Cybersécurité des hôpitaux : les leçons d'une décennie d'attaques

Les établissements de santé ne sont pas devenus plus vulnérables parce qu'ils seraient moins bien protégés qu'avant. Ils le sont davantage parce que leur exposition numérique a augmenté plus vite que leurs défenses, et parce que la valeur de leurs données a explosé aux yeux des criminels. Cette inversion du rapport de force, où la technologie médicale connectée crée autant de risques qu'elle n'apporte de bénéfices, constitue le point de départ de toute analyse sérieuse sur le sujet.

Une transformation numérique qui a élargi la surface d'attaque

Depuis une dizaine d'années, les hôpitaux ont massivement numérisé leurs processus : dossiers patients informatisés, imagerie médicale stockée en réseau, pilotage à distance de certains dispositifs, messageries internes sécurisées. Chaque nouveau service connecté représente une porte d'entrée potentielle pour un acteur malveillant. Les équipements médicaux eux-mêmes, souvent conçus avec des logiciels vieillissants et sans mise à jour régulière, constituent des points faibles difficiles à corriger.

Le passage au cloud et l'interconnexion avec des partenaires extérieurs, laboratoires ou pharmacies, ont encore complexifié l'architecture. Les systèmes d'information hospitaliers sont devenus des ensembles hétérogènes, où cohabitent des technologies récentes et des logiciels hérités. Cette hétérogénéité complique la tâche des équipes de sécurité, qui doivent protéger un périmètre bien plus vaste qu'il y a quinze ans.

Des attaques au mode opératoire rodé et aux conséquences concrètes

Les cyberattaques contre les hôpitaux suivent désormais des schémas bien identifiés. Les rançongiciels arrivent en tête : le logiciel malveillant chiffre les données et paralyse les applications, puis les attaquants exigent une rançon en échange de la clé de déchiffrement. Certaines campagnes combinent vol de données et chiffrement, ce qui permet une double extorsion : payer pour débloquer les systèmes, payer pour éviter la divulgation de données sensibles.

Les conséquences ne se limitent pas à l'informatique. Un blocage du système de rendez-vous, de la gestion des lits ou des résultats d'analyses retarde les prises en charge. Dans les cas les plus graves, des services entiers doivent fermer ou fonctionner en mode dégradé, avec des dossiers papier provisoires. Les données de santé volées, elles, ont une valeur durable sur les marchés illicites, car elles permettent des usurpations d'identité ou des fraudes à l'assurance maladie. Plus de détails sur Espace Aurore.

Les établissements ont réagi en créant des cellules de crise dédiées, en formant le personnel aux gestes de base, comme la reconnaissance des courriels frauduleux, et en isolant les réseaux internes. Ces mesures réduisent l'impact d'une attaque, mais ne suffisent pas à l'empêcher.

Des progrès réels mais inégalement répartis

Les hôpitaux ont considérablement amélioré leur hygiène informatique de base : sauvegardes hors ligne, plans de continuité d'activité, exercices de simulation d'attaque. Les grands centres hospitaliers universitaires disposent souvent d'équipes dédiées, capables de détecter et de contenir une intrusion. Des partages d'information entre établissements permettent de diffuser rapidement les indicateurs de compromission.

Toutefois, cette montée en compétence reste inégale. Les petits hôpitaux et les cliniques privées disposent de budgets et de personnels plus limités. Ils peinent à recruter des experts, très demandés sur le marché du travail. Les équipements médicaux connectés, dont le renouvellement s'étale sur plusieurs années, restent un angle mort : leur sécurité dépend du fabricant, et les correctifs ne sont pas toujours disponibles ou applicables sans interrompre le service.

La réglementation, notamment en Europe avec la directive sur la sécurité des réseaux et des systèmes d'information, impose des exigences minimales et des obligations de signalement. Elle a forcé une prise de conscience, mais son application effective varie selon les pays et les types d'établissements. La cybersécurité hospitalière demeure un chantier permanent, où chaque avancée technique est rattrapée par l'évolution des méthodes d'attaque.