Fuite de données chez CTARS

Les données enregistrées dans CTARS présentent plusieurs niveaux de risque : les adresses e-mail et les noms d’utilisateur sont liés à l’accès aux comptes, les mots de passe aux risques liés à l’identité, les numéros de téléphone et les adresses physiques aux contacts directs et à la localisation, les dates de naissance et les informations sur le genre aux procédures d’authentification, et les noms et civilités à l’identité réelle d’une personne. Les données personnelles de santé constituent l’un des aspects les plus critiques. Dans le contexte des services de soins et d’accompagnement, les informations sur l’état de santé, les besoins d’assistance, le parcours de traitement ou le plan de soins peuvent avoir des conséquences directes sur la vie privée d’une personne. Lorsque ces données sont exposées, les risques ne se limitent pas à la prise de contrôle de comptes : des risques de discrimination, de fraude ciblée, de chantage et d’ingénierie sociale peuvent également apparaître.

La présence de champs contenant des mots de passe et des noms d’utilisateur augmente le risque que les identifiants des personnes concernées ou du personnel des prestataires de soins soient essayés sur d’autres services. Les numéros de téléphone et les adresses peuvent servir à rendre des prises de contact plus crédibles, par exemple de faux appels d’assistance, des notifications de livraison, des rendez-vous de soins ou des communications usurpant l’identité d’organismes officiels. Dans certaines procédures de service client, les dates de naissance et les noms servent à répondre aux questions de vérification d’identité. Ces informations peuvent donc aider un attaquant à contourner les contrôles de sécurité d’autres comptes. Les données relatives à la santé constituent la catégorie la plus sensible; cette fiche ne doit donc pas être considérée comme décrivant un incident qu’un simple changement de mot de passe permettrait de résoudre.

Le nombre de 12 314 indiqué dans cette fiche correspond au nombre vérifié d’adresses e-mail uniques. L’incident est lié à un événement CTARS plus large touchant des prestataires de soins et d’accompagnement en Australie; certaines notifications ont indiqué qu’un grand nombre d’établissements et différents groupes de clients pourraient être concernés. Toutefois, le nombre affiché sur cette page correspond au périmètre des comptes qui ont pu être vérifiés et ne représente pas nécessairement le nombre total exact de personnes touchées. Il ne faut pas supposer que les mêmes champs sont présents pour chaque personne : pour certaines, seules des coordonnées peuvent figurer dans les données, tandis que, pour d’autres, des informations plus sensibles concernant les soins ou la santé peuvent avoir été incluses.

La date indiquée dans la fiche a été corrigée pour correspondre à mai 2022. Il a été rapporté qu’un accès non autorisé avait été détecté à la mi-mai 2022 et qu’il avait ensuite été établi que certaines données avaient été partagées avec des destinataires non autorisés. L’année précédemment indiquée, qui était incorrecte, a été corrigée parce qu’elle ne correspondait pas à la chronologie vérifiée de cet incident. Cette correction est importante : une date de fuite erronée pourrait induire l’utilisateur en erreur sur la période comptable et la relation de service qu’il doit vérifier. Compte tenu du caractère sensible de la fiche, les résultats ne doivent être présentés qu’au titulaire de l’adresse e-mail concernée ou à une personne habilitée à agir pour le domaine.

Les personnes les plus exposées sont les participants au NDIS accompagnés par des prestataires utilisant CTARS, les bénéficiaires de services aux personnes en situation de handicap, les personnes liées aux services à l’enfance et aux familles, les résidents d’établissements pour personnes âgées, les aidants, les proches et le personnel de ces services. Ces groupes peuvent déjà être plus vulnérables aux tentatives de fraude et de contrainte en raison de leurs besoins d’assistance ou de conditions de vie délicates. En combinant de vrais noms, des coordonnées et des informations sur la prise en charge, les attaquants peuvent créer des appels, des messages ou des e-mails qui semblent dignes de confiance. Une attention particulière doit être portée aux communications usurpant l’identité d’organismes officiels, de prestataires de soins, de coordinateurs d’accompagnement ou de services de vérification d’identité.

Le risque est également élevé pour les employés des établissements et les prestataires de services. Si les noms d’utilisateur et les mots de passe des employés sont réutilisés sur d’autres systèmes, les attaquants peuvent cibler la messagerie de l’établissement, son système de gestion des dossiers, son stockage cloud ou ses comptes d’accès à distance. Les anciens dossiers CTARS des prestataires de maintenance peuvent également être concernés, même lorsque leurs services ne sont plus utilisés. Il faut donc prendre en compte non seulement les clients actuels, mais aussi les personnes dont des dossiers figuraient auparavant dans le système. Les membres de la famille et les représentants légaux sont eux aussi exposés, car les informations conservées à leur sujet en tant que personnes à contacter peuvent être utilisées dans des tentatives de fraude.

Si vos données correspondent à la fiche CTARS, la première étape consiste à mettre à jour tous les comptes qui utilisent le même mot de passe ou un mot de passe similaire. Vérifiez en priorité les comptes de messagerie, les portails de services de santé, les comptes de services publics, les services bancaires, le stockage cloud et les systèmes des prestataires de maintenance. Utilisez des mots de passe uniques et activez l’authentification multifacteur sur les comptes importants. Dans votre compte de messagerie, vérifiez les règles de transfert, les options de récupération et les connexions récentes. Si vous constatez une connexion suspecte, des appareils inconnus ou des messages inattendus de réinitialisation de mot de passe, contactez directement le fournisseur du service concerné.

La deuxième étape consiste à réduire les risques d’usurpation d’identité et de fraude. Ne communiquez aucune information relative à la santé, aux soins, aux paiements, aux documents d’identité ou aux comptes à des personnes qui vous appellent ou vous envoient des SMS sans que leur identité ait été vérifiée. Si vous recevez une communication qui semble provenir d’un organisme officiel ou d’un prestataire de soins, reprenez contact par un canal connu de l’organisme, sans utiliser le lien contenu dans le message. Si la personne concernée est un participant au NDIS, un bénéficiaire de services de soins ou un représentant légal, informez le coordinateur d’accompagnement ou le prestataire de services. Si nécessaire, faites appel à des services gratuits d’assistance liés à l’identité et gardez une trace des prises de contact suspectes.

Cet incident montre à quel point les données enregistrées dans les services de soins et de santé sont sensibles. À long terme, prenez l’habitude de vérifier plus rigoureusement les demandes reçues par e-mail et par téléphone. L’utilisation d’un gestionnaire de mots de passe évite de réutiliser les mêmes mots de passe sur différents services. L’authentification multifacteur, la vérification de l’historique des sessions et la mise à jour des informations de récupération des comptes importants assurent une protection durable. Pour les personnes bénéficiant de services de santé et de soins, il est également utile d’établir un plan commun de vérification des communications avec les membres de la famille, les représentants légaux ou le personnel d’accompagnement.

Pour les prestataires de soins et les fournisseurs de logiciels, la stratégie à long terme est plus large. L’accès aux données sensibles de santé et de soins doit respecter le principe du moindre privilège, les anciens dossiers ne doivent pas être conservés inutilement, les journaux d’accès doivent être examinés régulièrement et une authentification forte doit être obligatoire pour les comptes à haut risque. Dans la réponse à un incident, une simple mise à l’arrêt technique ne suffit pas : les personnes concernées doivent être clairement informées des domaines exposés, des canaux d’assistance à utiliser et des scénarios de fraude auxquels prêter attention. Les établissements qui font appel à des fournisseurs doivent aussi mettre régulièrement à jour leurs propres inventaires de données et leur évaluation des risques liés aux tiers.

Si le résultat de la vérification effectuée sur cette page correspond à la fiche CTARS, considérez-le comme sensible et ne communiquez pas les informations à des personnes qui n’en ont pas besoin. Protégez d’abord votre compte de messagerie et tous les autres comptes sur lesquels le même mot de passe a pu être utilisé. Contactez ensuite le prestataire de maintenance, le coordinateur d’accompagnement ou l’établissement concerné par un canal de communication vérifié pour demander quelles données peuvent avoir été touchées. Si vous recevez un appel, un message ou un e-mail suspect, n’y répondez pas directement; vérifiez séparément cette communication par un canal fiable.

Une fuite de données CTARS exige une vigilance à long terme en raison de son contexte lié à la santé et aux soins. La personne concernée ou son représentant doit surveiller les signes d’utilisation abusive de son identité, les demandes de services inattendues, les notifications de récupération de compte et les courriers officiels suspects. Lorsque la sécurité des mots de passe, l’authentification et la sensibilisation à la fraude ne sont pas prises en compte ensemble, les conséquences de telles fuites de données sensibles peuvent durer des années. Cette fiche doit donc vous inciter à une démarche plus large de protection de votre sécurité personnelle et de votre vie privée, plutôt qu’à une simple réaction ponctuelle à une alerte concernant un mot de passe.