En février 2015, Anthem Inc., l'une des plus grandes compagnies d'assurance santé des États-Unis, a révélé que des pirates avaient accédé à sa base de données et dérobé environ 78,8 millions de dossiers clients. Les données volées comprenaient des noms, des numéros de sécurité sociale, des identifiants médicaux, des adresses, des dates de naissance et des informations sur les revenus.
La violation a été attribuée à un groupe de pirates parrainé par un État (supposé chinois). Les pirates ont obtenu l'accès par un courriel d'hameçonnage qui a compromis les identifiants d'un employé, puis se sont déplacés latéralement dans le réseau d'Anthem jusqu'à la base de données.
Anthem a payé 115 millions de dollars dans le cadre d'un règlement d'action collective — le plus important règlement pour violation de données de l'histoire à l'époque. L'affaire a illustré à quel point les données de santé ont une valeur unique pour les pirates (elles ne peuvent pas être modifiées comme un numéro de carte de crédit) et comment un seul courriel d'hameçonnage peut compromettre les données personnelles les plus sensibles de dizaines de millions de personnes.
La violation a coûté 115 M$ en règlement, le plus important jamais conclu, car les numéros de sécurité sociale et les identifiants médicaux volés ne peuvent pas être modifiés comme des cartes de crédit.
Des pirates ont dérobé 78,8 M de dossiers de santé via un courriel d'hameçonnage qui a compromis les identifiants d'un employé.
Les données volées comprenaient des numéros de sécurité sociale, des identifiants médicaux et des informations sur les revenus — des données qui ne peuvent pas être modifiées.
Anthem a payé 115 M$ dans le cadre d'un règlement d'action collective.
La violation a été attribuée à un groupe de pirates parrainé par un État.
La leçon
Les données de santé sont les données les plus précieuses qu'un pirate puisse voler — parce qu'elles ne peuvent pas être modifiées. Une carte de crédit peut être annulée ; un numéro de sécurité sociale ne le peut pas. Le facteur humain est le maillon le plus faible.
Anthem a payé 115 M$ et a profondément remanié sa sécurité. L'affaire a incité le secteur de la santé à renforcer sa cybersécurité et a influencé l'application de la loi HIPAA. Elle reste l'une des plus grandes violations de données de l'histoire des États-Unis.
VÉRIFIEZ LES SOURCES