Le secteur de la santé, sanctuaire de l’humanité et de la technologie médicale, se trouve aujourd’hui en première ligne d’un conflit invisible mais dévastateur : celui des cyberattaques. En 2026, l’escalade de ces agressions numériques transforme hôpitaux, cliniques et EHPAD en champs de bataille pour les données, où l’enjeu dépasse largement la simple fuite d’informations. Chaque intrusion, chaque rançongiciel déployé, met directement en péril la continuité des soins, la sécurité des patients et la stabilité financière d’établissements déjà sous pression. Les conséquences sont palpables, allant de la perturbation des services à l’arrêt complet des systèmes informatiques, forçant un retour à des méthodes archaïques et chronophages. Comprendre pourquoi cette industrie, si vitale, est devenue une cible privilégiée est la première étape pour bâtir une défense robuste et résiliente face à une menace qui ne cesse de s’intensifier, redéfinissant les priorités de la cybersécurité nationale.
Une cible de choix pour les cybercriminels : l’ampleur de la menace
Le secteur de la santé est devenu un véritable aimant pour les cybercriminels, une réalité alarmante confirmée par les chiffres. En 2025, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) rapportait que les établissements de santé représentaient à eux seuls 10 % des 1 366 incidents numériques recensés, les plaçant au troisième rang des secteurs les plus ciblés en France. Cette position peu enviable se situe juste derrière l’éducation, la recherche et les ministères et collectivités territoriales. L’attrait pour ce domaine s’explique par la valeur inestimable des données qu’il détient et par des vulnérabilités souvent exploitables.
Toutes les structures concernées : des CHU aux EHPAD
L’idée que seules les grandes infrastructures hospitalières, comme les Centres Hospitaliers Universitaires (CHU), seraient la cible de ces attaques est une illusion dangereuse. En réalité, la menace est universelle, frappant indistinctement les petites cliniques et les EHPAD. Une enquête de l’Agence du numérique en santé (ANS) publiée en 2026 révèle que 15 % des établissements ont rencontré un incident cyber perturbant leur fonctionnement entre 2022 et 2025. Les structures de moins de 100 lits, bien que légèrement moins touchées, n’échappent pas à cette tendance, avec 12 % d’incidents déclarés sur la même période. Cette statistique souligne la nécessité d’une vigilance accrue et de solutions de sécurité adaptées à toutes les tailles d’établissements, car la fragilité est une constante.
Les conséquences concrètes : au-delà des pertes financières
Les cyberattaques dans le milieu hospitalier ne se limitent pas à des dégâts matériels ou financiers ; elles ont des répercussions directes et souvent dramatiques sur la qualité de la prise en charge médicale. Elles peuvent interrompre la continuité des soins, dégrader la qualité de vie au travail du personnel, et surtout, compromettre la sécurité des patients. Les motivations derrière ces actes malveillants sont principalement financières, avec une recrudescence de l’utilisation de rançongiciels, souvent accompagnés de double, voire triple, extorsion. Cette dernière méthode consiste à chiffrer les données, menacer de les divulguer, puis tenter d’extorquer également les partenaires ou clients de l’établissement visé. De plus, les attaquants utilisent de plus en plus fréquemment des logiciels grand public détournés pour s’infiltrer sans alerter les systèmes antivirus, rendant la détection encore plus ardue.
Chroniques d’attaques : exemples récents et leçons tirées
Pour illustrer la gravité de la situation, plusieurs incidents récents ont marqué le secteur de la santé en France. Ces exemples concrets révèlent la diversité des tactiques employées par les cybercriminels et les conséquences multiples qu’elles engendrent. En 2025, trois franchises de rançongiciels se sont distinguées par leur activité : Qilin, impliquée dans 21 % des attaques, Akira avec 9 %, et Lockbit 3.0, responsable de 5 % des incidents, démontrant une menace variée et persistante qui nécessite une veille constante.
L’arrêt forcé du Centre hospitalier intercommunal de Haute-Comté
Dans la nuit du 18 au 19 octobre 2025, le Centre hospitalier intercommunal de Haute-Comté a été la cible d’une attaque par cryptolocker, un type de rançongiciel. Face au chiffrement partiel de ses données, la direction a pris la décision radicale d’arrêter l’intégralité de son système informatique pour limiter la propagation. Les cybercriminels, liés au groupe « Inc Ransom », ont utilisé le logiciel de prise de contrôle à distance Anydesk, une technique courante appelée « Living off the Land », qui permet d’infiltrer des systèmes en exploitant des outils légitimes, évitant ainsi la détection par les antivirus traditionnels. Malgré la préservation de la continuité des soins, l’arrêt complet des systèmes a forcé le personnel soignant à retourner aux dossiers papier, un processus chronophage qui a impacté la prise en charge des patients et la gestion des dossiers médicaux. Les conséquences financières sur la facturation de l’activité ont été considérables, illustrant la cascade de problèmes engendrés par une telle intrusion.
Les données de Cerballiance et MonLogicielMedical.com exposées
Le 25 mars 2026, le réseau de 700 laboratoires de biologie médicale Cerballiance a subi une cyberattaque via un serveur externe, entraînant la divulgation de nombreuses données confidentielles : états civils, numéros de sécurité sociale, comptes rendus d’analyses et identifiants de connexion. La réactivité de Cerballiance, alertant les autorités, désactivant les mots de passe et fermant le serveur infiltré, a été immédiate. Cet incident n’est pas isolé ; Cerballiance avait déjà été victime en mars 2025, signalant un intérêt croissant des cybercriminels pour les données de santé. Cette récurrence révèle également que la sécurité des entreprises est menacée par la multiplicité des équipements connectés à leur réseau, dont la maîtrise n’est pas toujours totale. Simultanément, fin 2025, le logiciel MonLogicielMedical.com, utilisé par près de 4 000 médecins libéraux, a révélé des données de 11 à 15 millions de patients, incluant des informations administratives et des données médicales confidentielles de 169 000 patients. Cette affaire soulève de sérieuses questions sur la gestion des données par Cegedim Santé, l’éditeur du logiciel, déjà sanctionné par la Cnil en septembre 2024 pour des traitements de données sans autorisation.
Anatomie de la vulnérabilité : pourquoi le secteur de la santé est une cible facile
La fragilité du secteur de la santé face aux cyberattaques ne relève pas du hasard. Elle s’explique par une conjonction de facteurs structurels et humains qui créent un environnement propice aux intrusions. Ce secteur est intrinsèquement un gisement de données personnelles et médicales de grande valeur, ce qui en fait une cible particulièrement attractive. Cependant, au-delà de cet attrait évident, des lacunes internes et externes amplifient sa vulnérabilité, transformant chaque point faible en une porte d’entrée potentielle pour les acteurs malveillants.
Les brèches techniques et les mauvaises pratiques de sécurité
Les mauvaises pratiques de sécurité structurelles sont monnaie courante et souvent exploitées. L’ANSSI met en lumière l’usage fréquent d’infostealers, des logiciels capables de dérober identifiants et mots de passe directement depuis les navigateurs des employés, facilitant l’accès aux réseaux hospitaliers via des VPN peu sécurisés. L’absence d’authentification multifactorielle (MFA) sur les comptes VPN reste une faille majeure, permettant aux pirates de s’introduire avec un simple mot de passe. Les attaques contre la chaîne logistique ou d’approvisionnement représentent également un risque croissant : en compromettant un prestataire ou un fournisseur de logiciels, les cybercriminels peuvent infiltrer indirectement les systèmes hospitaliers. Avec la sous-traitance grandissante pour la gestion des lits ou des dossiers patients, la maîtrise de l’ensemble des équipements intégrés aux réseaux diminue, affaiblissant la sécurité globale. L’externalisation des données et l’adoption des logiciels en mode SaaS (Software as a Service) contribuent aussi à cette hausse des compromissions. La vulnérabilité des équipements de sécurité de bordure, tels que les pare-feux ou les passerelles anti-spam, est un autre point critique. Sans oublier les interfaces d’administration souvent exposées sur Internet, offrant aux attaquants un accès direct pour contourner les systèmes d’authentification. Il est crucial pour les établissements d’analyser attentivement ces vecteurs de menace pour renforcer leur posture défensive, comme le détaille cet article sur les causes et conséquences des cyberattaques en milieu hospitalier.
Le facteur humain : un maillon faible souvent sous-estimé
Le personnel soignant, bien que dévoué, est souvent mal préparé à gérer une cyberattaque. Des réactions précipitées, comme la déconnexion brutale de serveurs, peuvent causer des dommages opérationnels plus importants que l’attaque elle-même, en affectant le redémarrage et le fonctionnement des systèmes. Le manque de formation à la sécurité est une faiblesse majeure : les arnaques au faux support informatique ciblent directement les employés, les incitant à télécharger des logiciels de prise en main à distance comme Anydesk, comme ce fut le cas lors de l’attaque du Centre hospitalier intercommunal de Haute-Comté. La « MFA fatigue » est une autre technique d’ingénierie sociale, où les pirates bombardent la victime de demandes d’authentification multifactorielle jusqu’à ce qu’elle cède par inattention. L’ANSSI insiste sur l’importance de réaliser des audits complets, incluant les prestataires, et de mettre à jour rapidement les correctifs de sécurité pour contrer ces menaces. La fragilité du secteur de la santé face aux cyberattaques est un défi constant, comme le rappelle cet article sur les défis rencontrés par les établissements de santé.
Vers une cyber-résilience accrue : les réponses réglementaires et préventives
Face à l’ampleur de la menace, la prise de conscience collective et les initiatives pour renforcer la cybersécurité des infrastructures de santé sont essentielles. Les autorités nationales et européennes ont intensifié leurs efforts pour doter le secteur de cadres réglementaires plus stricts et de moyens de prévention efficaces. Cependant, la route vers une résilience totale est encore longue, car l’investissement dans la prévention reste marginal : 60 % des établissements y consacrent moins de 5 % de leur budget d’investissement informatique, un chiffre alarmant qui témoigne du chemin à parcourir. Il est impératif que les hôpitaux réévaluent ces priorités budgétaires pour assurer une protection adéquate.
La directive NIS2 : une harmonisation européenne indispensable
Adoptée en janvier 2023 à l’échelle européenne, la directive NIS2 (Network and Information Security 2) est une réponse majeure pour renforcer la cybersécurité des établissements de santé et médico-sociaux. Entrée en vigueur en 2026, elle harmonise les exigences de sécurité au sein de l’Union Européenne, obligeant les entités concernées à formaliser leur approche de la cybersécurité. Cela implique d’impliquer directement la direction, de nommer un Responsable Sécurité des Systèmes d’Information (RSSI), d’identifier et de documenter régulièrement les risques. La directive insiste également sur la sécurité opérationnelle, via des systèmes d’authentification robustes et le chiffrement des données, ainsi que sur la mise en place de procédures claires pour la notification des incidents aux autorités compétentes et en interne. Enfin, elle impose d’anticiper la continuité des activités et la reprise après incident, tout en renforçant la sécurité et le contrôle des prestataires, fournisseurs et sous-traitants. NIS2 est un levier puissant pour élever le niveau de protection général du secteur.
Le Cyber Resilience Act (CRA) : sécurité dès la conception des produits
Complétant la directive NIS2, le Cyber Resilience Act (CRA) entrera en application le 11 septembre 2026, avec une ambition claire : garantir la sécurité des produits numériques dès leur conception. Cette réglementation imposera aux fournisseurs de produits commercialisés en Europe de signaler toutes les vulnérabilités activement exploitées et les incidents pouvant affecter leur sécurité. Cela concerne un large éventail de produits, des caméras de surveillance aux équipements informatiques et logiciels utilisés dans les établissements de santé. Le 11 décembre 2027 marquera une nouvelle étape, obligeant les fournisseurs à recenser, documenter, tester et corriger rapidement les failles de leurs produits, ainsi qu’à communiquer sur les vulnérabilités corrigées à chaque mise à jour. Le CRA marque une véritable révolution, intégrant la cybersécurité comme une exigence intrinsèque tout au long du cycle de vie des produits, renforçant ainsi la sécurité globale des systèmes d’information.
Au-delà des cadres réglementaires, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) continue de préconiser des mesures préventives fondamentales. Il est crucial de réaliser des audits larges qui intègrent non seulement les systèmes internes mais aussi ceux des prestataires et sous-traitants, afin d’obtenir une vision exhaustive du niveau de sécurité. La mise à jour rapide des correctifs de sécurité demeure l’une des défenses les plus efficaces face aux risques émergents. Pour les hôpitaux, cela se traduit par une stratégie proactive et une culture de la cybersécurité qui imprègne toutes les couches de l’organisation.
- Renforcer la formation continue du personnel aux risques cyber et aux bonnes pratiques (hameçonnage, MFA fatigue).
- Mettre en place et imposer l’authentification multifactorielle (MFA) sur tous les accès sensibles, notamment les VPN.
- Réaliser des audits de sécurité réguliers et complets, couvrant les systèmes internes et les prestataires externes.
- Isoler les interfaces d’administration et les équipements de sécurité de bordure du reste d’Internet.
- Établir un plan de réponse aux incidents clair et testé, avec des procédures de notification aux autorités compétentes.
- Allouer un budget suffisant à la cybersécurité, en intégrant les investissements nécessaires dans les infrastructures et la formation.
