Cyberattaque de l'hôpital universitaire de Düsseldorf (2020)
Rançongiciel qui a paralysé en septembre 2020 l'hôpital universitaire de Düsseldorf ; la mort d'une patiente détournée vers un autre hôpital a fait poser en Europe la question d'un décès causé par une cyberattaque.
L'attaque contre l'hôpital universitaire de Düsseldorf est le rançongiciel de septembre 2020 qui a fait poser, pour la première fois en Europe, la question d'une mort causée par une cyberattaque. Les 9 et 10 septembre 2020, les attaquants passent par une faille d'un logiciel Citrix largement diffusé (CVE-2019-19781), publiée en décembre 2019 et corrigible depuis janvier 2020. Une trentaine de serveurs sont chiffrés et l'hôpital se retire du service d'urgence. Une patiente en état critique, qui devait y être admise, est détournée vers Wuppertal, à une trentaine de kilomètres, et meurt. La note de rançon visait l'université Heinrich-Heine. Quand la police explique aux attaquants, que la presse rattache au groupe DoppelPaymer, qu'un hôpital est paralysé, ils remettent la clé de déchiffrement et disparaissent. Le parquet de Cologne ouvre une enquête pour homicide involontaire. Il la classe en novembre 2020 : le lien de causalité entre l'attaque et le décès n'a pas pu être établi, l'état de la patiente rendant le retard de prise en charge non déterminant. Pour le souscripteur, le cas a fixé deux idées. Le dommage corporel est un scénario cyber plausible, même quand il ne se prouve pas devant un juge. Et la causalité, avec ses expertises médicales, décide du sinistre en responsabilité. Les rédacteurs de wordings en ont tiré un argument pour dire si l'exclusion des dommages corporels des polices cyber vise aussi ceux qui suivent une interruption des soins.
Cas d'école : un hôpital chiffré détourne ses urgences, un patient transféré meurt, et la famille assigne l'établissement pour 400 000 euros. La police cyber exclut « tout dommage corporel », la RC hospitalière exclut les « événements informatiques ». Les deux assureurs se renvoient le dossier. La qualification du fait générateur, faute de soins ou défaut de sécurité informatique, décide lequel paie, des mois avant qu'on sache si le lien de causalité tient.
Universitätsklinikum Düsseldorf, attaque de l'UKD, rançongiciel de Düsseldorf, attaque hôpital Düsseldorf 2020
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.