Le HSE a obtenu des injonctions de la Haute Cour interdisant tout partage, traitement, vente ou publication de données volées dans ses systèmes informatiques lors d’une cyberattaque massive.
Les ordonnances sont dirigées contre des «personnes inconnues» chargées d’accéder au système informatique du HSE et d’y insérer une note de ransomware, comme l’a découvert le HSE le 14 mai dernier. Ils s’appliquent également à toute personne en ayant connaissance.
Le PDG de HSE, Paul Reid, a déclaré au tribunal dans un affidvait qu’il craignait que toutes les données du HSE «soient potentiellement compromises».
Le juge Kevin Cross a déclaré jeudi qu’il était satisfait de rendre les ordonnances sollicitées pour piratage informatique commis pour «une forme de chantage particulièrement odieuse».
Le tribunal a appris que le principal objectif des ordonnances était de mettre en demeure les fournisseurs de services d’information légitimes tels que Google et Twitter d’une interdiction légale du partage et de la publication des informations HSE.
Les ordonnances empêchent les défendeurs visés de vendre, de traiter, de publier, de partager ou de mettre à la disposition de tout membre du public, les données HSE volées, y compris les données médicales privées des patients HSE. Ils restreignent également la possession, le transfert ou la divulgation des informations obtenues à partir du système du HSE sans le consentement du HSE et exigent que les «personnes inconnues» s’identifient en fournissant des noms, des adresses postales et des adresses e-mail.
Les ordonnances ont été demandées dans le cadre d’une procédure intentée par le HSE, qui comprend des demandes de dommages-intérêts pour violation d’informations confidentielles, fraude et tromperie, complot et conversion des données qui auraient été accédées par des pirates informatiques basés en Russie.
Dans un affidavit, le PDG de HSE, Paul Reid, a déclaré qu’il avait été informé qu’il était «très probable» que des données aient été volées et qu’une enquête est en cours pour déterminer l’étendue des données volées.
«C’est un sujet de grave préoccupation pour le HSE étant donné le risque potentiel et imminent de publication de données médicales et personnelles confidentielles relatives aux personnes contenues dans le système de base de données HSE.»
Il était «extrêmement préoccupé» de lire les reportages des médias sur la prétendue divulgation / partage de données médicales confidentielles en ligne, a déclaré M. Reid. Il y a maintenant de sérieuses inquiétudes que les auteurs de la cyberattaque utilisent le Web mondial pour commencer à «alimenter au goutte-à-goutte» des données médicales confidentielles et très sensibles volées à des tiers de manière continue, à moins d’être recyclés par ordonnance du tribunal, a-t-il déclaré.
Dans un autre affidavit, Fran Thompson, directeur de l’information par intérim du HSE, a déclaré que l’enquête sur le piratage était en cours, mais il a été établi que les pirates avaient accès au système HSE pendant au moins 1 à 2 semaines avant le déclenchement de la cyber-attaque. le 14 mai dernier.
Il a déclaré que l’une des notes de Ransomware déclarait: «VOUS DEVEZ ÊTRE CONSCIENT! Juste au cas où, si vous nous ignorez. Nous avons téléchargé vos données et sommes prêts à publier. ” Il était également au courant de rapports faisant état d’échantillons de fichiers proposés par «l’équipe Contilocker» dans le but de tenter de démontrer qu’ils détiennent des données HSE.
Sur la base de cette preuve, Jonathan Newman SC, avec Michael Binchy BL, a demandé les commandes. M. Newman a d’abord cherché à faire entendre la demande à huis clos, mais le sténographe judiciaire du europe-infos.fr a obtenu un ajournement pour donner des instructions aux avocats concernant cette demande.
Après avoir entendu M. Newman et Joe O’Malley, de Hayes Solicitors LLP, pour l’europe-infos.fr, le juge, qui a décrit l’affaire comme importante, a refusé de l’autoriser à se dérouler à huis clos mais a rendu des ordonnances interdisant tout rapport de l’affaire avant 18h30. jeudi.
Il a convenu avec M. O’Malley que la justice devrait être rendue en public, sauf circonstances exceptionnelles pour ordonner le contraire. Il a également tenu compte, en sollicitant l’audience à huis clos, que le souci du HSE était de s’assurer que les prévenus n’avaient pas connaissance de l’affaire avant que le tribunal ne l’ait examiné et d’éviter toute publication préventive des données.
Dans sa décision sur la demande de fond, le juge a déclaré que si la demande du HSE était juridiquement inhabituelle, les tribunaux ne rendant généralement pas d’ordonnances contre des personnes inconnues, il était convaincu qu’il n’y avait aucun obstacle juridique à la manière dont la procédure avait été constituée. Il était également convaincu que les commandes étaient nécessaires et que les critères pertinents les concernant avaient été respectés.
Il est clair, “comme le monde le sait”, qu’il y a eu un piratage substantiel du HSE entrepris par des sources anonymes à des fins de chantage, “toujours le remède d’un lâche”, a-t-il dit.
Il s’agissait d’une forme de chantage «particulièrement odieux» où les responsables cherchaient à faire pression sur le HSE et les autorités pour qu’elles cèdent aux demandes des maîtres-chanteurs, notamment en espérant que les patients disposant de données médicales sensibles stockées sur le système HSE ajouteront à ces pressions. .
Les conséquences des actions des maîtres chanteurs sont «particulièrement cruelles» en cette période de pandémie mondiale qui met à rude épreuve la capacité du HSE et d’autres agences à traiter des patients, dont certains souffrant de maladies graves et potentiellement mortelles.
Dans cette situation, il serait «inconcevable» et «une cause de scandale» si la loi était impuissante ou liée par des règles excessives à tenter d’arrêter cet «outrage», a-t-il dit.
Bien que l’identité des auteurs soit inconnue, on sait qu’ils sont responsables du piratage et de l’accès aux données HSE et de la publication de la note de ransomware, qui indiquait qu’ils pouvaient être contactés via un lien électronique fourni.
L’effet pratique des injonctions pourrait être que les autorités du pays concerné coopéreront, espérons-le, à l’ordonnance et utiliseront toutes leurs ressources pour retrouver les auteurs. On s’attendait également à ce que d’autres acteurs non criminels respectent les ordres, ce qui réduirait au minimum les méfaits voulus par les pirates informatiques, a-t-il ajouté.
Les accusés mis en retrait ont désormais 42 jours pour comparaître à la procédure, après quoi l’affaire sera renvoyée devant le tribunal.
