Centre hospitalier Sud-Francilien : un attaquant patient, mais sans compassion

Persuadé d’avoir frappé une organisation à but lucratif…

Mais l’assaillant semble convaincu d’avoir frappé « une entreprise commerciale », « qui fait de l’argent ». Côté victime, l’interlocuteur insiste : « je suis surpris de voir que vous ne savez pas du tout qui nous sommes réellement ! Nous sommes un hôpital public. Avec tout ce que cela entraîne comme pauvres moyens, financiers, matériels et en personnels ». Et de fournir quelques liens pour appuyer son propos.

En réponse, l’affidé avance le lien vers la page ZoomInfo du centre hospitalier. Sa simple existence est susceptible de l’avoir induit en erreur, mais ce service est régulièrement utilisé par les cybercriminels pour montrer et évaluer des cibles. Les courtiers en accès initiaux l’utilisent également pour mettre en valeur les accès qu’ils ont en boutique.

Et l’attaquant insiste, relançant la discussion sur le terrain du chiffre d’affaires, des pertes d’exploitation, et de la réputation, convaincu, semble-t-il, d’avoir touché une entreprise commerciale comme une autre. À moins que cela ne soit que mauvaise foi… pour éviter de s’attirer les foudres des opérateurs de la franchise.

… Ou simplement de mauvaise foi ?

Car LockBit 3.0 fixe des réserves à ses affidés pour les attaques contre les cibles dans le secteur de la santé, mais pas d’interdiction généralisée. Ainsi, peut-on lire sur la vitrine de la franchise, « il est interdit de chiffrer les établissements où l’endommagement des fichiers pourrait entraîner la mort, comme les centres de cardiologie, les services de neurochirurgie, les maternités et autres, c’est-à-dire les établissements où des interventions chirurgicales sur des équipements de haute technologie utilisant des ordinateurs peuvent être effectuées ».

Cependant, « il est permis de voler des données dans n’importe quel établissement médical sans les chiffrer, car elles peuvent constituer un secret médical et doivent être strictement protégées conformément à la loi. Si vous n’arrivez pas à déterminer si une organisation médicale particulière peut être attaquée ou non, contactez le service d’assistance ».

Mais dans le cas du CHSF, le cybercriminel est convaincu : « nous connaissons votre situation, aucun de vos patients ne va mourir ». Le montant avancé initialement de 10 millions de dollars apparaîtra dans la conversation le lendemain de cette affirmation, le 27 août, comme une menace : « si vous ne payez pas 1 000 000 $ d’ici au 30 août, le prix sera de 10 000 000 $ comme dans votre déclaration publique ».

Voire indifférent

Ferme et bien décidé à essayer de se faire payer, l’attaquant a tout de même accédé à quelques demandes, notamment le déchiffrement d’un fichier trop volumineux pour être traité automatiquement par l’interface Web de discussion, limitée à 50 ko. Mais le 2 septembre, il s’est fait pressant, indiquant que tout cela « prend trop de temps. Mon boss n’est pas content de cette situation ». Il aura toutefois attendu le 7 septembre pour présenter la revendication qu’il s’apprête à publier. Une semaine après le dernier message de sa victime. Et pas question, dans cette prérevendication, de demander 10 millions de dollars. C’est toujours 1 million de dollars, que ce soit pour le téléchargement ou la destruction des données volées.

Joint par la rédaction dès le 26 août, le service de communication du centre hospitalier Sud-Francilien n’a pas souhaité faire de commentaire et a transmis nos questions à l’Agence nationale de la sécurité des systèmes d’information (Anssi), qui n’est pas revenue vers nous. Le 2 septembre, un porte-parole du C3N de la gendarmerie nationale, au service d’information et de relations publiques des armées (Sirpa), s’est refusé à tout commentaire. 

Le directeur du CHSF a pour sa part précédemment confié à nos confrères de l’AFP qu’« aucun établissement n’a payé et ne paiera » la rançon, du fait de son statut d’établissement public. Selon les éléments de la discussion suivie par LeMagIT, aucune rançon n’a été payée. Tout au plus un interlocuteur pour la victime a-t-il pu donner l’impression, le 27 août, qu’un paiement allait survenir, vraisemblablement pour retarder quelque peu la revendication de l’attaque.

La veille, le ministre de la Santé, François Braun, avait assuré : « la santé des Français ne sera pas prise en otage ». Et d’annoncer le déblocage de 20 millions d’euros additionnels pour améliorer la posture de sécurité des établissements de santé.