ASCOMA Cameroun
ASCOMA a été victime d'une attaque sophistiquée visant son système d'information central, utilisé pour valider les prises en charge médicales dans les pharmacies et hôpitaux du Cameroun.
- Nature de l'attaque : Un groupe de cybercriminels a réussi à infiltrer le réseau et à chiffrer une partie des serveurs. Avant le chiffrement, les attaquants ont exfiltré des bases de données contenant des informations sur les assurés.
- Données compromises : * Listes d'assurés (noms, entreprises employeurs, numéros de police).
- Historiques de consommations médicales (données de santé ultra-sensibles).
- Relevés d'identité bancaire (RIB) pour les remboursements.
- Impact : Critique. L'indisponibilité du système a bloqué les prises en charge en pharmacie pour des milliers de Camerounais pendant plusieurs jours. Plus grave encore, la fuite de données expose les assurés à du chantage ou à des fraudes bancaires ciblées.
- Impact sur la confidentialité des données (Données Métier) : En tant que courtier, ASCOMA manipule des données extrêmement sensibles. Le vol implique potentiellement des fichiers clients, des contrats d'assurance d'entreprises locales et internationales, des données financières (RIB, chiffre d'affaires des assurés) ainsi que des données de santé / prévoyance (fiches médicales, remboursements de soins) de milliers d'assurés.
- Impact réputationnel et de confiance : La publication de la victime sur le Data Leak Site (DLS) de WorldLeaks sert de moyen de pression public. Pour un intermédiaire de confiance comme un courtier, l'exposition publique de ses failles de sécurité nuit gravement aux relations avec ses entreprises partenaires et les compagnies d'assurance tierces.
- Impact juridique et conformité : L'exfiltration de données à caractère personnel (PII) expose l'entité aux réglementations en vigueur sur la protection des données et à de potentielles poursuites ou demandes de comptes de la part des régulateurs ou des clients impactés.
- Vecteur : Probablement un email de phishing ouvert par un employé, permettant l'installation d'un "Cobalt Strike" (outil de prise de contrôle à distance) pour naviguer dans le réseau interne.
Profil de l'Attaquant : WorldLeaks
- Nom de l'acteur : WorldLeaks
- Ancienne identité : Hunters International (actif de fin 2023 à janvier 2025).
- Filiation suspectée : Reprise/Réincarnation des infrastructures et du code du groupe Hive.
- Statut de l'infrastructure (Tor) : En ligne (Disponibilité constatée à ~50%).
- URL du site de fuite (DLS) : http://worldleaksartrjm3c6vasllvgacbi5u3mgzkluehrzhk2jz4taufuid.onion/companies/
Tactiques, Techniques et Procédures (TTPs)
- Modèle économique : Extortion-as-a-Service (EaaS). Le groupe fournit une plateforme clé en main à des affiliés.
- Évolution stratégique (Janvier 2025) : Abandon total du chiffrement des fichiers (Ransomware classique). Le groupe se concentre exclusivement sur le vol de données et l'extortion pure.
- Objectifs & Avantages :
- Extraction automatisée des données via des outils mis à disposition des affiliés.
- Menace de publication sur leur site Tor en cas de non-paiement.
- Complexité technique et risques de détection réduits (l'absence de chiffrement évite de lever les alertes comportementales des ED/XDR sur les volumes de modifications de fichiers).
Ce que cet incident donne à voir du cadre camerounais : ce qui est obligatoire, ce qui ne l'est pas, et ce dont personne n'a à rendre compte.
Exfiltration de données avant chiffrement dans le système qui valide les prises en charge médicales : les données en cause relèvent de la santé, la catégorie la plus protégée par la loi. L'article 22 imposait donc la notification à l'autorité de protection et aux personnes concernées. L'autorité prévue à l'article 53 n'étant pas installée, cette notification n'avait pas de destinataire, et rien ne permet d'établir si les assurés ont été informés au titre de l'obligation légale ou au seul titre de la relation commerciale.
L'entreprise a alerté ses partenaires et ses assurés, mais aucune publication n'a été faite au-delà de ce cercle. Informer ses propres clients n'équivaut pas à une communication publique : l'incident reste invisible pour toute personne extérieure au contrat, alors que le système compromis servait à valider les prises en charge dans les pharmacies et les hôpitaux.
- Gestion du risque "Tiers" : Les entreprises clientes d'ASCOMA doivent désormais auditer la cybersécurité de leurs prestataires (Supply Chain Risk).
- Anonymisation des données : Séparer les bases de données d'identité des bases de données de santé (données médicales pseudonymisées) pour limiter l'impact en cas de vol.
- Plan de Continuité (DRP) : Tester régulièrement la restauration des sauvegardes "immuables" (non modifiables par un ransomware) pour garantir le service de santé sans interruption.
- Méthode du groupe cybercriminel Worldleaks : Hameçonnage ciblé avec pièces jointes malveillantes (T1566.001), Exploitation d’applications exposées sur Internet (T1190), Compromission de VPN mal sécurisés sans authentification multifacteur, Utilisation de comptes valides compromis (T1078.002)
Alertes envoyées aux entreprises partenaires et aux assurés
https://www.ransomware.live/id/QVNDT01BIENhbWVyb29uQHdvcmxkbGVha3M?utm_source=chatgpt.com