle de revenus, des outils de dispensation pharmaceutique, des systèmes d'imagerie PACS et des plateformes de conformité aux normes de santé : l'ensemble de l'infrastructure numérique d'un hôpital.

Notre analyse de 60 992 journaux de voleurs de données de soins de santé L’analyse a révélé que 73.9 % des journaux contenaient des identifiants d’accès direct aux dossiers médicaux électroniques (DME), notamment aux systèmes hébergeant les données démographiques des patients, leurs numéros de sécurité sociale, leurs diagnostics, leurs traitements médicamenteux et leurs données d’assurance. Outre les plateformes de DME, les journaux contenaient également 301 identifiants d’authentification unique (SSO) cliniques Imprivata (véritable clé d’accès à l’infrastructure numérique hospitalière), 900 identifiants de systèmes de gestion de la pharmacie et des médicaments (y compris l’accès aux substances contrôlées) et 50 journaux donnant accès aux outils de cybersécurité et de conformité hospitaliers tels que Censinet, Clearwater, Medigate et Cynerio. 

Une seule authentification compromise peut déverrouiller les dossiers des patients, les systèmes de dispensation des pharmacies, les plateformes de facturation des assurances et l'authentification unique clinique, ce qui entraîne une compromission et un risque de violation de données de l'ensemble de l'infrastructure hospitalière.

La relation entre volume et impact dans le domaine de la santé est contre-intuitive : Les catégories comportant le moins de données sont souvent celles qui présentent le plus grand risque.Une authentification unique (SSO) compromise sur Imprivata donne accès à toutes les applications cliniques utilisées par un hôpital : du dossier médical électronique à la pharmacie en passant par l’imagerie. La compromission des identifiants de la plateforme de conformité expose l’ensemble des vulnérabilités connues de l’hôpital. Ces vulnérabilités, rares mais à fort impact, représentent la priorité absolue des équipes de sécurité.

Lorsque les identifiants des dossiers de santé électroniques (EHR) ou des dossiers médicaux électroniques (EMR) sont volés et se retrouvent dans un journal de voleurs, un attaquant obtient un accès direct aux données les plus réglementées et les plus sensibles du secteur de la santé : les informations de santé protégées (PHI).

Un seul compte de dossier médical électronique compromis expose généralement :

• Données démographiques des patients et numéros de sécurité sociale
• Détails de l'assurance et informations de facturation
• Diagnostics actuels, médicaments et notes cliniques
• Résultats de laboratoire et demandes d'imagerie
• Antécédents médicaux complets et longitudinaux

Le HIPAA Risque d'atteinte aux droits des personnes handicapées : Tout accès non autorisé à des informations de santé protégées (ISP) constitue une violation devant être signalée en vertu de la loi HIPAA, que les données aient été exfiltrées ou non. La compromission d'un seul identifiant peut entraîner une notification obligatoire au HHS, une enquête de l'OCR et d'éventuelles sanctions pécuniaires civiles, même si l'attaquant n'a fait que consulter des dossiers.

La dimension de la sécurité des patients : l’accès au dossier médical électronique peut être utilisé pour modifier les dossiers de médicaments, falsifier des ordonnances ou manipuler l’historique des traitements, avec des conséquences cliniques potentiellement mortelles.

Nous avons trouvé 45 060 journaux contenant des identifiants de dossiers médicaux électroniques (DME). Dans l'ensemble de données 2024-2025, qui représente 73.9 % de tous les journaux d'activité exposés dans le secteur de la santé, soit près des trois quarts des appareils compromis ayant accès aux données de santé, la surveillance des identifiants des dossiers médicaux électroniques (DME) devient un impératif pour tout programme de sécurité des systèmes de santé.

PHI est l'information personnelle la plus chère sur le dark webSur les marchés du dark web, un dossier médical volé se vend environ 300 dollars, soit quatre fois plus que les identifiants bancaires et dix-sept fois plus que les numéros de carte de crédit. Ce prix élevé oriente les cybercriminels directement vers le secteur de la santé. Si le vol d'une carte de crédit est certes un désagrément, la législation fédérale garantit généralement l'absence de frais et une exposition limitée. En revanche, un dossier médical compromis peut rester indétecté pendant des mois, voire des années, et permettre de commettre des fraudes à l'assurance coûteuses.

Nous avons constaté que dans l'ensemble 60 992 journaux de voleurs exposés au secteur de la santéLe vol d'identifiants de santé a augmenté de 33 % entre 2024 et 2025, malgré une baisse globale de 32 % du nombre de vols d'informations. La menace de violation de données se concentre sur le secteur de la santé. Environ 2 900 appareils compromis ayant un accès aux données de santé apparaissent chaque mois sur les marchés clandestins.

La fusée est un renseignements sur les cybermenaces plateforme assurant une surveillance continue et automatisée du dark web, Telegram canaux, et journal de voleur des plateformes qui fournissent des alertes en temps réel lorsque les identifiants, les domaines ou les systèmes de votre organisation apparaissent dans des communautés clandestines.

Comment Flare fonctionne pour les organismes de santé :

• Surveillance des journaux de vol de données : Flare indexe et analyse à grande échelle les journaux de vol de données diffusés sur les forums criminels et les chaînes Telegram. Lorsque ces journaux contiennent des identifiants correspondant à ceux que vous surveillez, tels que les URL de dossiers médicaux électroniques, les domaines de messagerie professionnelle et les plateformes d’authentification unique (SSO), Flare génère une alerte avec un contexte complet : l’appareil compromis, les systèmes menacés et la date de publication du journal.
• Surveillance des forums du dark web : Flare assure une surveillance constante des communautés de cybercriminalité, notamment des forums où courtiers en accès initial Annoncer son entrée dans les réseaux de santé et discuter des décisions de ciblage au sein des groupes de Rançongiciels.
• Surveillance des canaux Telegram : Une part importante et croissante de la distribution des journaux de vol de données de santé s’effectue via Telegram. La couverture de Flare s’étend à des milliers de canaux d’acteurs malveillants, corrélant en temps réel les mentions et les publications d’identifiants aux organisations surveillées.
• Recherche spécifique au secteur de la santé : Flare Research publie des rapports comme État des lieux de l'exposition aux titres de compétences dans le secteur de la santéCe système fournit une analyse sectorielle continue qui permet d'établir les priorités en matière d'alertes. Les équipes de sécurité du secteur de la santé reçoivent ainsi des informations sur les types de systèmes (dossiers médicaux électroniques, Imprivata, dispensation pharmaceutique) qui présentent le risque opérationnel le plus élevé en cas de compromission.
• Délai d'action rapide : les alertes sont accompagnées de recommandations sur les actions à entreprendre, telles que la rotation des identifiants, l'isolation des appareils et le déclenchement de la réponse aux incidents, permettant ainsi aux équipes de sécurité réduites de réagir sans nécessiter d'expertise approfondie en interne en matière de renseignement sur les menaces.

Flare aide les équipes de sécurité du secteur de la santé et leurs partenaires à atténuer les menaces avant qu'elles ne se transforment en violations de données. essai 14-day gratuit est disponible sans carte de crédit.

Les outils EDR et XDR permettent de couvrir les compromissions sur les terminaux gérés au sein de votre environnement. Malware voleur d'informations Les logiciels malveillants infectent de plus en plus les appareils personnels, les ordinateurs des sous-traitants et les postes de travail à domicile, des appareils que votre solution EDR n'utilise jamais. Les identifiants récupérés sur ces appareils comprennent les connexions aux dossiers médicaux électroniques (DME), les jetons d'authentification unique Imprivata et les accès aux plateformes de facturation. Ces identifiants se retrouvent ensuite sur des marchés criminels où les acteurs malveillants les achètent. Lorsqu'un attaquant se connecte à votre DME avec un identifiant légitime depuis un appareil que vous n'avez jamais géré, votre solution EDR ne détecte aucune signature de logiciel malveillant, aucune faille de sécurité ni aucun fichier binaire anormal. Flare comble le fossé entre votre périmètre de sécurité et les marchés criminels où ces identifiants sont vendus. Il s'agit de sources de données complémentaires, et non concurrentes.

Les atteintes à l'identité constituent la voie la plus directe vers les violations de données dans le secteur de la santé et les amendes coûteuses qui en découlent. HIPAA Les coûts de notification d'une violation de données peuvent à eux seuls atteindre 150 à 500 dollars par patient concerné, et le défaut de notification constitue une infraction en soi, s'ajoutant à la sanction infligée pour la violation initiale. Les mises à jour proposées par la règle de sécurité HIPAA pour 2026 suppriment la distinction entre les contrôles « facultatifs » et « obligatoires », réduisent le délai de signalement des incidents à 24 heures pour les partenaires commerciaux et introduisent une nouvelle obligation de notification sous 72 heures pour certains incidents de sécurité. Flare aide les équipes de sécurité à détecter les identifiants compromis avant qu'ils ne deviennent des violations de données, fournit près de dix ans de données archivées sur la cybercriminalité pour la reconstitution de la chronologie des incidents lorsque le délai de notification de 60 jours prévu par la loi HIPAA commence à courir, et offre un contexte forensique brut pour faciliter les décisions de définition du périmètre, aidant ainsi les équipes de réponse aux incidents à déterminer si une exposition d'identifiants constitue une violation devant être signalée.

Le renseignement sur les menaces est essentiel pour les équipes de sécurité du secteur de la santé, car ce secteur est confronté à des menaces ciblées, massives et invisibles sur le plan opérationnel jusqu'à ce qu'il soit trop tard. Les outils de sécurité traditionnels, tels que les pare-feu, les solutions EDR et SIEM, détectent les menaces à l'intérieur du périmètre réseau. Le renseignement sur les menaces étend la visibilité à l'extérieur de ce périmètre : forums Web sombre, Telegram canaux, journal de voleur des places de marché et des communautés de cybercriminalité où les identifiants médicaux sont achetés et vendus avant d'être utilisés à des fins malveillantes.

Le délai imparti est crucial. Lorsqu'un journal de vol d'identifiants apparaît sur un forum clandestin, un laps de temps s'écoule généralement avant que l'attaquant n'exploite les identifiants. Un établissement de santé doté d'un système de surveillance active des menaces peut identifier cette vulnérabilité, renouveler les identifiants compromis, examiner l'appareil affecté et corriger la faille, avant même que les données des patients ne soient consultées ou qu'un rançongiciel ne soit déployé.

Sans renseignements sur les menaces, les équipes de sécurité des soins de santé fonctionnent de manière réactive, ne détectant les violations qu'une fois que les informations de santé protégées ont été consultées, que les obligations HIPAA ont été déclenchées et que les dommages à la réputation sont déjà en cours.

Le coût moyen d'une violation de données dans le secteur de la santé est le plus élevé de tous les secteurs. Pour un RSSI qui doit justifier un investissement dans le renseignement sur les menaces, le calcul est simple : le coût d'une plateforme CTI représente une infime fraction du coût d'une seule violation de données à déclarer, incluant la notification de la violation, l'enquête de l'OCR, la remédiation et les sanctions potentielles.

Pour les organismes de santé en particulier, surveillance du dark web offre un retour sur investissement difficilement égalable avec tout autre contrôle de sécurité unique. Voici pourquoi :

• L'exposition est déjà en cours. Notre analyse de plus de 154 000 journaux de voleurs Des diplômes d'études dans le secteur de la santé circulent activement sur le marché noir. Pour la plupart des établissements de santé, la question n'est pas de savoir si leurs diplômes ont été divulgués, mais s'ils en ont connaissance. 
• L'ignorance a un coût : une violation de données à signaler. En vertu de la loi HIPAA, tout accès non autorisé à des informations de santé protégées (PHI), même découvert a posteriori, entraîne des obligations de notification, de signalement au HHS et d'éventuelles enquêtes de l'OCR. La surveillance du dark web permet de détecter les fuites d'identifiants avant qu'elles ne constituent un incident à signaler.

Facteurs de retour sur investissement spécifiques au secteur de la santé :

• Coût moyen d'une violation de données dans le secteur de la santé : aux États-Unis, ce coût était estimé entre 9 et 12 millions de dollars en 2025 selon divers rapports (IBM, AHA), dépassant ainsi celui de tous les autres secteurs.
• Coût moyen d'une plateforme de surveillance du dark web : une fraction de ce montant, généralement de l'ordre de plusieurs dizaines de milliers de dollars par an pour un déploiement en entreprise.
• Seuil de rentabilité : Une seule violation de données évitée compense largement des années d'investissement dans la plateforme.
• Ce que cet outil ne fait pas : la surveillance du dark web n’est pas un outil de prévention et n’empêche pas le vol d’identifiants par des logiciels malveillants voleurs d’informations. Il s’agit d’un outil de détection et de réponse qui réduit la fenêtre d’opportunité de l’attaquant. Son efficacité est optimale lorsqu’il est intégré à un processus de réponse aux incidents qui réagit rapidement aux alertes.