Piratage d’Osiris : des données sensibles sur les accidents du travail en vente sur le dark web

Un pirate informatique a revendiqué le piratage d’Osiris, une plateforme clé utilisée par les autorités publiques françaises pour la gestion des indemnisations liées aux accidents du travail et aux maladies professionnelles. 

Pour rester informé des dernières menaces de cybersécurité et des meilleures pratiques de protection, inscrivez-vous à notre newsletter ou rejoignez le groupe WhatsApp de ZATAZ.

Peu importe les informations, l’important est de les avoir et de les vendre. Voilà l’état d’esprit des pirates informatiques que ZATAZ peut croiser depuis trois décennies. Dernier exemple en date, des données appartenant aux autorités françaises concernant la gestion des indemnisations liées aux accidents du travail et aux maladies professionnelles. Les mêmes pirates qui ont attaqué la CNAV, les maisons de l’emploi ou encore l’assurance maladie ?

Une plateforme stratégique compromise

Selon les dires du pirate, il aurait réussi à accéder à Osiris [via un info stealer placé dans l’ordinateur d’un utilisateur ?] est un outil essentiel dans le traitement administratif des dossiers d’indemnisation en France. Il simplifie les démarches pour les employeurs, les assurés et les organismes de sécurité sociale, tout en centralisant une grande quantité de données sur les accidents du travail et les maladies professionnelles. Le pirate revendique l’accès à une vaste base de données couvrant :

• Tous les départements français,
• Les associations professionnelles,
• Les informations relatives aux employeurs, assurés et dossiers d’indemnisation.

Dans sa publication, le cybercriminel décrit son attaque en ces termes : « Today, I’m selling to osiris France. This access provides a vast amount of data on all departments in France, as well as on associations and comp. » [Aujourd’hui, je vends à Osiris France. Cet accès fournit une quantité considérable de données sur tous les départements en France, ainsi que sur les associations et les entreprises.

Le pirate affirme que l’accès à ces données est limité à un unique acheteur. Il souhaite ainsi souligner la potentielle valeur et leur sensibilité.

Pourquoi Osiris est-il une cible stratégique ?
Osiris contient des informations sensibles sur les dossiers d’indemnisation, notamment les noms des assurés, les employeurs concernés, les pathologies déclarées, et les montants des indemnisations. Ces données, en plus d’être précieuses pour les cybercriminels, sont critiques pour la gestion administrative des accidents du travail en France. Une compromission peut non seulement entraîner des pertes financières, mais aussi perturber le fonctionnement des organismes sociaux.

Quels sont les risques liés à cette cyberattaque ?

La compromission d’Osiris pourrait avoir des répercussions majeures, à la fois pour les victimes directes et pour les institutions qui utilisent la plateforme.

Pour les assurés :

• Exploitation des données personnelles : Les noms, coordonnées, et informations médicales des assurés pourraient être utilisés pour des campagnes de phishing ou des tentatives de fraude.
• Atteinte à la vie privée : Les détails des maladies professionnelles ou accidents de travail sont hautement confidentiels et leur exposition pourrait causer un préjudice moral aux victimes.

Pour les employeurs :

• Risque de fraude ciblée : Les employeurs concernés pourraient être victimes de chantage ou de fraudes liées à leurs obligations d’indemnisation.
• Atteinte à la réputation : Une fuite de données pourrait nuire à la crédibilité des entreprises impliquées dans les dossiers.

Pour les organismes sociaux :

• Interruption des services : Une compromission de la plateforme Osiris pourrait ralentir, voire paralyser, le traitement des indemnisations.
• Responsabilité légale : Les organismes pourraient être tenus pour responsables en cas de manquement à leurs obligations de protection des données personnelles.

Un mode opératoire bien rodé

Le pirate à l’origine de cette attaque n’en est pas à son premier coup d’éclat. Il est déjà connu pour avoir revendiqué des cyberattaques contre :

Des établissements de santé, exposant les données de 1,5 million de patients.
Le journal Le Point, avec la fuite des informations personnelles de plus de 900 000 utilisateurs.
Direct Assurance, où il a exfiltré les données de milliers de clients et prospects.
Dans chaque cas, le pirate cible des bases de données critiques et propose des accès ou des fichiers à un nombre restreint d’acheteurs, augmentant ainsi la valeur perçue de son butin.

Comment les victimes peuvent-elles se protéger ?

Méfiez-vous des courriels, SMS ou appels téléphoniques prétendant provenir d’organismes sociaux ou d’employeurs. Ne communiquez jamais d’informations sensibles par ces canaux.
Les employeurs doivent vérifier leurs systèmes pour détecter toute tentative d’accès non autorisé. Les assurés doivent être attentifs à toute activité suspecte liée à leurs informations personnelles.

Pour rester informé des dernières menaces de cybersécurité et des meilleures pratiques de protection, inscrivez-vous à notre newsletter ou rejoignez le groupe WhatsApp de ZATAZ.