Contexte de l’intrusion
En mars 2024, le fournisseur de dossiers médicaux électroniques CareCloud a détecté une perturbation de son service, révélant une intrusion réseau. L’enquête a identifié une période d’accès non autorisé à son environnement AWS du 10 au 16 mars. Les attaquants ont exploité des identifiants compromis pour pénétrer le cloud public, contournant les contrôles d’accès habituels.
Détails techniques de l’accès AWS
Les logs d’AWS montrent des appels API de création et de lecture de bases de données DynamoDB et S3, indiquant une extraction massive de données. Aucun vecteur de compromission initial (phishing, vulnérabilité publique) n’a été explicitement communiqué, mais la persistance pendant six jours suggère que les credentials d’un compte de service ont été volés et réutilisés. La configuration du bucket S3 manquait de chiffrement côté serveur (SSE) et de politiques de blocage d’accès public, ce qui a facilité le vol de fichiers contenant des informations d’identité, d’assurance, de dossiers médicaux et de cartes de paiement.
Impact et portée des données
Le département de la Santé et des Services sociaux (HHS) a mis à jour le nombre de personnes affectées à 3 756 469, contre environ 350 000 déclarés initialement dans les dépôts étatiques. Les données compromises comprennent :
- Noms, adresses et numéros de sécurité sociale
- Détails d’assurance santé
- Dossiers médicaux (diagnostics, traitements)
- Numéros de cartes de paiement pour un sous‑ensemble limité
Cette amplification du volume expose les victimes à des risques de vol d’identité, de fraude médicale et de phishing ciblé. La concentration de données sensibles dans un même environnement cloud augmente la valeur pour les cybercriminels.
Réponses et recommandations
CareCloud a immédiatement révoqué les clés d’accès suspectées, renforcé les politiques IAM et activé le chiffrement obligatoire sur tous les buckets S3. L’entreprise a également engagé une société d’analyse forensique tierce pour tracer la chaîne d’approvisionnement des credentials. Les autorités américaines ont recommandé aux organisations de santé de :
1. Auditer les permissions IAM toutes les 30 jours.
2. Activer la journalisation CloudTrail avec une rétention de 90 jours.
3. Appliquer le chiffrement SSE‑KMS sur chaque bucket contenant des PHI.
4. Mettre en place une surveillance d’anomalies de trafic réseau via des solutions de détection d’intrusion (IDS) intégrées à AWS GuardDuty.
Le cas souligne l’importance d’une segmentation stricte entre les environnements de production et de test, ainsi que d’une rotation régulière des secrets. Les organisations doivent également envisager des solutions de « Zero Trust » pour limiter la portée d’un compte compromis.
