Données médicales : l'UZ Leuven hacké par la VRT avec une relative facilité
Des journalistes de la VRT travaillant pour l'émission "Koppen" diffusée jeudi soir ont tenté, pour démontrer la facilité de la manoeuuvre, de pirater, entre autres, les données informatiques internes de l'hôpital universitaire UZ Leuven. L'initiative fait grincer des dents du côté des responsables de l'hôpital visé, qui ont annoncé qu'ils allaient porter plainte. En une demi-heure, il est possible de hacker des milliers de données patients. Mais l'hôpital assure que ce sont des "vieilles" données.
Dans la rédaction du service public flamand, on indique que l'objectif était de soulever la problématique de l'insécurité concernant les données privées conservées dans des banques de données électroniques et que "l'approche undercover" utilisée par les journalistes était "la seule possibilité" de l'atteindre.
Le reportage programmé jeudi soir avait été évoqué dans divers média flamands le matin-même, les journalistes révélant que la tentative de piratage avait visé plusieurs institutions de santé, dont un grand hôpital. Selon Het Laatste Nieuws et de Morgen, le reportage final démontre la facilité avec laquelle les journalistes de "Koppen" ont su "pirater un hôpital universitaire", un des hackers réussissant "en une demi-heure" à mettre la main sur des "milliers de données de patients", dont des informations sur leurs "maladies, opérations, groupe sanguin et médication".
L'UZ Leuven a réagi jeudi en journée via un communiqué, indiquant avoir constaté que son propre réseau informatique interne avait été la cible d'une tentative de piratage. L'hôpital affirme toutefois qu'aucun dossier de patient n'a été atteint. "Le firewall (pare-feu) qui protège les dossiers de patients contre les pirates a déjoué l'attaque", indique l'hôpital. Le pirate n'aurait pas su atteindre les données circulant sur le circuit interne, mais se serait uniquement introduit sur un serveur du groupe "sciences biomédicales" de l'hôpital. Ce serveur ne contenait que d'anciennes données de recherche. L'hôpital déplore finalement une communication médiatique "non nuancée" et "créant une inquiétude injustifiée chez les patients et le grand public", et annonce vouloir porter plainte.
Tout en condamnant le "piratage éthique" entrepris par les journalistes, l'hôpital universitaire admet qu'une "sécurisation 100% hermétique" n'existe sans doute pas. Le serveur atteint par les hackers se situe dans la "demilitarized zone", indique également l'institution, "un segment de réseau entre l'internet public et le réseau interne protégé par le pare-feu".
A la VRT, le rédacteur en chef de l'Information, Luc Rademaekers, a réagi à la polémique en indiquant qu'il avait été pris soin de ne nommer aucune institution ou organisation dans le reportage. Toutes les données obtenues grâce au piratage ont été détruites, précise-t-il également. La technique utilisée était la seule possible, selon M. Rademaekers. "Ce n'était pas notre but de viser des institutions particulières", indique-t-il. "L'approche 'undercover' de 'Koppen' était la seule solution pour démontrer la non sécurisation des données personnelles dans des banques de données électroniques".