Tribune : l’essor des cyberattaques contre les établissements de santé depuis 2020

Les cyberattaques contre les établissements de santé, n’ont fait qu’augmenter à l’échelle mondiale depuis le pic notable de 2020 lors la pandémie de COVID-19, révélant ainsi des failles structurelles majeures imposant dorénavant des priorités dans la cybersécurité de ce secteur vital.

En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) avait mis ainsi en évidence une augmentation des intrusions ciblées, durant l’année 2020 souvent menées par des groupes criminels exploitant la vulnérabilité accrue des hôpitaux en situation de crise (1). La valeur « financière » des données de santé et la dépendance croissante des hôpitaux aux technologies numériques en font dorénavant des cibles de choix pour les cybercriminels (2,3).

Des cyberattaques de plus en plus fréquentes en France…

Les hôpitaux en France sont dorénavant régulièrement la cible de cyberattaques et l’on peut citer les plus récentes ayant eu lieu entre 2021 et 2024, confirmant la vulnérabilité persistante du secteur face aux Cybermenaces.

L’hôpital de Dax a été victime en février 2021 d’une attaque par rançongiciel qui a paralysé son système informatique pendant plusieurs semaines, compromettant la continuité des soins et nécessitant une reconstruction complète des infrastructures numériques (4).

Le Centre Hospitalier Sud Francilien (CHSF) de Corbeil-Essonnes en Août 2022 a été victime d’une attaque par rançongiciel qui a paralysé ses systèmes informatiques, perturbant gravement les services de soins et qui a eu des répercussions prolongées. De plus les données volées ont été diffusées sur le Dark Web, exposant des informations sensibles sur les patients et le personnel (5).

En mars 2023, le CHRU de Brest a subi une cyberattaque perturbant ses systèmes informatiques. Les services ont dû fonctionner en mode dégradé, avec un retour temporaire aux procédures papier, affectant la prise en charge des patients et la coordination des soins (6).

Le 16 avril 2024, l’Hôpital de Cannes – Simone Veil a subi une attaque par rançongiciel menée par le groupe Lock bit. Les cybercriminels ont exigé une rançon pour déchiffrer les données compromises. Face au refus de l’établissement de céder au chantage, environ 60 giga-octets de données internes ont été publiés en ligne le 1er mai 2024. Ces informations comprenaient principalement des documents administratifs, avec peu de données relatives aux patients (7).

Enfin très récemment, le 22 novembre 2024, un cybercriminel, connu sous le pseudonyme Near2tlg, a publié en ligne une base de données contenant les informations personnelles et médicales de 758 912 personnes. Les données exposées incluent les coordonnées personnelles (nom, adresse, téléphone, etc.), des détails médicaux (ordonnances, médecins traitants, déclarations de décès) et des identifiants externes. L’attaque semble cibler le groupement Aléo Santé, qui regroupe 12 établissements, notamment des cliniques et des EHPAD. L’enquête pointe une compromission via un compte mal sécurisé, probablement en raison d’un mot de passe faible (8).

Mais pourquoi les établissements de santé sont-ils de plus en plus ciblés ?

Actuellement, les données concernant des carte de crédit ou les accès à des comptes bancaires ont une « durée de vie » très limitée, qui se termine dès que la victime se rend compte qu’elle a été piratée. C’est pour cette raison que le prix moyen d’une carte bancaire compromise est d’environ 25 $ sur le Dark Web (9).

En revanche, les données des dossiers médicaux sont une ressource qui contiennent des informations d’une part beaucoup plus pérennes et surtout très riches en informations. En effet, en dehors des informations médicales sensibles pouvant être utilisées pour faire chanter des victimes, ils contiennent, surtout de très nombreuses données administratives pour permettre des fraudes à l’assurance, voire des vols d’identité.

Tout comme les autres données volées, le coût des dossiers médicaux est soumis aux mêmes dynamiques des marchées et évolue selon l’offre et la demande. En 2021 on estimait que le prix moyen d’un dossier médical complet pouvait atteindre entre 250 $ et 350 $ sur le Dark Web (9).

Des objectifs donc essentiellement financiers dans la revente des données volées mais qui passent le plus souvent par la demande d’une rançon

Les cyberattaquants, utilisent le plus souvent des rançongiciels qui exploitent la dépendance des hôpitaux à leurs systèmes numériques. Ces logiciels malveillants chiffrent les données, rendant les systèmes inopérants jusqu’au paiement d’une rançon. Les cybercriminels parient sur l’urgence des soins et sur l’incapacité des hôpitaux à fonctionner sans accès à leurs données, les incitant à payer rapidement.

Ainsi, selon un rapport de la société Coveware spécialisée dans la négociation de ce type de rançons, 60 % des hôpitaux ciblés en 2020 auraient versé des rançons mais cela reste « secret » et l’ANSSI n’a pas connaissance des montants des rançons demandées (10).

La pandémie de COVID-19 a exacerbé cette tendance, les hôpitaux étant sous pression, ce qui les rendaient plus susceptibles de payer des rançons pour rétablir rapidement leurs systèmes (11).

Ils existent aussi des motifs idéologiques et politiques. Outre les motivations financières, certains groupes que nous détailleront par la suite, souvent affiliés à des États, ciblent les hôpitaux pour des raisons stratégiques. L’objectif est de déstabiliser un système de santé ou de collecter des informations sensibles à des fins de renseignement. Ces groupes sont souvent associés à des états cherchant à déstabiliser des institutions publiques (12).

Pourquoi les hôpitaux sont-ils des cibles « faciles » ?

Les établissements de santé sont particulièrement vulnérables aux cyberattaques en raison de leur architecture informatique assez ancienne et de leurs contraintes spécifiques d’une ouverture vers l’internet.

Une infrastructure informatique hétérogène et vieillissante. Les systèmes d’information (SI) des hôpitaux sont malheureusement souvent anciens et hétérogènes, intégrant une multitudes de différents logiciels spécifiques selon les spécialités médicales. Ces SI combinent ainsi des technologies modernes avec des équipements obsolètes. Par exemple, de nombreux appareils médicaux fonctionnent encore sur des systèmes d’exploitation non mis à jour, comme Windows XP, qui ne bénéficie plus de support de sécurité (13).

Une interconnexion et dépendance au numérique. Cette complexité est accentuée par une ouverture vers Internet indispensable pour le partage de données et la télémaintenance d’équipements critiques tels que les IRM et les scanners ainsi que les automates des laboratoires. Cette obligation de télémaintenance augmente ainsi la surface d’attaque, offrant aux cybercriminels de multiples points d’entrée (14).

De faibles investissements en cybersécurité. Le point sensible et paradoxal reste la contrainte budgétaire des hôpitaux qui limite paradoxalement le niveau des dépenses en cybersécurité. Une étude de PwC en 2022 révélait que seuls 6 % des budgets IT hospitaliers en Europe étaient consacrés à la sécurité, bien en deçà des normes recommandées pour des secteurs aussi critiques (15).

Ainsi, la combinaison de systèmes obsolètes, d’une interconnexion nécessaire et de ressources limitées en cybersécurité rend les hôpitaux particulièrement vulnérables aux cyberattaques.

Mais qui sont les cyberattaquant ?

Les cyberattaques contre les hôpitaux sont perpétrées par des acteurs aux motivations diverses qui varient du profit financier à des objectifs politiques ou idéologiques.

 Les hackers “black hat”

Un black hat (chapeau noir) est un hacker mal intentionné, par opposition aux white hats, qui sont les hackers aux bonnes intentions recrutés par exemple comme consultant en cybersécurité. Ces termes auraient pour origine les films de western, où le héros ou le shérif porte un chapeau blanc tandis que le bandit porte un chapeau noir. Ces hackers “black hat” sont principalement motivés par le gain financier, utilisant des rançongiciels pour extorquer de l’argent aux établissements de santé (16). Les rançongiciels sont leur méthode privilégiée, car ils offrent un retour sur investissement rapide.

Les groupes APT (Advanced Persistent Threats)

Ces groupes sont en général beaucoup plus structurés et regroupent des cyberattaquants hautement qualifiés. Ils sont le plus souvent soutenus par des États et mènent des campagnes d’intrusion prolongées et ciblées. Leur objectif principal est l’espionnage, le sabotage ou le vol d’informations sensibles. Ces groupes se distinguent par leur capacité à pénétrer discrètement des systèmes informatiques, à y maintenir une présence prolongée et à exfiltrer des données sans être détectés (2,3).

Pourquoi cette terminologie « APT » :

• Advanced (Avancé): Ils utilisent des outils, techniques et stratégies sophistiqués pour pénétrer les systèmes. Cela inclut l’utilisation de vulnérabilités zero-day**, de malwares sur mesure et de techniques avancées d’ingénierie sociale. Ils évoluent constamment pour contourner les défenses, souvent avec des ressources importantes à leur disposition, souvent fournies par des États-nations.
• Persistent (Persistant) : Ces groupes maintiennent leur accès aux systèmes infiltrés pendant de longues périodes, parfois des mois ou des années. Leur objectif n’est pas de causer un impact immédiat, mais de collecter discrètement des données sensibles ou de perturber des opérations critiques de manière stratégique.
• Threat (Menace) : Ils représentent une menace sérieuse car leurs cibles sont souvent des infrastructures critiques : gouvernements, hôpitaux, entreprises technologiques, industries stratégiques. Leurs motivations incluent l’espionnage, le sabotage, le vol de données ou encore des actions géopolitiques (cyber-espionnage ou déstabilisation).

** Dans le domaine de la sécurité informatique, une faille zero-day est une vulnérabilité informatique n’ayant fait l’objet encore d’aucun correctif.

Les hacktivistes

Enfin, des cyberattaquant de type «hacktivistes» peuvent cibler les hôpitaux pour des raisons idéologiques, protestant contre certaines politiques de santé ou pratiques médicales (12).
Les hacktivistes, motivés par des idéologies politiques ou sociales, ciblent parfois les hôpitaux pour dénoncer certaines pratiques médicales ou attirer l’attention sur des causes spécifiques.

Quelles sont les différents types d’attaques utilisées par les hackers ciblant les hôpitaux

Les cyberattaques contre les hôpitaux exploitent une variété de techniques sophistiquées, adaptées à des objectifs spécifiques tels que le sabotage, l’extorsion ou le vol de données. Ces méthodes incluent des approches classiques comme le phishing et des tactiques plus avancées comme les ransomwares ou les attaques par déni de service distribué (DDoS). Voyons les principaux types d’attaques utilisées.

Le « Phishing » : La porte d’entrée des cyberattaques 

Le phishing est une méthode d’ingénierie sociale où les hackers envoient des courriels frauduleux pour inciter les victimes à divulguer des informations sensibles ou à installer des logiciels malveillants. Il s’agit de l’attaque la plus fréquente dans les hôpitaux. Les courriels usurpent souvent l’identité d’organisations légitimes, comme l’Agence Régionale de Santé (ARS) ou des fournisseurs médicaux, pour tromper les employés.

Le courriel contient un lien vers une page imitant un portail de connexion légitime, collectant ainsi les identifiants des utilisateurs. Une fois les identifiants compromis, les hackers accèdent aux systèmes critiques pour voler des données ou déployer des malwares (2,3).

Le Spear Phishing : Une variante ciblée et redoutable

Contrairement au phishing classique, le Spear Phishing cible des individus spécifiques, comme des directeurs d’hôpitaux ou des responsables informatiques. Les hackers mènent des recherches approfondies sur leurs cibles via les réseaux sociaux ou des bases de données fuitées. Les courriels sont alors hyper-ciblés, augmentant leur crédibilité. Un courriel prétendant provenir d’un fournisseur de logiciels d’imagerie médicale demandant une mise à jour critique. Le Spear Phishing peut permettre l’installation de logiciels espions (Spyware) ou l’accès à des réseaux sensibles, facilitant des attaques ultérieures comme les ransomwares.

Les Attaques par déni de service (DoS) et par déni de service distribué (DDoS) 

Ces attaques visent à submerger les systèmes informatiques d’un hôpital pour les rendre inaccessibles. Lors d’une attaques DoS, une seule source envoie un volume massif de requêtes à un serveur, le surchargeant. En revanche lors d’une attaque DDoS, ce sont des centaines voire des milliers d’appareils (souvent des objets connectés piratés) qui participent à l’attaque, rendant la défense encore plus complexe. En 2020, les Assistance publique – Hôpitaux de Paris (AP-HP) hôpitaux européens ont subi une attaque DDoS perturbant l’accès à la messagerie ainsi que l’accès externe aux applications (17).

Les Ransomwares : L’arme favorite contre les hôpitaux 

Le ransomware chiffre les données d’un système, rendant les fichiers inaccessibles jusqu’au paiement d’une rançon. Ces attaques exploitent souvent des vecteurs comme le phishing ou des vulnérabilités non corrigées. Une fois infiltré, le malware identifie et chiffre les données critiques, parfois en quelques minutes. Les ransomwares provoquent non seulement des pertes financières mais aussi des interruptions majeures des soins. L’attaque contre l’hôpital de Düsseldorf en 2020, où un ransomware a paralysé les systèmes, entraînant la mort indirecte d’une patiente transférée d’urgence (18).

Le Spyware : L’espionnage furtif 

Le spyware est conçu pour surveiller et collecter des informations sensibles sans être détecté. Les cibles hospitalières sont les identifiants des employés, les informations des patients et les données financières. Le spyware s’installe via des pièces jointes infectées ou des logiciels piratés.

Les Chevaux de Troie : Le piège numérique 

Les chevaux de Troie se déguisent en logiciels légitimes pour tromper les utilisateurs et accéder aux systèmes critiques et peut se présenter comme une mise à jour pour un logiciel de gestion hospitalière. Une fois installé, il donne aux hackers un accès complet au système.

Les attaques contre les hôpitaux ne se limitent pas à une seule méthode ; elles combinent souvent plusieurs techniques pour maximiser leur efficacité. Par exemple, une campagne de phishing peut servir de point d’entrée pour un cheval de Troie, suivi d’un ransomware ou d’un spyware. La diversité des approches reflète la sophistication croissante des cybercriminels et leur capacité à exploiter les vulnérabilités des systèmes hospitaliers.

Quelles solutions pour protéger les hôpitaux ?

Face à la montée des cybermenaces, plusieurs initiatives ont été mises en place pour renforcer la cybersécurité des hôpitaux. L’ANSSI a publié des guides et des recommandations pour aider les établissements de santé à sécuriser leurs systèmes d’information (19).

Les Agences Régionales de Santé (ARS) ont également lancé des programmes de sensibilisation et de formation pour le personnel hospitalier, afin de renforcer la vigilance face aux cybermenaces. De plus, des investissements ont été réalisés pour moderniser les infrastructures informatiques des hôpitaux et mettre en place des solutions de cybersécurité avancées. Cependant, malgré ces efforts, il reste essentiel de maintenir une vigilance constante et de continuer à investir dans la cybersécurité pour protéger efficacement les établissements de santé contre les cyberattaques.

Un renforcement des infrastructures 

L’étude menée par l’agence de l’Union Européenne pour la cybersécurité (ENISA) révèle que seules 27% des organisations du secteur de la santé interrogées disposent d’un programme de défense contre les ransomwares et 40% n’ont pas de programme de sensibilisation à la sécurité destiné aux équipes métier (20,21). Enfin, une autre étude du NIS Cooperation Group indique que 95% des organismes de santé interrogés sont confrontés à des difficultés lors de l’évaluation des risques et 46% n’ont même jamais réalisé ce travail d’analyse. Les besoins du secteur en matière de cybersécurité apparaissent évidents (21).

Une formation et sensibilisation 

La majorité des cyberattaques exploitent des erreurs humaines. Former le personnel hospitalier à identifier les menaces, comme les courriels de phishing, est une priorité. Le programme CaRE (Cybersécurité accélération et Résilience des Établissements) a été mis en place pour renforcer la résilience des systèmes d’information hospitaliers face aux cybermenaces. Ce programme vise un double objectif :  éviter que les attaques aboutissent et permettre aux établissements de s’en relever le plus rapidement possible. Il s’agit d’un plan d’action ambitieux pour la période 2023 – 2027 qui se décline en 4 axes : gouvernance et résilience, ressources et mutualisation,  sensibilisation  et sécurité opérationnelle.

Il propose un accompagnement personnalisé aux établissements, incluant des audits de sécurité, des formations pour le personnel et des recommandations pour l’amélioration des infrastructures informatiques (22). Ce programme vise à instaurer une culture de la cybersécurité au sein des hôpitaux et à les préparer à faire face aux attaques potentielles.

Une modernisation des SI 

Les Agences Régionales de Santé (ARS), en collaboration avec le ministère de la Santé, ont lancé les programmes HOP’EN et HOP’EN 2 pour accompagner la transformation numérique des établissements de santé. HOP’EN était un programme qui visait à moderniser les systèmes d’information hospitaliers en se concentrant sur des domaines clés tels que la gestion des identités, la sécurité des systèmes et l’interopérabilité des données. Il a permis aux hôpitaux de bénéficier de financements pour la mise en place de solutions numériques sécurisées et adaptées aux besoins des patients et des professionnels de santé.

HOP’EN 2, lancé en 2024, poursuit les objectifs du premier programme en mettant l’accent sur le développement des usages numériques et l’amélioration de la prise en charge des patients. Il encourage notamment le partage sécurisé des données de santé et la simplification des processus métiers au sein des établissements (23).

Les experts Visiteurs Numériques (EVN) de la Haute Autorité de Santé (HAS) 

La Haute Autorité de Santé (HAS) a introduit les Experts Visiteurs Numériques (EVN) dans le cadre des certifications des établissements de santé. Ces experts sont chargés d’évaluer la maturité numérique des hôpitaux, en mettant un accent particulier sur la sécurité des systèmes d’information. Leur mission inclut la sensibilisation des équipes aux risques cyber, l’évaluation des dispositifs de protection en place et la formulation de recommandations pour renforcer la sécurité informatique. L’intégration des EVN dans le processus de certification reflète la reconnaissance de l’importance cruciale de la cybersécurité dans la qualité des soins et la sécurité des patients (24).

Conclusion

Les établissements de santé sont devenus des cibles privilégiées pour les cybercriminels en raison de la valeur élevée des données médicales qu’ils détiennent qui sont particulièrement prisées sur le Dark Web, où elles se vendent à des prix élevés. Face à la montée des cybermenaces, les établissements de santé Français bénéficient d’un soutien accru de la part des institutions nationales. Les interventions de l’ANSSI, les programmes HOP’EN 2 et CaRE des ARS, ainsi que l’implication des Experts Visiteurs Numériques de la HAS, constituent des initiatives essentielles pour renforcer la résilience des hôpitaux et assurer la protection des données sensibles des patients. Il est impératif que ces efforts se poursuivent et s’intensifient pour faire face à l’évolution constante des cybermenaces dans le secteur de la santé.

Dr Didier Mennecier
Service de Santé des Armées

---

Références :

1. Secteur de la santé : état de la menace informatique. ANSSI. 7 novembre 2024.https://www.cert.ssi.gouv.fr/uploads/CERTFR-2024-CTI-010.pdf
2. Cyberattaques et hôpital. Didier Mennecier. Médecine de Catastrophe – Urgences Collectives. 2020;4(4):327-330. https://www.sciencedirect.com/science/article/abs/pii/S1279847920300859?via%3Dihub
3. Le cardiologue est-il concerné par les cyberattaques ? Didier Mennecier. Archives des Maladies du Cœur et des Vaisseaux – Pratique, 2018(269):19-21. https://www.sciencedirect.com/science/article/abs/pii/S1261694X18301226?via%3Dihub
4. 30 hôpitaux français ciblés par des cyberattaques. Vincent Grethen. Techopedia. 12 Novembre 2024. https://www.techopedia.com/fr/cyberattaques-30-hopitaux-francais
5. Ransomware en France : 30 hôpitaux ont été attaqués en deux ans. Florian Bayard. 01net. 8 novembre 2024. https://www.01net.com/actualites/ransomware-30-hopitaux-ont-ete-attaques-france-deux-ans.html
6. 30 hôpitaux français victimes d’un ransomware en 2 ans, d’après ce rapport de l’ANSSI. Florian Burnel. It-connect. 07 Novembre 2024. https://www.it-connect.fr/30-hopitaux-francais-victimes-ransomware-en-2-ans-rapport-anssi/
7. Le groupe Lockbit publie des données piratées de l’hôpital de Cannes. Le Monde. 3 mai 2024. https://www.lemonde.fr/pixels/article/2024/05/03/le-groupe-lockbit-publie-des-donnees-piratees-de-l-hopital-de-cannes_6231329_4408996.html?utm
8. 750 000 fichiers et dossiers patients sensibles français en fuite sur le Dark Web, que se passe-t-il ? Alexandre Boero. Clubic. 19-22 novembre 2024. https://www.clubic.com/actualite-544139-fichiers-et-dossiers-patients-sensibles-francais-en-fuite-sur-le-dark-web-que-se-passe-t-il.html
9. The Conundrum of Health Care Security Spending. Michael Ash. Security intelligence. 2 Mai 2017. https://securityintelligence.com/the-conundrum-of-health-care-security-spending/
10. Dharma Ransomware Recovery Rates Fall as Ransom Demands Skyrocket. Coverware. 21 Mars 2019. https://www.coveware.com/blog/dharma-ransomware-datarecovery-rates-are-decreasing-as-ransom-demands-increase
11. Hôpitaux, Cned…, la France touchée par les cyberattaques. Martin Régley. Le Point 13 Avril 2021. https://www.lepoint.fr/sciences-nature/hopitaux-cned-la-france-touchee-par-les-cyberattaques-13-04-2021-2421868_1924.php
12. Pourquoi les pirates informatiques ciblent le secteur de la santé. Maxime Fayolle. Cellule investigation de Radio France. 23 avril 2021. https://www.radiofrance.fr/franceculture/pourquoi-les-pirates-informatiques-ciblent-le-secteur-de-la-sante-9559739
13. Milieux hospitaliers : des systèmes hyper sensibles aux cyberattaques. Marco Genovese. Stormshield 26 Juin 2023. https://www.stormshield.com/fr/actus/milieux-hospitaliers-des-systemes-hyper-sensibles-aux-cyberattaques/
14. La cybersécurité dans les établissements de santé : les défis d’une transformation inévitable. Nicolas Dayez. Oversoc. 30 Novembre 2023. https://www.oversoc.com/ressources/article/la-cyber-securite-dans-le-secteur-hospitalier-les-defis-dune-transformation-inevitable
15. PricewaterhouseCoopers France https://www.pwc.fr/
16. Face cachée des cybercriminels : quelles sont leurs motivations réelles ? Julien D. Hubone. 24 août 2023. https://www.hubone.fr/oneblog/face-cachee-des-cybercriminels-quelles-sont-leurs-motivations-reelles/
17. L’AP-HP touchée par une attaque en déni de service. Dominique Filippone. Le monde informatique. 23 Mars 2020. https://www.lemondeinformatique.fr/actualites/lire-l-ap-hp-touchee-par-une-attaque-en-deni-de-service-78531.html
18. Un mort après une cyberattaque contre un hôpital en Allemagne. Coralie Lemke. Sciences et Avenir. 21 Septembre 2020. https://www.sciencesetavenir.fr/high-tech/web/un-mort-apres-une-cyberattaque-contre-un-hopital-en-allemagne_147570
19. La cybersécurité : un enjeu majeur pour les établissements de santé. Ministère de la Santé. 6 Août 2024 https://sante.gouv.fr/systeme-de-sante/e-sante/sih/dossier-cybersecurite/article/la-cybersecurite-un-enjeu-majeur-pour-les-etablissements-de-sante
20. La cybersécurité dans les établissements de santé. Sarah Salis. Harfanglab. 4 novembre 2024. https://harfanglab.io/fr/blog/strategie/cybersecurite-secteur-sante/
21. Health Threat Landscape. ENISA. 5 Juillet 2023. https://www.enisa.europa.eu/publications/health-threat-landscape
22. Présentation du programme CaRE. Agence Numérique en Santé (ANS). 19 Décembre 2023. https://esante.gouv.fr/espace-presse/presentation-du-programme-care
23. Le programme HOP’EN 2. Ministère de la Santé. 30 Septembre 2024. https://sante.gouv.fr/systeme-de-sante/e-sante/sih/programme-hop-en/article/hopen-2
24. La HAS recrute 174 experts-visiteurs numériques. GCSARA 21 Août 2023. https://www.sante-ara.fr/la-has-recrute-174-experts-visiteurs-numeriques/