Epic, le géant technologique connu pour son logiciel MyChart permettant l’accès aux données médicales des patients, a suspendu la plupart de ses développements produits dans le but de renforcer ses mesures de cybersécurité face aux menaces potentielles. Cette décision intervient alors que l’entreprise cherche à protéger ses systèmes suite à l’identification de failles de sécurité par un modèle avancé d’intelligence artificielle dédié à la cybersécurité.
Judy Faulkner, fondatrice et PDG d’Epic, a déclaré le mois dernier que cette pause dans le développement pourrait durer jusqu’à six semaines, les efforts se concentrant sur la « protection » des produits de l’entreprise. Le modèle d’IA d’Anthropic, nommé Mythos, a mis en évidence des vulnérabilités pouvant permettre un accès non autorisé aux informations des patients.
Bien que les détails spécifiques concernant ces failles n’aient pas été révélés, Stirling Martin, directeur de la sécurité d’Epic, a indiqué au New York Times que certaines configurations de MyChart pourraient potentiellement permettre des violations sans laisser de trace d’intrusion. De plus, il a mentionné qu’il n’était pas certain que la faille puisse être exploitée pour modifier des dossiers patients de manière indétectable, mais le risque a nécessité une action immédiate.
MyChart gère actuellement plus de 320 millions de dossiers de patients à travers les hôpitaux et les établissements de santé des États-Unis. Bien qu’Epic affirme ne pas avoir accès direct aux données médicales de ses clients, qui relèvent de la responsabilité des prestataires de santé, la présence de failles non corrigées représente un risque significatif qui pourrait permettre aux hackers d’infiltrer plusieurs systèmes et d’accéder à des informations sensibles.
La décision inhabituelle de suspendre le développement pour traiter les vulnérabilités de sécurité témoigne des préoccupations croissantes en matière de cybersécurité dans le secteur de la santé. La montée en puissance des outils d’IA capables d’identifier et d’exploiter des failles de sécurité augmente considérablement le potentiel de violations de données, suscitant des craintes quant à la capacité des attaquants à obtenir plus facilement des données sensibles.
Les violations de données de santé se sont multipliées ces dernières années, les hackers ciblant des informations médicales précieuses, souvent convaincus que les prestataires de santé seraient prêts à payer des sommes importantes pour éviter la divulgation publique de ces données. Un exemple notoire est l’attaque par ransomware sur Change Healthcare en 2024, une entreprise responsable du traitement des paiements pour de nombreux Américains, dans laquelle les hackers ont accédé aux données de santé de plus de 192 millions d’individus. Il a été rapporté que l’entreprise a payé les attaquants à plusieurs reprises pour empêcher la publication de ces données volées.
Cette année a vu une série de violations de données touchant des millions d’Américains en raison de vulnérabilités au sein de diverses entreprises de santé et de technologie. Ces incidents incluent le vol de dossiers médicaux de CareCloud, ainsi que de grandes quantités de données patients provenant de McKesson, en plus de violations touchant la société de technologie de santé basée au Royaume-Uni, Craneware.
Le Département de la santé et des services humains a actuellement identifié la violation chez la compagnie d’assurance dentaire DentaQuest, affectant 15 millions de personnes, comme l’incident lié à la santé le plus significatif de l’année 2026 jusqu’à présent.
