Aux Pays-Bas, de nombreux hôpitaux semblent encore vulnérables face aux cyberattaques. La menace des logiciels rançonneurs s'accroît même si les établissements de soins sont de plus en plus conscients des dangers qu'elle représente (cf. https://www.nu.nl/tech/6178900/ziekenhuizen kwetsbaar voor cyberaanval wachten totdat het misgaat.html).

Un logiciel rançonneur a pour effet de crypter les fichiers et les systèmes. Il exige ensuite le paiement d'une rançon pour rendre ceux-ci à nouveau accessibles. Lorsque des pirates informatiques (hackers) paralysent les systèmes hospitaliers, il peut arriver qu'il faille transférer les patients vers d'autres sites ou annuler des interventions.

Les hôpitaux emploient des experts dans le domaine des technologies de l'information et de la communication, mais ceux-ci n'ont généralement pas assez de connaissances ni de temps pour surveiller activement le réseau et détecter la présence éventuelle de pirates informatiques. À cela s'ajoute le fait que de nombreux hôpitaux utilisent des équipements obsolètes dont les fournisseurs n'assurent parfois plus la maintenance. Faute de mise à jour, ces équipements sont vulnérables face aux cyberattaques.

Dans le monde, le nombre de cyberattaques contre des hôpitaux a augmenté d'environ 45 % en deux mois l'année dernière. C'est ce que rapporte Check Point, le fournisseur de services de cybersécurité. En Belgique, près de 65 % de tous les hôpitaux ont déjà subi une tentative de piratage numérique. (cf. https://www.computable.be/artikel/nieuws/zorg/7124027/5440850/twee derde belgische hospitalen kreeg cyberaanval.html).

La raison pour laquelle les hôpitaux sont dans la ligne de mire des cybercriminels ces derniers mois est simple : ils sont des cibles de choix parce qu'ils sont enclins, dans le contexte actuel, à répondre plus rapidement aux exigences des logiciels rançonneurs. La principale variante de logiciel rançonneur utilisée dans les attaques est «Ryuk», suivie par «Sodinokibi». Selon un expert en sécurité, c'est le signe que les pirates privilégient des attaques de logiciels rançonneurs ciblées et sur mesure plutôt que des campagnes de spams massives.

En ce qui concerne le caractère transversal de la présente question: les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui devront être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la note-cadre de sécurité intégrale et dans le plan national de sécurité 2016-2019 et ont été discutés lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. Il s'agit donc d'une matière transversale qui relève également des Régions, le rôle de ces dernières se situant surtout dans le domaine de la prévention.

Je souhaiterais dès lors poser les questions suivantes :

1) Pourriez-vous donner un aperçu du nombre d'hôpitaux qui ont été touchés par une cyberattaque ? Combien y en a-t-il eu au cours des cinq dernières années ? De quel type d'attaque s'agissait-il (DDOS, logiciel rançonneur, etc.) ? Quel est le montant total du préjudice financier estimé ? Dans combien de cas la continuité des soins de santé a-t-elle été mise en péril par une cyberattaque ?

2) Y a-t-il déjà eu des signaux indiquant que le secteur des soins de santé est à la traîne d'autres secteurs en termes de sécurité numérique ? Dans l'affirmative, de qui venaient ces signaux ? Quelle suite y a-t-on donné ?

3) De quel pays proviennent la plupart des attaques ? Combien de ces attaques trouvent leur origine en Belgique ? Quelles sont les méthodes les plus couramment utilisées ? Dans quel but ces actions sont-elles menées ? Peut-on discerner certains schémas ?

4) Hormis les attaques de logiciels rançonneurs, quels autres types d'attaques les hôpitaux ont-ils eu à subir ? Comment ont-ils réagi ? Les auteurs de ces actes ont-ils été arrêtés ? Dans l'affirmative, quelles furent leurs peines ?

5) Quels sont les plans de nos pouvoirs publics en vue de rendre nos infrastructures numériques plus résistantes aux attaques organisées ? Où en sont-ils actuellement dans la mise en œuvre de ces plans ? D'autres mesures sont-elles prévues? Ces plans portent-ils principalement sur les logiciels ou prévoient-ils aussi de renforcer ou de remplacer (renouveler) le matériel ? Pourquoi ?

1) La Banque de données nationale générale (BNG) est une base de données policières dans laquelle sont enregistrés les faits sur base de procès-verbaux résultant des missions de police judiciaire et administrative. Elle permet de réaliser des comptages sur différentes variables statistiques telles que le nombre de faits enregistrés, les modus operandi, les objets liés à l’infraction, les moyens de transport utilisés, les destinations de lieu, etc.

Il est possible, sur base des informations disponibles dans la BNG, d’extraire de la banque de données policières des données concernant deux formes de criminalité informatique qui indiquent une «cyberattaque», à savoir le «hacking» et le «sabotage».

Le tableau ci-dessous reprend le nombre de faits enregistrés par les services de police pour les deux délits mentionnés ci-dessus auxquels est associée une destination de lieu «Hôpital/Polyclinique» au lieu de perpétration indiqué dans le procès-verbal.

Il s’agit des données au niveau national pour les années 2017 à 2020 ainsi que pour le premier semestre 2021. Les chiffres définitifs pour le second semestre de 2021 ne sont pas encore disponibles.

Tableau 1: Nombre de faits enregistrés en matière de hacking et sabotage ICT dans les hôpitaux

Source: police fédérale.

2) Cette question parlementaire ne relève pas de mes compétences mais de la compétence du premier ministre dont dépend le Centre for Cyber Security Belgium (CCB).

3) En général, bien que les outils et les tactiques utilisés dans les cyberattaques varient entre les différents acteurs et dans le temps, on peut distinguer quelques grandes phases dans la construction d’une telle attaque. Un modèle théorique largement utilisé à cet égard dans le secteur de la cybersécurité est le cadre MITRE ATT&CK (https://attack.mitre.org). De tels modèles peuvent aider à mieux comprendre les pratiques générales des cybercriminels, quelles que soient les technologies ou les vulnérabilités spécifiques qu’ils utilisent.

En ce qui concerne les enquêtes spécifiques, nous ne pouvons fournir aucun détail en raison du caractère secret de l’enquête. D’après les données dont nous disposons, il n’existe pas de profil de délinquant ou de modus operandus univoque. De plus, toutes les enquêtes ne permettent pas à l’identification du ou des auteurs, ce qui rend difficile la formulation de déclarations généralistes sur leur origine, leurs techniques ou leurs motifs.

4) L’honorable membre trouvera une partie de la réponse à ces questions dans le tableau joint à la réponse à la question 1). Pour le surplus, cette question parlementaire ne relève pas de mes compétences mais de la compétence du ministre de la Justice.

5) Cette question parlementaire ne relève pas de mes compétences mais de la compétence du premier ministre dont dépend le Centre for Cyber Security Belgium (CCB).