Cybersécurité des hôpitaux : ce que les attaques changent concrètement

Un hôpital victime d'une attaque par rançongiciel ne perd pas seulement des données : il perd sa capacité à admettre des patients, à prescrire et à communiquer entre services. Les autorités sanitaires françaises recensent chaque année plusieurs dizaines de signalements d'incidents informatiques touchant des établissements de santé, et la tendance reste orientée à la hausse. Derrière ces chiffres, ce sont des organisations entières qui basculent en mode dégradé, parfois pendant plusieurs semaines.

Pourquoi les hôpitaux sont des cibles particulières

Un établissement de santé cumule plusieurs facteurs qui le rendent vulnérable. Il dispose de systèmes d'information anciens, souvent construits par couches successives, où cohabitent logiciels métiers, équipements biomédicaux connectés et postes de travail bureautiques. Cette hétérogénéité complique la mise à jour coordonnée des correctifs de sécurité.

La pression opérationnelle joue également. Les équipes soignantes ont besoin d'accéder vite aux dossiers patients, ce qui pousse à multiplier les comptes partagés et les accès distants. Chaque accès supplémentaire élargit la surface d'attaque. À cela s'ajoute une contrainte de disponibilité : un service de soins ne peut pas être interrompu pour maintenance, ce qui retarde parfois l'application de correctifs critiques.

Le mode opératoire des attaquants exploite cette situation. Le rançongiciel chiffre les serveurs et les sauvegardes, puis exige un paiement. Certains groupes revendiquent aussi le vol de données médicales, dont la valeur sur les marchés criminels tient à leur caractère sensible et durable. Un dossier médical ne se périme pas comme un numéro de carte bancaire.

Les conséquences concrètes sur la prise en charge

Lorsqu'un système d'information hospitalier est paralysé, la première conséquence est le retour au papier. Les admissions sont enregistrées manuellement, les résultats de laboratoire circulent par téléphone ou par fax, les prescriptions sont rédigées à la main. Ce mode dégradé fonctionne quelques heures, difficilement quelques jours.

Les transferts de patients vers d'autres établissements deviennent alors fréquents, notamment pour les urgences et les activités programmées. Les blocs opératoires peuvent voir leur planning réduit faute d'accès aux dossiers et aux imageries. Les consultations non urgentes sont reportées. Ces reports produisent un effet de rattrapage les semaines suivantes, sur des équipes déjà fragilisées.

La restauration des systèmes prend du temps. Il faut isoler les machines compromises, reconstruire les serveurs à partir de sauvegardes saines, puis vérifier l'intégrité des données restaurées. Les établissements concernés décrivent souvent plusieurs semaines de fonctionnement partiel, avec des conséquences administratives qui s'étendent bien au-delà du rétablissement technique.

Ce que cela implique pour les usagers et les professionnels

Pour un patient, l'incident se traduit d'abord par un délai. Un rendez-vous annulé, une analyse à refaire, une ordonnance à récupérer autrement. Il arrive aussi que des données personnelles soient exposées : identité, motif de consultation, traitements en cours. Les établissements sont alors tenus d'informer les personnes concernées et de signaler l'incident à la commission nationale de l'informatique et des libertés.

Pour les professionnels de santé, la cybersécurité devient une compétence de travail à part entière. Les bonnes pratiques diffusées par les autorités reposent sur quelques principes simples :

• utiliser un compte nominatif plutôt qu'un compte partagé de service ;
• signaler sans délai un message suspect ou un comportement anormal d'un poste ;
• activer la double authentification lorsqu'elle est proposée sur les accès distants ;
• ne pas brancher de support amovible non contrôlé sur un poste hospitalier.

Ces mesures ne suffisent pas à elles seules. Elles réduisent la probabilité qu'un incident isolé se transforme en compromission générale. Les établissements les plus avancés combinent ces règles avec une segmentation du réseau, une sauvegarde déconnectée et des exercices de crise réguliers. À consulter également : Montagne Haut Languedoc.

Les limites doivent être dites. Beaucoup d'hôpitaux de taille moyenne disposent de moyens informatiques restreints et d'équipes réduites. La cybersécurité entre alors en concurrence directe avec d'autres investissements, matériels ou humains. Les petites structures, notamment les cabinets libéraux et les maisons de santé, présentent des niveaux de protection très variables et constituent un maillon souvent moins surveillé.

La question du paiement des rançons reste discutée. Les autorités françaises déconseillent le paiement, qui finance les groupes criminels sans garantir la récupération des données. Certains dirigeants d'établissement y voient pourtant une option de dernier recours face à l'arrêt des soins. Le débat porte moins sur le principe que sur la préparation en amont : sauvegardes testées, procédures de continuité d'activité et coordination avec les autorités régionales de santé.

La sécurité des systèmes hospitaliers ne se joue donc pas uniquement dans les serveurs. Elle dépend de l'organisation des soins, de la formation des personnels et de la capacité des établissements à anticiper une panne prolongée. Les incidents récents ont au moins un effet utile : ils rendent cette dépendance visible auprès du grand public.