As agências regionais de saúde francesas foram alvo de ataques cibernéticos que comprometem os dados pessoais de pacientes em todo o país.
Em 8 de setembro, as agências regionais de saúde (ARS) de três regiões, Hauts-de-France (Alta França), Normandia e Pays de la Loire (Baixo Loire), emitiram alertas de segurança alertando sobre os recentes ataques cibernéticos realizados contra os servidores que hospedam os dados de identidade de pacientes de hospitais públicos nas regiões.
Todas as três agências descreveram um incidente muito semelhante com o mesmo impacto.
Investigações preliminares confirmaram várias tentativas de ataques cibernéticos, realizadas ao longo do tempo, contra os sistemas de informação de pelo menos esses três ARS, disse a agência da Normandia.
De acordo com a agência Hauts-de-France, os dados comprometidos incluem informações de identificação pessoal (PII), como nomes completos, idades, números de telefone e endereços de e-mail dos pacientes.
No entanto, nesta fase, nenhuma informação de saúde parece ter sido exposta, confirmaram as três agências.
“As contas comprometidas foram desativadas e medidas de segurança adicionais foram imediatamente implementadas para evitar qualquer acesso não autorizado desse tipo, disse a agência com sede na Normandia.
Como os invasores coletaram as PII dos pacientes
Essas investigações também revelaram que o acesso não autorizado foi obtido por meio da representação de profissionais de saúde.
O acesso fraudulento resultou na violação de dados pessoais (registros administrativos) pertencentes aos usuários.
Na prática, o acesso não autorizado às contas dos profissionais de saúde permitiu que os invasores acessassem sistemas gerenciados por grupos regionais de apoio ao desenvolvimento da saúde eletrônica (GRADeS).
GRADeS são instituições específicas da região que oferecem aos profissionais de saúde serviços digitais comuns em toda a região.
Por exemplo, Normand’e-Santé, o GRADeS da Normandia, tem um portfólio de 43 serviços, incluindo Therap-e, uma plataforma digital de telessaúde que oferece consultas médicas remotas e serviços de agendamento de emergência.
De acordo com o especialista francês em segurança cibernética Damien Bancal, autor do site cibernético Zataz, os invasores provavelmente coletaram dados de pacientes desses sistemas controlados por GRADeS.
Tentativas de phishing são a preocupação mais urgente
Em seu comunicado, o ARS Hauts-de-France enfatizou que este incidente não teve impacto nas operações dos hospitais da região ou nos serviços de saúde digital da região.
“O principal risco associado a esses ataques cibernéticos está relacionado a tentativas de phishing”, A mensagem diz.
“Como lembrete, os profissionais de saúde ou instituições médicas/sociais nunca solicitarão a transmissão de informações pessoais (dados bancários, números de previdência social, senhas, etc.) por e-mail, telefone ou SMS.”
O ARS Pays de la Loire disse que planeja informar todos os pacientes potencialmente afetados em um futuro próximo.
Por fim, a Normand’e-Santé apresentou denúncias à autoridade francesa de proteção de dados (CNIL) e foram apresentadas queixas às autoridades competentes.