En bref

  • Le groupe Krybit RaaS a revendiqué le 2 août 2026 une attaque contre ProHealth Medical Group (11 cliniques à Singapour)
  • 114 Go de données médicales et administratives auraient été exfiltrés selon la publication sur le site de fuite du groupe
  • Krybit, actif depuis début 2026, cible préférentiellement le secteur de la santé en zone Asie-Pacifique

Les faits

Le 2 août 2026, le site de fuite de données du groupe Krybit affichait une nouvelle victime : ProHealth Medical Group Pte Ltd, l'un des principaux prestataires de soins primaires de Singapour. Fondé en 1990, ProHealth exploite 11 cliniques à travers l'île, offrant des services de médecine générale, de médecine du travail et de soins préventifs à plusieurs centaines de milliers de patients. La revendication fait état de l'exfiltration de 114 Go de données, sans préciser si des systèmes ont simultanément été chiffrés — une ambiguïté fréquente dans les revendications RaaS qui pratiquent parfois la double extorsion (chiffrement et menace de publication des données).

Krybit est un groupe de ransomware identifié pour la première fois par les chercheurs en sécurité au début de l'année 2026. Il opère selon un modèle Ransomware-as-a-Service structuré, recrutant des affiliés techniques pour déployer ses charges malveillantes dans les réseaux cibles en échange d'une commission sur les rançons perçues. Ce modèle, popularisé par des groupes comme LockBit, BlackCat ou Clop, abaisse considérablement la barrière à l'entrée pour les cybercriminels et démultiplie la capacité de ciblage du groupe central qui développe et maintient le code du ransomware sans nécessairement réaliser les intrusions lui-même.

La plateforme d'intelligence sur les menaces DeXpose a documenté que Krybit affiche une prédilection marquée pour les cibles du secteur de la santé dans la zone Asie-Pacifique. Selon les analyses publiées par FemtoSec, un autre incident impliquant Krybit a également touché le Delhi Heart and Lung Institute en Inde, confirmant l'orientation sectorielle et géographique du groupe. Cette spécialisation sectorielle n'est pas anodine : les établissements de santé traitent des données médicales hautement sensibles, réglementées par des législations strictes (PDPA à Singapour, HIPAA aux États-Unis, RGPD en Europe), dont la valeur sur les marchés clandestins est particulièrement élevée et durable dans le temps.

Les données médicales constituent en effet l'une des catégories les plus prisées sur les forums cybercriminels. Contrairement aux données financières qui peuvent être invalidées rapidement par les établissements concernés, les données médicales — antécédents, diagnostics, traitements, numéros d'identification nationaux, coordonnées d'assurance — restent exploitables pendant des années. Elles permettent notamment des fraudes à l'assurance maladie, du chantage ciblé sur des patients souffrant de pathologies sensibles, de l'usurpation d'identité médicale pour obtenir des prescriptions frauduleuses, et du ciblage d'individus vulnérables dans d'autres escroqueries. Sur les marchés clandestins, un dossier médical complet se négocie entre 10 et 1 000 dollars selon sa richesse, soit 10 à 50 fois la valeur d'un numéro de carte bancaire.

Au 14 août 2026, ProHealth Medical Group n'avait publié aucun communiqué officiel confirmant ou infirmant l'attaque et l'étendue réelle de la violation. Cette absence de communication est préoccupante : la Personal Data Protection Act (PDPA) de Singapour impose aux organisations de notifier la Personal Data Protection Commission (PDPC) dans les meilleurs délais en cas de violation significative de données personnelles. Un délai excessif peut entraîner des sanctions substantielles, en plus de nuire gravement à la confiance des patients envers l'établissement.

La plateforme ransomware.live, qui suit en temps réel les publications des groupes actifs, indique que Krybit a multiplié ses revendications depuis son émergence début 2026, avec une cadence d'attaques qui s'accélère trimestre après trimestre. Ce profil de croissance rapide est caractéristique des groupes RaaS disposant d'un code de ransomware mature et d'un réseau d'affiliés en expansion. RedPacket Security et BreachSense soulignent que les établissements de santé en Asie-Pacifique investissent proportionnellement moins en cybersécurité que leurs homologues américains ou européens, tout en traitant des volumes croissants de données médicales numérisées — une asymétrie que les groupes RaaS exploitent de manière systématique.

SharkStriker, dans son rapport mensuel sur les violations de données d'août 2026, positionne l'incident Krybit/ProHealth parmi les plus significatifs du mois. Un volume de 114 Go peut représenter des millions de dossiers patients complets selon le format et la structure des données — fichiers texte de consultations, images radiologiques, résultats d'examens biologiques, coordonnées et informations d'assurance. À Singapour, où ProHealth opère 11 cliniques dans un contexte de densité urbaine élevée, l'exposition potentielle de patients est considérable.

L'incident illustre une tendance persistante documentée depuis 2019 : les établissements de santé, de la grande clinique universitaire à la structure de soins primaires de taille intermédiaire, sont des cibles prioritaires pour les groupes ransomware. En France, les attaques contre le CHU de Rouen (2019), l'hôpital de Villefranche-sur-Saône (2021), l'AP-HP (2021) et l'hôpital de Corbeil-Essonnes (2022) ont démontré la réalité et la gravité de cette menace. La prolifération des modèles RaaS augmente mécaniquement la fréquence des attaques contre des cibles de taille intermédiaire insuffisamment protégées.

Impact et exposition

Les établissements de santé, cliniques, laboratoires et hôpitaux de toutes tailles sont des cibles prioritaires pour les groupes RaaS dans le monde entier. La France n'est pas épargnée : le CERT Santé recense plusieurs dizaines d'incidents significatifs par an dans le secteur de la santé français. La médecine de ville — cabinets libéraux, cliniques privées, centres de soins — reste le segment le moins mature en termes de cybersécurité, avec des ressources IT limitées et une sensibilisation insuffisante aux risques cyber spécifiques au secteur.

Recommandations

  • Tester et valider le plan de sauvegarde et de restauration (PCA/PRA) — des sauvegardes isolées du réseau (air-gap ou immuables) sont indispensables pour la résilience ransomware
  • Segmenter le réseau pour isoler les systèmes de gestion des dossiers médicaux (DMP/SIH) du reste du SI et de l'accès Internet direct
  • Déployer une solution EDR avec détection comportementale des ransomwares sur l'ensemble des postes et serveurs
  • Former régulièrement le personnel médical et administratif à la détection des tentatives de phishing, principal vecteur d'entrée documenté
  • Vérifier les obligations de notification en cas d'incident : 72h pour notifier la CNIL sous le RGPD, signalement à l'ANSSI et au CERT Santé en France

Comment Krybit accède-t-il initialement aux réseaux de ses victimes ?

Comme la majorité des groupes RaaS, Krybit s'appuie sur ses affiliés pour réaliser l'intrusion initiale. Les vecteurs les plus fréquemment documentés incluent le phishing ciblé avec pièces jointes malveillantes, l'exploitation de VPN et de passerelles d'accès distant vulnérables (Fortinet, Citrix, Pulse Secure), l'achat d'accès initiaux auprès d'Initial Access Brokers sur des forums clandestins, et l'exploitation de services exposés sans authentification forte comme RDP ou des portails web non patchés. La médecine de ville, avec ses ressources IT limitées, est particulièrement vulnérable au phishing et aux équipements de télémaintenance mal configurés.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit