Les codes QR sont un double

Mary Blackowiak est directrice de la gestion et du développement de produits pour le portefeuille de sécurité des points finaux et mobiles chez AT&T Cybersecurity. Elle possède plus de 15 ans d'expérience en marketing B2B et en gestion de produits dans le domaine de la haute technologie, notamment chez Forcepoint, NSS Labs et Best Buy for Business.

Dans la quête d’une prestation de soins de santé personnalisée, pertinente et plus immédiate, l’automatisation de processus sélectionnés est un moyen de relever le défi. La rationalisation de l'échange de données entre les prestataires et les patients a des applications formidables, telles que l'accès à des informations sur un diagnostic ou une éducation au bien-être. Une façon de diriger les patients vers ces informations consiste à utiliser un code QR (voir cet exemple d'une organisation de soins de santé rurale du sud-ouest de l'Iowa).

Un code QR est un code-barres 2D utilisé pour accéder rapidement aux informations en ligne, généralement via l'appareil photo d'un smartphone. Les codes QR ont été inventés au Japon en 1994 pour étiqueter les pièces automobiles, ajoutant ainsi rapidité et précision à ce processus. Aujourd'hui, les codes QR peuvent être trouvés sur tout, des produits de boulangerie aux menus de restaurant, en passant par les publicités télévisées et les affiches. Ils sont faciles à générer et destinés à diriger les utilisateurs vers un emplacement Web spécifique pour partager ou collecter des informations pertinentes.

Utiliser un code QR pour accéder à des informations présente un risque relativement faible. Les patients ont tendance à participer passivement aux scénarios de soins de santé. Cependant, après avoir scanné un code pour la collecte de données, les patients peuvent se voir demander des informations personnelles pour planifier ou se préinscrire à un rendez-vous. À ce stade, alors que les patients partagent des informations privées avec un collecteur de données, le risque lié à l'utilisation de codes QR devient exceptionnellement élevé. Le patient n'a aucun moyen de vérifier que le collecteur de données est légitime.

Cliquez sur la bannièreci-dessous pour explorer la confiance zéro et ses avantages pour les soins de santé.

Voici comment fonctionne cette arnaque : un code QR est remplacé par un clone qui redirige les utilisateurs vers un faux site Web qui semble légitime : des logos et des formulations dupliqués, suffisamment similaires à ceux d'un site de confiance. Une fois qu'un patient arrive et commence à fournir des données, celles-ci sont interceptées par de mauvais acteurs. Ces escroqueries par scan ont été multipliées par sept en 2022 par rapport aux années précédentes.

De faux codes QR sont également utilisés dans les campagnes de courrier électronique sortant, encourageant les patients à scanner un code QR redirigeant vers des sites illégitimes visant à collecter des informations personnelles ou des informations de connexion. Des informations telles que les antécédents médicaux, les informations de sécurité sociale, l'identification personnelle, l'accès aux portails des patients, etc. sont collectées et potentiellement vendues sur le dark web.

En termes de cybersécurité, les codes QR sont considérés comme faisant partie de la surface d’attaque globale. C'est juste une chose de plus dont il faut s'inquiéter. Dans le même temps, le personnel de communication souhaite les utiliser et forme les patients à adopter des cyber-comportements dangereux en leur demandant de faire confiance à quelque chose qui semble anodin. C'est frustrant : les codes QR apportent une réelle valeur ajoutée lorsqu'ils sont utilisés efficacement, mais ils ne seront jamais sans risque.

La simple facilité d’engagement avec les patients et la possibilité pour les prestataires de mettre facilement à jour les informations créent une expérience fluide et quasiment en temps réel. Bien qu'il soit possible de générer des codes QR avec des fonctionnalités de sécurité (telles que l'authentification unique, l'authentification multifacteur, etc.), chaque étape supplémentaire supprime la simplicité d'utilisation d'un code QR pour diriger les patients vers des informations critiques.

Les cyber-adversaires tenteront de compromettre les codes QR, car le volume de codes, combiné à la base d'utilisateurs ciblés qui en dépend, constitue une cible juteuse. La tâche des équipes informatiques de santé est de déjouer les cyber-adversaires et de garantir que les codes QR utilisés sont moins susceptibles d'être falsifiés.

EXPLORER:Conseils sur la façon de sécuriser les appareils mobiles dans le secteur des soins de santé.

Réduisez la possibilité pour les cyber-adversaires de capturer les données des patients en leur enseignant de bonnes habitudes en matière de cybersécurité. Voici plusieurs bonnes pratiques que les patients devraient suivre lorsqu’ils interagissent avec les codes QR :

Les créateurs de codes QR peuvent aider en faisant appel à des sociétés qui proposent une génération sécurisée de codes QR et la possibilité de personnaliser le domaine avec la marque de l'établissement de santé. Définissez une politique pour l'organisation et assurez-vous que tous les membres de l'équipe savent où obtenir les codes approuvés.