Fuite de données de clients de OZ après un piratage

OZ, Onafhankelijk Ziekenfonds, annonce qu’un hacker a eu accès aux données de ses clients suite à une cyber-attaque. L’auteur de celle-ci déclare que les données ont été entre-temps supprimées.

OZ révèle avoir été le 7 septembre dernier la cible d’un piratage via une faille dans son système. L’auteur aurait mis la main sur des données de clients.

190.000 membres sur les 550.000 possédant un compte pourraient être concernés par un vol de données. Il s’agirait uniquement des données de personnes ayant récemment effectué une transaction sur le site (entre le moment où le hacker a réussi à pénétrer dans le système et celui où OZ a colmaté la brèche la semaine dernière). Le nombre précis des personnes touchées n’a pas été précisé, mais il s’agirait probablement de nettement moins de 190.000.

Le pirate exige de l’argent

‘Ces derniers jours, nous avons à plusieurs reprises testé notre système et avons aussi communiqué l’incident à d’autres caisses d’assurance maladie, à la suite de quoi celles-ci ont également testé leur système’, déclare le directeur général Rik Selleslaghs.

Ce qui ne manque pas d’étonner, c’est que le hacker a lui-même informé OZ au moyen d’un message rédigé en anglais qu’il était possible de mettre la main sur des données, après quoi l’organisation a directement résolu le problème. Le pirate a signalé aussi que les données subtilisées avaient été supprimées, mais il exigea néanmoins le versement d’une somme d’argent pour taire l’incident.

OZ refusa et rendit elle-même la cyber-attaque publique. Elle en informa ses clients et les instances compétentes et a prévu entre-temps une page explicative sur l’attaque dont elle a fait l’objet. Le fait que le hacker prétende avoir supprimé les données volées, donne un certain espoir, mais OZ fait observer n’avoir aucune certitude que le pirate dit vrai. Voilà pourquoi elle met en garde contre la pratique d’hameçonnage (‘phishing’) au cas où les données seraient quand même abusées.

Aucun dossier médical

Il est question de données personnelles, d’adresses, de données de contact, de numéros de comptes en banque, de préférences, de renseignements familiaux, d’assurances, de procurations, d’accords médicaux, de remboursements, d’indemnisations et de périodes de maladie. Mais la cyber-attaque n’a pas touché les rapports et dossiers médicaux, les dossiers de clients ou les mots de passe et les login. Les clients ne doivent donc pas modifier leur mot de passe, mais ils peuvent le faire, s’ils le désirent.

Update 14/9/21 14 heures:

OZ explique que le piratage a eu pour cadre son système historique technique, où sont tenues à jour les actions sur ‘Mijn OZ’. En raison d’une erreur humaine, un des ports publics est resté accessible après une migration de ces systèmes, ce qui fait que des manipulations sur la plate-forme ont pu être visionnées quelque temps par le hacker.

Sur base d’une première enquête, l’organisation signale ne pas avoir d’indications que davantage de données ont été visionnées, mais elle collabore avec le CERT et une entreprise privée pour examiner plus avant ce qui s’est réellement passé.