Introduction
L'analyse de Red Sift portant sur les organisations de santé ayant signalé des violations importantes au Department of Health & Human Services (HHS) en 2023-2024 a révélé une tendance préoccupante : après une violation, 61 % restent non protégées contre le phishing et l'usurpation de domaine en raison de politiques DMARC faibles ou inexistantes.
Le DMARC (Domain-based Message Authentication, Reporting & Conformance) est une norme de sécurité largement reconnue qui empêche les attaquants d'usurper l'identité d'organisations par e-mail. Cependant, malgré une violation importante, de nombreuses entités de santé n'ont pas encore pleinement adopté cette protection essentielle, les laissant vulnérables à de nouvelles attaques.
Que nous apprennent les données ?
L'étude menée par Red Sift a révélé que :
- 61 % des organisations analysées ne disposent d'aucune protection, 33 n'ayant aucune politique DMARC et 28 ne présentant aucune donnée disponible.
- Seulement 39 % appliquent DMARC, dont 24 adoptant la politique « reject » (protection la plus forte) et 16 utilisant « quarantine » (sécurité modérée).
- Dans la région EMEA, 49 % des 100 plus grandes entreprises de santé restent non protégées, tandis que seulement 31 % disposent d'une politique « reject ».
Ce constat représente un écart significatif dans l'adoption de DMARC, et témoigne probablement d'une immaturité sectorielle en matière de cybersécurité qui laisse la plupart des entreprises vulnérables aux attaques de phishing et d'usurpation. Le groupe le plus sûr, appliquant une politique « reject », témoigne de meilleures pratiques, mais représente néanmoins moins d'un quart de l'ensemble analysé.
L'e-mail est reconnu comme un vecteur privilégié permettant aux acteurs malveillants d'accéder aux personnes et aux réseaux. Pour le secteur de la santé, une sécurité e-mail insuffisante se traduit souvent par des attaques de compromission de messagerie professionnelle (BEC) coûteuses et des rançongiciels. Les organisations de santé devront mettre en place des mesures de sécurité plus strictes afin de garantir des protections robustes et proactives contre des cyberattaques potentiellement dévastatrices, et ainsi préserver l'intégrité et la disponibilité des services de santé essentiels et des données des patients.
L'impact croissant des violations de données
Les dossiers médicaux restent le type de données le plus précieux sur le marché noir, ce qui fait des organisations de santé des cibles privilégiées. Les acteurs malveillants recherchent un gain maximal, et les cyberattaques contre le secteur de la santé sont donc en forte augmentation. Le phishing reste le principal vecteur d'attaque, responsable d'environ 90 % des attaques réussies. Une étude IBM de 2024 indique qu'à l'échelle mondiale, les violations de données coûtent en moyenne 4,9 millions de dollars aux organisations, les violations dans le secteur de la santé coûtant près du double de ce montant aux États-Unis. De plus, plus de 190 millions de dossiers médicaux ont été compromis en 2024 seulement, un chiffre record touchant plus de la moitié de la population américaine. Des actions réglementaires, des amendes et des recours collectifs de plus en plus coûteux affectent profondément l'ensemble du secteur de la santé.
Plus grandes violations de données dans le secteur de la santé aux États-Unis en 2023-2024 : analyse DMARC
Pourquoi DMARC est essentiel pour le secteur de la santé
DMARC est une solution éprouvée pour prévenir le phishing, l'usurpation de domaine et les attaques de compromission de messagerie professionnelle (BEC). Les organisations appliquant DMARC avec une politique « reject » réduisent considérablement le risque de cybermenaces liées à l'e-mail.
Pourtant, de nombreuses organisations de santé restent non protégées, exposant des données sensibles de patients, des informations financières et une infrastructure opérationnelle. Le secteur de la santé doit accorder la priorité à une sécurité e-mail renforcée afin de prévenir de futures violations et de protéger les systèmes critiques contre les cybercriminels.
Sécuriser l'avenir du secteur de la santé avec OnDMARC
Les conclusions de Red Sift révèlent un besoin urgent d'une adoption plus large de DMARC au sein des organisations de santé. Les entités sans DMARC devraient commencer par mettre en place une politique de surveillance « p=none » avant de passer à une application complète « p=reject ». Celles disposant d'une politique « quarantine » devraient rapidement passer à « reject » pour une protection maximale.
L'e-mail restant l'un des points d'entrée les plus exploités par les cybercriminels, les prestataires de santé doivent agir dès maintenant pour combler ces lacunes de sécurité, en optant pour un fournisseur de solutions DMARC tel que Red Sift OnDMARC. Cette nouvelle réalité signifie que la mise en œuvre de DMARC ne relève plus uniquement de l'IT : c'est une étape essentielle pour protéger les données des patients, la sécurité opérationnelle et la réputation de la marque, et elle devrait être discutée et exécutée au niveau du conseil d'administration.
Découvrez comment Red Sift aide les organisations à atteindre une conformité DMARC complète avec Red Sift OnDMARC et renforcez dès aujourd'hui la sécurité de vos e-mails.
Cette étude a été publiée pour la première fois sur BetanewsBetanews.
