Le géant des dossiers médicaux Epic suspend le développement de produits pour corriger des failles de sécurité

Epic, le géant de la technologie logicielle responsable de la plateforme MyChart, a pris la mesure sans précédent d'interrompre la majeure partie du développement de ses produits. Cette pause stratégique est conçue pour permettre à l'entreprise de renforcer ses systèmes contre les cyberattaques sophistiquées. La décision fait suite à un examen interne critique déclenché par le déploiement du modèle de cybersécurité avancé d'Anthropic, Mythos, qui a identifié des vulnérabilités de sécurité importantes susceptibles d'exposer des informations sensibles sur les patients.

Judy Faulkner, fondatrice et PDG d'Epic, a confirmé que le gel du développement devrait durer environ six semaines. Au cours de cette période, les équipes d'ingénierie se concentrent sur la protection complète du système. Stirling Martin, directeur de la sécurité d'Epic, a révélé que certaines configurations client de MyChart pourraient potentiellement permettre à des tiers non autorisés d'accéder aux dossiers des patients sans laisser de trace dans les journaux d'audit du logiciel, une faille qui nécessite une remédiation immédiate et approfondie.

MyChart est une pierre angulaire de l'infrastructure de santé américaine, facilitant l'accès aux dossiers médicaux de plus de 320 millions de patients dans les hôpitaux et les cabinets privés. Bien qu'Epic soutienne qu'elle n'accède pas directement aux données médicales stockées par ses clients, l'existence d'un bug systémique pose un risque massif. S'il était exploité, une telle vulnérabilité pourrait permettre à des acteurs malveillants de compromettre simultanément plusieurs systèmes de santé, entraînant une violation généralisée des données confidentielles des patients.

Ce développement intervient à un moment où le secteur de la santé est confronté à une vague sans précédent de cyberattaques. L'essor des outils de piratage basés sur l'IA a considérablement facilité la tâche des attaquants pour identifier et exploiter des vulnérabilités auparavant difficiles à détecter. Le secteur se remet encore de l'attaque par ransomware de 2024 contre Change Healthcare, qui a entraîné le vol de dossiers appartenant à plus de 192 millions de personnes, soulignant les graves conséquences financières et de confidentialité de telles violations.

Les analystes du secteur suggèrent que la décision d'Epic de suspendre le développement est une mesure proactive, bien que rare, qui reflète l'évolution du paysage des menaces. Alors que les pirates informatiques ciblent de plus en plus les prestataires de soins de santé à des fins d'extorsion, la pression exercée sur les géants du logiciel pour garantir une sécurité inexpugnable n'a jamais été aussi forte. Les conséquences futures de cette pause incluront probablement des protocoles de sécurité plus stricts dans l'ensemble du secteur des technologies de la santé, alors que les entreprises se précipitent pour empêcher l'exploitation de vulnérabilités similaires par des cybercriminels de plus en plus compétents.