Fisher & Paykel Healthcare a signalé un accès non autorisé à deux comptes e-mail de salariés et à un sous-ensemble de fichiers de l’entreprise. Certains fichiers consultés contenaient des données personnelles identifiables. L’entreprise indique n’avoir trouvé aucun indice de compromission du système de données patients et n’avoir constaté aucun impact sur ses produits, sa fabrication ou son approvisionnement.
Ce que l’entreprise a déclaré
Le fabricant néo-zélandais d’équipements médicaux a publié un communiqué à la NZX le 22 octobre. Il décrit l’accès à deux comptes e-mail et l’examen des informations concernées. Reuters a rapporté l’incident à partir de cette déclaration.
L’entreprise indique que certains fichiers consultés contenaient des données personnelles identifiables et qu’elle informe les personnes concernées. Cela ne signifie pas que tous les fichiers des deux comptes ont été consultés ou que les données ont été utilisées de manière frauduleuse.
Périmètre et limites
Une boîte e-mail peut contenir des échanges et pièces jointes accumulés au fil du temps. Les informations publiques ne précisent ni la sensibilité de tout le contenu ni le nombre confirmé de personnes concernées. Elles n’établissent pas non plus que l’incident ait atteint les environnements cliniques, de fabrication ou d’appareils connectés.
HME News rapporte également le périmètre de deux comptes. Il ne faut pas l’étendre à l’ensemble des clients, patients ou produits de Fisher & Paykel tant que l’entreprise n’a pas précisé les résultats de son enquête.
Pourquoi les boîtes e-mail comptent
Un compte compromis peut exposer des coordonnées, des échanges professionnels ou des pièces jointes, et servir à envoyer des messages crédibles depuis une adresse réelle. Le risque dépend du contenu de chaque boîte et de la possibilité pour l’intrus d’envoyer des messages, éléments que le communiqué ne détaille pas entièrement.
Pour les destinataires, une demande inattendue faisant référence à un échange réel mérite tout de même une vérification indépendante. Utilisez un numéro ou un site déjà connu au lieu de répondre à un message suspect ou de suivre un lien de paiement ou de connexion.
Mesures pratiques
L’entreprise indique avoir fait appel à des spécialistes externes et pris des mesures pour sécuriser les comptes. Dans un incident similaire, une organisation devrait révoquer les sessions actives, renouveler les identifiants, vérifier les règles de transfert, les journaux de connexion et les autorisations OAuth. Il faut préserver les journaux avant leur suppression automatique.
L’entreprise indique informer les personnes dont les données figuraient dans les fichiers consultés. Celles qui reçoivent un avis doivent suivre ses consignes et rester attentives aux tentatives utilisant leurs informations personnelles; la déclaration ne fait état d’aucun cas confirmé d’usurpation d’identité ou de fraude financière.
Ce qui reste inconnu
Les déclarations disponibles ne nomment aucun auteur, ne décrivent pas le vecteur initial et ne confirment pas la publication ou l’utilisation des données. L’entreprise indique n’avoir trouvé aucun indice de rançongiciel ou de logiciel malveillant et n’avoir constaté aucun impact sur ses activités, ses produits, sa fabrication ou son approvisionnement.
Le lien avec Soclyde
Des mots de passe uniques et une récupération de compte prudente réduisent certains risques liés aux identifiants, sans empêcher toutes les compromissions de boîtes e-mail. Soclyde conserve un coffre chiffré sur les appareils des utilisateurs plutôt que dans un coffre cloud centralisé exploité par Soclyde. Consultez notre guide sur le stockage local ou cloud des mots de passe.
À retenir
Le périmètre confirmé est de deux comptes e-mail de salariés et d’un sous-ensemble de fichiers, dont certains contenaient des données personnelles identifiables. L’entreprise indique n’avoir trouvé aucun indice de compromission du système de données patients ni d’impact opérationnel, sur ses produits, sa fabrication ou son approvisionnement. Vérifiez les messages inattendus par un canal indépendant.
