Cyberattaque à l’hôpital : ce qui se passe et ce que vous pouvez faire

Les urgences ne peuvent plus consulter les dossiers, les résultats d’analyse arrivent sur papier et certaines opérations sont reportées. Une cyberattaque à l’hôpital n’a rien d’abstrait pour les patients qui la vivent. Ces dernières années, plusieurs établissements français ont dû fonctionner pendant des jours, voire des semaines, sans leur informatique. Voici ce que disent les chiffres officiels, ce qui se passe pendant une attaque, et ce que vous pouvez faire, en tant que patient, si votre hôpital ou vos données sont touchés.

Combien de cyberattaques visent les hôpitaux en France ?

En 2025, 764 incidents de sécurité informatique ont été déclarés au CERT Santé par les établissements de santé et médico-sociaux, contre 749 en 2024 et 581 en 2023. Le volume se stabilise après une forte hausse, mais la part d’incidents d’origine malveillante augmente, selon l’Agence du numérique en santé (ANS).

Le bilan de l’observatoire publié par l’ANS apporte deux nuances utiles. D’un côté, les attaques par rançongiciel reculent d’environ 30 % en un an, et seuls 2 incidents ont été classés majeurs en 2025, contre 3 en 2024. De l’autre, les compromissions de comptes, les fuites de données et les tentatives d’escroquerie (faux ordre de virement, arnaque au président) gagnent du terrain.

Année	Incidents déclarés au CERT Santé	Évolution
2023	581	stable par rapport à 2022
2024	749	hausse de 29 %
2025	764	quasi stable

Ce tableau montre surtout que la menace se maintient à un niveau élevé.

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) fait le même constat à son échelle. Dans son état de la menace sur le secteur de la santé, publié en novembre 2024, la santé représentait 11,4 % des incidents traités par ses équipes en 2023, contre moins de 3 % en 2020.

Pourquoi les hôpitaux sont-ils des cibles ?

Un hôpital réunit plusieurs faiblesses qui intéressent les attaquants. Il détient des données de santé en grande quantité, il ne peut pas se permettre d’arrêter son activité, et son informatique mêle des logiciels récents à des équipements anciens, parfois difficiles à mettre à jour.

L’ANSSI distingue trois motivations chez les attaquants qui visent le secteur : le gain financier (rançon, revente de données), la déstabilisation et l’espionnage. Le rançongiciel, qui chiffre les fichiers et les rend illisibles jusqu’au paiement d’une rançon, reste la menace la plus visible, parce qu’il peut bloquer un établissement entier.

La porte d’entrée est souvent banale : un courriel piégé ouvert par un agent, un mot de passe réutilisé, un accès à distance mal protégé ou un prestataire informatique lui-même compromis. C’est pourquoi la formation des équipes compte autant que les outils.

Que se passe-t-il concrètement pendant une attaque informatique à l’hôpital ?

Lors d’une attaque informatique à l’hôpital, l’établissement coupe en général ses réseaux pour limiter la propagation, puis bascule en mode dégradé : retour au papier, aux appels téléphoniques et aux fiches manuscrites. Les soins urgents continuent, mais certaines activités sont reportées et des patients peuvent être orientés vers d’autres établissements.

Sur le terrain, les médecins n’ont plus accès aux dossiers informatisés ni à l’imagerie numérique, les résultats de laboratoire doivent être transmis à la main et la prise de rendez-vous en ligne s’arrête. Le SAMU peut diriger les urgences les plus lourdes vers un hôpital voisin le temps de la crise.

Deux exemples l’illustrent. En août 2022, le centre hospitalier Sud Francilien, à Corbeil-Essonnes, a fonctionné plusieurs semaines en mode dégradé après un rançongiciel. En octobre 2025, le centre hospitalier intercommunal de Haute-Comté, à Pontarlier, a vu son système informatique mis à l’arrêt par une attaque du même type.

Le retour à la normale prend du temps. Il faut vérifier chaque serveur, restaurer les sauvegardes, puis rouvrir les logiciels un par un. Pour les équipes, ces semaines sont éprouvantes, et la reprise des activités reportées s’étale souvent bien au-delà de la fin de l’attaque.

Votre hôpital est victime d’une cyberattaque : que faire en tant que patient ?

Si votre hôpital annonce une cyberattaque, ne renoncez pas à vos soins. Appelez le service qui vous suit pour savoir si votre rendez-vous est maintenu, et apportez vos documents papier (ordonnances, comptes rendus, résultats récents). En cas d’urgence, appelez le 15 comme d’habitude : la régulation sait vers quel établissement vous orienter.

1. Appelez le service concerné avant de vous déplacer pour un rendez-vous programmé, plutôt que de compter sur un rappel automatique.
2. Rassemblez vos documents utiles à votre prise en charge, dont la liste de vos traitements en cours.
3. Gardez une copie de vos comptes rendus dans un espace à vous, par exemple votre profil Mon Espace Santé, pour pouvoir les montrer à n’importe quel soignant.
4. Restez attentif aux messages qui évoquent l’attaque. Les escrocs profitent de l’actualité pour envoyer de faux SMS ou courriels.

Vos données de santé ont fuité : les bons réflexes

Quand une attaque s’accompagne d’une fuite de données, l’établissement doit vous prévenir dans les meilleurs délais si la fuite vous expose à un risque. La CNIL rappelle qu’elle ne peut pas confirmer elle-même si vos données figurent dans un fichier piraté. C’est à l’organisme concerné qu’il faut poser la question. Vos droits et les démarches pour les exercer sont expliqués dans notre article sur les données de santé, leur accès et leur protection.

Le risque le plus courant n’est pas la publication de votre diagnostic, mais l’hameçonnage (phishing) : des messages très crédibles, qui citent votre nom, votre hôpital ou votre médecin pour vous soutirer de l’argent ou des codes. La fiche de la CNIL sur les fuites de données résume les réflexes à adopter.

• changer vos mots de passe, en commençant par la messagerie, la banque et les impôts ;
• activer la double authentification quand elle est proposée ;
• ne pas ouvrir les pièces jointes ni cliquer sur les liens des messages suspects ;
• taper vous-même l’adresse officielle du service plutôt que de suivre un lien ;
• porter plainte au commissariat ou à la gendarmerie en cas d’usurpation d’identité, et prévenir votre banque.

La CNIL déconseille aussi les sites qui prétendent vous dire si vous faites partie d’une fuite. Pensez enfin à vos proches âgés ou peu à l’aise avec Internet, souvent les premières cibles de ces arnaques.

Comment les hôpitaux se protègent-ils contre les ransomwares ?

Face aux ransomwares à l’hôpital, la protection repose sur trois piliers : l’obligation de déclarer les incidents, un service national d’appui, le CERT Santé, et un programme de financement, CaRE, qui aide les établissements à se mettre à niveau. S’y ajoutent les sauvegardes, les exercices de crise et la formation des équipes.

L’article L.1111-8-2 du code de la santé publique oblige les établissements de santé, les laboratoires de biologie médicale, les centres de radiothérapie et les établissements médico-sociaux à signaler sans délai leurs incidents graves de sécurité informatique. Le signalement va au CERT Santé, une équipe de l’ANS joignable 24 heures sur 24 en cas d’urgence, qui aide l’établissement à contenir l’attaque. Le rôle de chacun de ces organismes est présenté dans notre article sur les acteurs de la e-santé.

Le programme CaRE (Cybersécurité accélération et résilience des établissements) finance de son côté des actions concrètes. Parmi ses objectifs figure un plan de continuité d’activité qui intègre un scénario d’indisponibilité du numérique, autrement dit savoir comment soigner, admettre et prescrire le jour où plus aucun ordinateur ne fonctionne.

Aucune de ces mesures ne rend un hôpital invulnérable. Leur objectif est plus réaliste : détecter plus tôt, limiter la propagation et reprendre l’activité plus vite.

Cyberattaque à l’hôpital : ce qu’il faut retenir

Une cyberattaque à l’hôpital perturbe d’abord l’organisation des soins, rarement leur continuité pour les urgences. Les chiffres officiels montrent une menace stable mais toujours élevée, avec moins de rançongiciels et davantage de fraudes et de fuites de données.

Votre rôle de patient reste simple. Gardez vos documents importants à portée de main, appelez le service avant un rendez-vous si l’hôpital est touché, et redoublez de prudence face aux messages qui exploitent l’actualité. Les mêmes précautions valent pour les appareils que vous utilisez chez vous, comme l’explique notre guide sur les objets connectés de santé.

Questions fréquentes sur les cyberattaques à l’hôpital

Mon dossier médical peut-il disparaître après une cyberattaque ?

Les hôpitaux conservent des sauvegardes, en principe isolées du réseau principal, pour restaurer leurs données après une attaque. La restauration peut toutefois prendre du temps. C’est une bonne raison de garder vous-même une copie de vos comptes rendus importants.

Comment savoir si mes données font partie d’une fuite ?

L’établissement doit vous informer si la fuite présente un risque pour vous. Vous pouvez aussi lui poser directement la question. La CNIL, elle, ne peut pas vérifier pour vous et déconseille les sites qui prétendent le faire.

Les cliniques privées sont-elles aussi concernées ?

Oui. L’obligation de signaler les incidents graves s’applique aux établissements de santé publics comme privés, ainsi qu’aux laboratoires et aux établissements médico-sociaux. Les observatoires de l’ANS couvrent l’ensemble de ces structures.

Puis-je être indemnisé si mes données de santé ont fuité ?

Une indemnisation est possible lorsqu’un préjudice est démontré, mais elle n’a rien d’automatique. La CNIL consacre une fiche aux cas dans lesquels une personne peut être indemnisée après une violation de données.