Cyberattaques : les structures de santé en france menacées

Entre dossiers patients, dispositifs médicaux connectés et urgences opérationnelles, les structures de santé en France sont devenues des cibles privilégiées : l’article explique pourquoi, comment les attaques se déroulent et quelles protections prioriser pour maintenir la continuité des soins.

Pourquoi les structures de santé en france sont des cibles prioritaires

Les hôpitaux, cliniques et Ehpad concentrent un actif rare et précieux : des données de santé complètes, difficilement remplaçables et revendables sur les marchés clandestins. Contrairement à un numéro de carte bancaire, un dossier patient informatisé ne s’annule pas. Il conserve sa valeur des années durant, ce qui en fait une cible de choix pour les groupes de cybercriminels spécialisés dans le rançongiciel.

À cette valeur intrinsèque s’ajoute une contrainte opérationnelle unique : un établissement de santé ne peut pas s’arrêter. Un service d’urgence, un bloc opératoire ou une unité de réanimation doivent fonctionner en continu, ce qui pousse les victimes à négocier plus vite, ou du moins à subir une pression maximale. Les attaquants le savent et exploitent cette urgence vitale comme un levier de chantage.

Le secteur cumule enfin des faiblesses structurelles bien identifiées par l’ANSSI : budgets informatiques contraints, personnel technique souvent restreint au regard du périmètre à couvrir, et une multiplication des points d’entrée liée aux dispositifs médicaux, aux accès distants et aux sous-traitants. Entre janvier 2021 et mars 2023, plus de la moitié des cyberincidents recensés en Europe par l’ENISA concernaient déjà le secteur de la santé, confirmant une tendance de fond et non un phénomène ponctuel. Cette conjonction de valeur des données, d’urgence opérationnelle et de surface d’attaque étendue explique la fréquence et la diversité des cyberattaques les plus fréquentes et leurs modes opératoires.

Les cyberattaques les plus fréquentes et leurs modes opératoires

Le phishing, porte d’entrée numéro un

La très grande majorité des intrusions commence par un courriel de phishing ciblant un agent administratif, un soignant ou un cadre. Le message imite souvent une facture, une convocation RH ou une alerte de sécurité informatique, et vise à récupérer des identifiants ou à faire exécuter une pièce jointe malveillante. Une fois les identifiants compromis, l’attaquant dispose d’un accès légitime, bien plus difficile à détecter qu’une intrusion technique classique.

Rançongiciels et déroulé type d’une attaque

Le scénario le plus redouté reste le rançongiciel. Il suit généralement une chronologie précise :

• reconnaissance discrète du réseau interne pendant plusieurs jours, voire semaines
• élévation de privilèges et mouvement latéral vers les serveurs critiques
• exfiltration de données sensibles avant chiffrement, pour doubler la pression
• chiffrement massif des systèmes, souvent déclenché la nuit ou le week-end

Cette progression explique pourquoi les attaques par rançongiciel ont encore augmenté de 10 % en 2023 : elles sont devenues un modèle économique rodé, avec des groupes structurés qui automatisent une partie de la chaîne d’attaque.

Vulnérabilités techniques et chaîne d’approvisionnement

L’exploitation de failles non corrigées sur des serveurs exposés reste une méthode complémentaire, tout comme la compromission de prestataires. Une plateforme d’hébergement de données de santé, un éditeur de logiciel métier ou un fournisseur de maintenance informatique peuvent devenir le maillon faible exploité pour atteindre plusieurs établissements simultanément. Cette diversité des modes opératoires a des conséquences directes sur les soins, les patients et la continuité d’activité.

Impacts sur les soins, les patients et la continuité d’activité

Des soins directement perturbés

Lorsqu’un système d’information hospitalier tombe, les conséquences sont immédiates : reports d’actes chirurgicaux non urgents, redirection de patients vers d’autres établissements, retour temporaire au papier pour la prescription et le suivi. Ce basculement, souvent activé via le plan blanc, ralentit considérablement les prises en charge et augmente le risque d’erreurs, notamment dans la traçabilité des traitements médicamenteux.

Un impact financier et réputationnel durable

Le coût moyen d’une violation de données de santé a atteint 10,93 millions de dollars en 2023, un record pour la treizième année consécutive selon les études internationales. Ce montant intègre les frais de remédiation technique, les pertes d’exploitation, les éventuelles sanctions liées au RGPD et l’érosion de la confiance des patients. Une attaque récente sur des mutuelles, début 2026, a d’ailleurs exposé les données personnelles de près de la moitié de la population française, illustrant l’ampleur que peuvent prendre ces incidents lorsqu’ils touchent la chaîne de sous-traitants du secteur santé.

Au-delà des chiffres, c’est la relation de confiance entre patients et établissement qui se fragilise durablement. Ces impacts multiples trouvent leur origine dans des fragilités spécifiques du système d’information hospitalier qu’il convient désormais de détailler.

Les fragilités spécifiques du système d’information hospitalier

Un parc applicatif hétérogène et vieillissant

Un hôpital fait cohabiter des dizaines d’applications métier, parfois installées depuis quinze ou vingt ans, interconnectées avec le dossier patient informatisé sans toujours respecter les standards de sécurité actuels. Cette obsolescence rend le patch management complexe : mettre à jour un logiciel peut interrompre un service critique, ce qui pousse à repousser des correctifs pourtant indispensables.

Dispositifs médicaux et IoT médical difficiles à sécuriser

Les pompes à perfusion connectées, moniteurs de surveillance ou scanners fonctionnent souvent sous des systèmes d’exploitation qui ne peuvent plus être mis à jour sans perdre leur certification médicale. Le IoT médical constitue ainsi un angle mort persistant, invisible pour de nombreuses équipes informatiques traditionnelles.

Comptes à privilèges, postes partagés et accès distants

Les postes de soins partagés entre plusieurs soignants, les comptes génériques ou les accès distants de télémaintenance multiplient les risques de compromission. Une gestion des identités et des accès insuffisamment cloisonnée permet à un attaquant, une fois entré, de circuler très largement sur le réseau. La dépendance croissante aux sous-traitants et aux services cloud, notamment pour l’hébergement de données de santé, ajoute une couche supplémentaire de complexité et de risque, chaque prestataire devenant un point d’entrée potentiel dans la chaîne d’approvisionnement globale. Face à ce constat, des mesures prioritaires de cybersécurité doivent être déployées sans freiner les équipes soignantes.

Mesures prioritaires de cybersécurité à déployer sans freiner les équipes

Sécuriser la donnée avant tout

La règle de sauvegarde 3-2-1, avec au moins une copie hors ligne et des tests de restauration réguliers, reste la meilleure garantie de reprise rapide après un rançongiciel. Sans restauration testée, une sauvegarde n’a aucune valeur opérationnelle en situation de crise.

Cloisonner et authentifier

• segmentation réseau pour isoler les dispositifs médicaux du reste du système d’information
• authentification multifacteur généralisée, en priorité sur les comptes à privilèges
• gestion des identités et des accès révisée pour supprimer les comptes génériques inutiles
• durcissement des serveurs exposés et patch management priorisé sur les vulnérabilités critiques

Détecter et former en continu

Une supervision de sécurité capable de repérer un mouvement latéral avant le chiffrement change radicalement l’issue d’une attaque. La sécurisation de la messagerie, couplée à une sensibilisation ciblée du personnel soignant et administratif au phishing, réduit mécaniquement le nombre d’incidents initiaux. Cybermalveillance.gouv.fr propose des ressources adaptées à ces campagnes de sensibilisation.

Encadrer les sous-traitants

Chaque contrat avec un prestataire ou un hébergeur de données de santé doit intégrer des exigences de sécurité vérifiables, des clauses d’audit et des engagements de continuité. Cette rigueur contractuelle prépare aussi la structure à réagir efficacement le jour où survient malgré tout un incident.

Que faire en cas d’attaque: réaction, communication et obligations

Les premiers réflexes techniques

Isoler immédiatement les systèmes compromis, sans les éteindre brutalement pour préserver les preuves numériques, constitue la priorité absolue. L’activation d’une cellule de crise, en lien avec le plan blanc, permet de coordonner la continuité des soins pendant que les équipes techniques travaillent à l’endiguement de l’attaque.

S’appuyer sur les acteurs de référence

L’ANSSI et le CERT-FR apportent un accompagnement technique précieux pour qualifier l’attaque et orienter la remédiation. Cybermalveillance.gouv.fr reste également un point d’entrée utile pour les structures de plus petite taille, comme certains Ehpad ou cliniques disposant de moyens informatiques limités.

Notification et conformité

Une violation de données de santé impose des obligations strictes au titre du RGPD, avec notification à la CNIL et, selon la gravité, information des patients concernés. Ces démarches doivent s’articuler avec la déclaration auprès de l’assureur cyber et, le cas échéant, un dépôt de plainte. Le retour d’expérience post-incident, souvent négligé, constitue pourtant l’étape la plus rentable pour progresser en maturité et éviter la répétition des mêmes failles.

Face à des menaces qui ne cessent de se sophistiquer, la cybersécurité hospitalière n’est plus une option technique périphérique mais une condition de la qualité et de la continuité des soins.