Deux semaines après un incident de cybersécurité, les sites web de University Hospitals et l’accès MyChart restent indisponibles, et le système hospitalier indique ne pas disposer d’un calendrier estimé pour la restauration complète des systèmes.
Le système a publié un communiqué cette semaine faisant état d’un grand nombre d’appels de patients inquiets et les encourage à contacter directement le cabinet de leur médecin pour toute question. University Hospitals a détecté une « activité inhabituelle » sur ses serveurs le 22 octobre et a déconnecté des systèmes d’Internet « par excès de prudence ».
University Hospitals : enquête et délais de rétablissement
University Hospitals n’a pas répondu aux questions sur le type d’attaque détectée, mais un porte‑parole a confirmé que l’intranet hospitalier, qui permet aux médecins d’accéder aux dossiers des patients, fonctionne pleinement. L’établissement travaille avec des enquêteurs externes pour traiter l’incident.
Cory Scott, directeur exécutif du Cybersecurity Center du College of Law de la Cleveland State University, rappelle qu’une étude sur les attaques par rançongiciel contre des hôpitaux et prestataires de soins américains établit un délai moyen de rétablissement de 16,5 jours. « Ce n’est malheureusement pas, à ce stade, un délai inhabituel », a‑t‑il déclaré. Scott explique que les équipes doivent procéder méthodiquement : contenir le dommage, enquêter sur l’origine et l’étendue de la compromission, éradiquer l’attaquant et reconstruire les systèmes compromis tout en maintenant un niveau de soins.
Il ajoute que les sociétés externes d’investigation sont souvent très sollicitées. « La réalité est que lorsque ces systèmes sont sous tension, le retard dans la reprise sera plus important », a‑t‑il dit.
Conséquences pour les patients et le personnel
L’hôpital encourage les patients à maintenir leurs rendez‑vous en personne. Les visites virtuelles sont converties en rendez‑vous téléphoniques, via Zoom ou en présentiel. Les prestataires ont adopté des solutions de contournement : appels téléphoniques pour transmettre des résultats de laboratoire et des rappels de rendez‑vous, ordonnances appelées par téléphone ou reçus manuscrits. Plusieurs applications utilisées par les soignants sont inaccessibles ou ne le sont que depuis des ordinateurs de bureau.
En interne, les communications aux équipes n’apportent pas beaucoup plus d’informations que les déclarations publiques. Un ensemble de courriels internes consultés par Ideastream Public Media remercie les soignants pour la continuité des soins et les invite à réinitialiser leurs mots de passe, sans fournir de détails sur le type d’attaque ni sur un calendrier de retour à la normale. Dans l’un de ces messages, le PDG Cliff Megerian écrit : « Nous ne le répéterons jamais assez. Merci à chacun et chacune d’entre vous qui avez adapté vos routines et flux de travail pour continuer à servir nos patients. » Scott précise que des communications internes vagues sont courantes afin d’éviter que les attaquants ne surveillent les déclarations publiques.
Aspects légaux et obligations de notification
University Hospitals fait face à un recours collectif proposé alléguant que des informations personnelles ont été compromises lors de l’incident et que l’établissement n’aurait pas mis en place des « mesures ou politiques de cybersécurité raisonnables » pour protéger les données sensibles des patients. University Hospitals n’a pas commenté si des informations personnelles ont été accédées.
Les systèmes hospitaliers disposent de 60 jours pour signaler aux autorités (Department of Health and Human Services) toute violation exposant des informations de santé personnelles ; University Hospitals n’a pas encore effectué de telles divulgations.
Note : cet article a été mis à jour pour corriger l’orthographe du nom de Cory Scott.
