Medibank

En octobre 2022, Medibank — premier assureur santé privé d’Australie — annonce qu’un attaquant a été présent dans son réseau. Au moment où la compromission est contenue, les informations personnelles et les données de remboursement médical d’environ 9,7 millions de clients actuels et passés ont été exfiltrées. Dans un pays de 26 millions d’habitants, cela représentait une fraction substantielle de la population adulte.

Un refus, et ce qui s’est ensuivi

La politique du gouvernement australien penchait déjà contre le paiement des rançons, et Medibank, après concertation avec les régulateurs, refuse publiquement la demande des attaquants. Les attaquants — un groupe lié à l’opération REvil — répondent en publiant par lots le sous-ensemble le plus sensible des données, organisé dans des fichiers aux noms délibérément agressifs : une « naughty list », un fichier « abortions », un fichier des clients porteurs du VIH.

Les divulgations sont calibrées pour une pression maximale sur l’entreprise et un préjudice maximal aux individus. Les lignes d’écoute en santé mentale australiennes signalent un afflux d’appels de personnes dont l’historique médical vient de devenir publiquement consultable.

Une longue queue juridique

La police fédérale australienne identifie un ressortissant russe comme opérateur principal. Le gouvernement australien lui impose les toutes premières sanctions cyber du pays, à titre personnel. Des recours collectifs visent Medibank ; le bureau du commissaire à l’information australien ouvre une enquête qui durera des années.

Ce que la chronique retient

Medibank a posé, devant tout un pays, la question qui ne porte plus seulement sur le paiement. Elle porte sur ce qu’un attaquant peut faire aux personnes quand on ne paie pas, et sur la façon dont une société choisit de mettre cela en balance avec le préjudice plus large de la normalisation des rançons.