Des virus aux conséquences particulièrement dévastatrices

Si des hôpitaux ou des cliniques sont victimes de cyberattaques, cela signifie qu'ils sont en alerte rouge : Alerte rouge. Non seulement parce que des données de patients très sensibles peuvent tomber entre de mauvaises mains, mais aussi parce que toute l'infrastructure est aujourd'hui "connectée" à Internet et que chaque appareil constitue donc une cible potentielle. Comme tout est en réseau, il y a un risque qu'un virus ou un cheval de Troie parvienne à paralyser tout le système.

Le danger n'existe pas seulement en théorie, il est bien réel. Ainsi, au printemps 2017, un virus de chantage a paralysé 45 hôpitaux et cliniques en Grande-Bretagne, près de 7000 rendez-vous et opérations ont dû être reportés. En Allemagne, un logiciel malveillant a paralysé l'hôpital Lukas à Neuss - de nombreuses opérations ont dû être reportées par la suite.

Chantage au cryptage

En Suisse aussi, des institutions ont déjà fait des expériences similaires. L'année dernière, une cyberattaque a paralysé le système administratif d'un centre de soins à Schöftland, en Argovie, et les pirates ont crypté les dossiers électroniques des 108 résidents. Comme les données étaient également classées sur papier, l'établissement a pu être maintenu. La direction de l'établissement a néanmoins cédé aux exigences des maîtres chanteurs et a payé environ 7700 francs en bitcoins pour le décryptage des données.

Les pirates utilisent généralement le plus grand point faible des hôpitaux et des cliniques : les collaborateurs. Comme la plupart des gens, ils commettent des erreurs et des négligences en matière de sécurité informatique. Ils ouvrent des pièces jointes par inadvertance, sont victimes de phishing, propagent des virus sans le savoir. Contrairement à d'autres secteurs dans lesquels le cybercrime ne coûte souvent "que" très cher, le non-respect des règles de sécurité à l'hôpital peut même avoir des conséquences mortelles pour les patients concernés.

Campagne et cours pour aider

La Confédération tient donc beaucoup à ce que les hôpitaux soient protégés le mieux possible contre les attaques provenant du cyberespace. Le Service sanitaire coordonné (SSC) et E-Health Suisse, le centre de compétence et de coordination pour la Confédération et les cantons, l'Office fédéral de la protection de la population OFPP (domaine Risques) s'équipent dès la mi-octobre en collaboration avec H+, l'association faîtière des hôpitaux, cliniques et institutions de soins, pour lutter contre les risques numériques. Des cours spécialisés sur la cybersécurité sont également prévus.

Pour la campagne, le choix du client s'est porté sur Mediacreators. "Trois offres ont été demandées, une en Allemagne et deux en Suisse", raconte le réalisateur Mike Wyniger. "La nôtre était la plus chère, mais elle avait les idées les plus claires et le meilleur concept. Ce qui me réjouit beaucoup, car ce n'est pas simplement le moins cher qui est retenu, comme c'est malheureusement si souvent le cas".

Un court-métrage plutôt qu'un "groove explicatif

L'entreprise bernoise n'est pas seulement responsable de la production, mais aussi du concept et du scénario. Selon Wyniger, le client avait envisagé un spot de sensibilisation traditionnel. Il a trouvé l'idée "trop ennuyeuse" et a proposé de produire à la place un petit film pour les médias sociaux. "Quelque chose qui captive les gens. Car les médias sociaux sont justement saturés de films avec le "groove explicatif" classique, qui dit aux spectateurs ce qu'ils doivent faire et comment ou comment ils doivent se comporter", est convaincu Wyniger.

Le film "Un cauchemar numérique", d'une durée de trois minutes, a vu le jour. Il raconte l'histoire d'une employée de clinique qui devient, sans le savoir, la principale suspecte d'une cyberattaque. La raison : de bonne foi, elle avait branché sur son ordinateur une clé USB trouvée sur le sol de l'hôpital, afin d'en déterminer le propriétaire et de permettre ainsi sa restitution. Une inattention qui a suffi à infecter tout le système de l'hôpital. L'employée, qui ne se doute de rien et qui est prise au dépourvu, se retrouve interrogée par la police. Finalement, ce n'était qu'un rêve. Un cauchemar avec un doigt d'avertissement.

Attaques par différents canaux

La méthode consistant à placer sciemment des supports de stockage prétendument perdus comme "appât" afin d'accéder aux appareils des collaborateurs existe réellement. Même si, dans la réalité, la plupart des attaques se font par courrier électronique. Parfois avec des expéditeurs internes à la clinique, afin que les courriels aient l'air fiables et pertinents. "Nous avons opté pour la variante de la clé USB, car elle est beaucoup plus facile à mettre en œuvre dans un film qu'une attaque de phishing par e-mail", explique Wyniger. Lors de la réalisation, le réalisateur a particulièrement veillé à ce que le message parvienne le plus simplement et le plus directement possible au groupe cible. "Le film devait également fonctionner sans son, afin que l'on puisse par exemple le regarder sur son smartphone dans le tram", explique Wyniger. L'image doit être claire et bien structurée. "Il était important pour moi que le film ne soit pas parsemé d'incrustations ou d'autres éléments distrayants".

Des figurants authentiques

Le casting contribue à ce que le film marque des points auprès du groupe cible par son authenticité : Seuls l'actrice principale et l'enquêteur de la police ont fait appel à des acteurs professionnels, tous les figurants sont des non-professionnels, recrutés en partie par le SSC dans ses propres rangs. C'est ainsi qu'un vrai médecin joue le rôle du médecin.

Il reste à espérer que la campagne aura l'effet escompté. Pour une fois, le succès n'est pas seulement dans l'intérêt du client et du mandataire, mais de toute la société. Car la cybersécurité dans les hôpitaux est l'affaire de tous.

Thomas Häusermann

Cet article est tiré de l'édition imprimée de Werbewoche (numéro 17/2018).