BMS Engineering : les données de patients dans l’incertitude

Un incident détecté le 22 août et révélé plus d’une semaine après

Le 30 août au soir, BMS Engineering a écrit à ses clients qu’un incident majeur de cybersécurité affectait une partie de son infrastructure depuis le 22 août. Le contenu de ce courriel a été consulté par Reporter.lu. La société y indique que la complexité de l’attaque impose des analyses approfondies avant toute communication de conclusions fiables et vérifiées. C’est un fait important : l’incident n’est pas seulement rapporté par une rumeur ou par une revendication de pirate, il est reconnu par le prestataire auprès de ses clients.

Avant cette information officielle, deux interruptions de service avaient déjà inquiété les cabinets concernés. Reporter.lu indique que le prestataire avait été interrogé le 27 août et avait refusé de répondre, par l’intermédiaire d’un avocat, en considérant que l’affaire ne relevait pas de la presse. La chronologie publique laisse donc un écart d’au moins huit jours entre la date de début donnée par BMS Engineering et l’avertissement adressé à ses clients.

Pourquoi les cabinets médicaux sont directement exposés

BMS Engineering ne fournit pas seulement un accès Internet ou de la téléphonie. Sa page destinée aux professionnels de santé présente MyCloud BMS, une offre d’hébergement d’outils médicaux, ainsi qu’une intégration avec eMed, un logiciel de gestion de cabinet. Le site mentionne notamment la gestion des patients existants, des agendas et des rappels par SMS. Cette présentation confirme le rôle technique du prestataire dans l’environnement numérique des praticiens.

Selon Reporter.lu, BMS Engineering traite pour ses clients des données de patients hébergées dans son cloud via le logiciel eMed. La publication évoque des données personnelles sensibles et rapporte que les médecins restent responsables, vis-à-vis de leurs patients, d’une éventuelle violation de données. Cela ne permet pas d’affirmer que des dossiers médicaux ont été volés. En revanche, cela explique pourquoi une panne ou une compromission chez le prestataire inquiète immédiatement les cabinets qui dépendent de ses services.

Au moins 80 cabinets cités, mais aucun bilan de patients

Reporter.lu rapporte que l’incident concernerait au moins 80 cabinets médicaux et une trentaine de PME. Le conditionnel est nécessaire : ce nombre est attribué aux informations recueillies par le média, et non à un bilan chiffré publié par BMS Engineering. Il ne correspond pas non plus à un nombre de patients. Aucun volume de dossiers, de personnes ou de données concernées n’est communiqué dans les éléments accessibles.

Le média indique que des services digitaux ont été paralysés et que les principales craintes portent sur la perte ou la corruption de données personnelles. Une perturbation opérationnelle est donc documentée. Mais une interruption de service ne prouve pas, à elle seule, une extraction ou une diffusion de données. Il faut éviter de transformer cette incertitude en annonce de fuite : à ce stade, la possibilité d’une fuite des informations de patients n’est pas exclue, elle n’est pas confirmée publiquement.

Aucune revendication ni mode d’intrusion rendu public

Les informations lues ne désignent ni groupe de pirates, ni demande de rançon, ni revendication publique. Elles ne décrivent pas davantage le point d’entrée de l’attaque : aucune vulnérabilité, aucun compte compromis et aucun prestataire tiers ne sont identifiés. Il serait donc trompeur d’attribuer l’incident à un rançongiciel ou de prétendre savoir comment les attaquants auraient pénétré l’infrastructure.

Cette absence de détail n’est pas un vide anodin. Pour les personnes potentiellement concernées, la nature exacte des données est ce qui permet de choisir le bon réflexe. Une adresse e-mail exposée appelle surtout à se méfier de messages ciblés. Des données médicales, une pièce d’identité ou des coordonnées bancaires entraîneraient des risques différents. Tant que BMS Engineering ne précise pas ce périmètre, aucun conseil de changement de mot de passe ou de surveillance bancaire ne peut être présenté comme une réponse spécifique à cette affaire.

Ce que peuvent faire les patients et les praticiens aujourd’hui

Les patients d’un cabinet concerné ne doivent pas répondre dans l’urgence à un e-mail, un SMS ou un appel qui prétend donner des détails sur cette cyberattaque. Un escroc peut exploiter l’inquiétude pour demander un code reçu par message, des informations médicales ou une mise à jour de coordonnées. Pour vérifier une information, il faut contacter directement son cabinet par le numéro déjà connu ou passer par son site habituel, jamais par le lien ou le numéro fourni dans un message inattendu.

Les praticiens concernés ont besoin d’une information précise de leur prestataire sur les services rétablis, les catégories de données potentiellement touchées et les mesures de notification prévues. Reporter.lu rapporte que BMS Engineering poursuit ses analyses. Tant que ce travail n’a pas abouti, la mesure la plus utile pour tous reste de vérifier l’identité de tout interlocuteur qui invoque l’incident et de ne communiquer aucun code de connexion ou renseignement sensible en réponse à une sollicitation non attendue.

Ce que nous ne pouvons pas vérifier

Nous avons pu lire une enquête de Reporter.lu et la page publique de BMS Engineering décrivant ses services médicaux. Nous n’avons pas trouvé de communiqué public de BMS Engineering donnant le bilan de l’incident ou le texte intégral de son information aux clients. La confirmation de l’attaque, sa date de début et la formulation d’« incident majeur » sont donc rapportées par Reporter.lu à partir d’un e-mail que le média dit avoir consulté.

Nous ne pouvons pas vérifier le nombre exact de cabinets, de PME ou de patients concernés, les catégories précises de données éventuellement compromises, l’existence d’une extraction de données, leur éventuelle diffusion, l’identité d’un attaquant, une demande de rançon, le mode d’intrusion ni la date de retour complet à la normale. Le chiffre d’au moins 80 cabinets est attribué au média et ne doit pas être lu comme un bilan officiel de patients affectés.

Sources : Reporter.lu ↗ · BMS Engineering ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.