Les violations de données résultent souvent d’identifiants compromis, d’applications médicales vulnérables, de services cloud mal configurés ou d’accès non autorisés. Dans ces cas, des données médicales et des informations sur les patients sont exposées ou exfiltrées, ce qui entraîne des conséquences juridiques, une perte de confiance et une atteinte à la réputation.

L’ingénierie sociale consiste à manipuler le personnel médical, le personnel administratif ou des partenaires par le phishing, le vishing, le smishing ou des comptes de messagerie institutionnels compromis afin d’obtenir des identifiants d’accès, d’introduire des logiciels malveillants ou de détourner des paiements.

Les attaquants peuvent usurper l’identité d’autorités de santé, de prestataires de services médicaux, d’organismes nationaux d’assurance maladie ou de dirigeants, en exploitant les circuits internes de validation et les conditions du travail à distance.

Les ransomwares et les logiciels malveillants servent à chiffrer des systèmes, à extraire des données et à perturber les opérations. Les attaques recourent de plus en plus à des mécanismes de “double extorsion”, combinant vol de données et perturbation des systèmes, voire, dans certains cas, attaques DDoS.

Dans de nombreux cas, les attaquants restent un certain temps dans l’infrastructure avant de lancer l’attaque, en cartographiant les systèmes critiques et les sauvegardes. Le délai de déploiement a nettement diminué, avec une moyenne d’environ 24 heures.

Les attaques par ransomware touchent directement les systèmes cliniques (HIS, EHR, EMR), où l’indisponibilité d’un système affecte immédiatement l’activité médicale et l’accès aux données essentielles des patients. Environ 92 % des cas européens combinent chiffrement des fichiers et exfiltration de données.

Les attaques de la chaîne d’approvisionnement consistent à compromettre des applications médicales tierces, des prestataires de services informatiques ou des processus externalisés afin d’accéder indirectement aux hôpitaux et aux cliniques.

Les attaquants exploitent des outils d’administration à distance, des mises à jour logicielles, des services cloud ou des canaux d’échange de données médicales pour contourner les contrôles de sécurité et obtenir un accès légitime au sein du réseau.

Le vol d’identifiants est couramment réalisé au moyen de fausses notifications imitant des communications d’hôpitaux ou d’autorités nationales de santé, dans le but de capturer les identifiants de connexion.

Les attaques comprennent aussi des redirections par QR code vers des pages malveillantes et l’utilisation d’infostealers (p. ex. RedLine, Vidar) pour collecter automatiquement les identifiants. On observe également une tendance croissante à la vente en ligne d’identifiants de santé compromis, y compris d’accès VPN ou RDP aux réseaux hospitaliers.

Une cyberattaque contre l’hôpital AZ Monica a entraîné des pannes des systèmes informatiques et limité l’activité médicale.

Plus de 70 opérations chirurgicales ont été annulées et des patients ont été transférés vers d’autres établissements. L’accès aux dossiers médicaux électroniques était indisponible et le rétablissement a pris environ un mois. Ce cas met en évidence l’impact direct des pannes de systèmes sur les opérations médicales.

Une attaque par ransomware contre Synnovis, prestataire de services de laboratoire pour les hôpitaux du NHS à Londres, a directement affecté les capacités de diagnostic de plusieurs unités médicales.

Plus de 1 100 interventions ont été annulées et la capacité de traitement des laboratoires a fortement diminué. Parallèlement, environ 400 Go de données médicales ont été exfiltrées et publiées, la restauration complète des systèmes étant estimée à plus de 17 mois.

Une attaque par ransomware visant la plateforme HIS Hipocrate a touché plusieurs établissements médicaux en Roumanie, se propageant rapidement faute de segmentation.

Les données ont été chiffrées dans 26 hôpitaux, tandis que plus de 100 établissements ont été déconnectés par précaution. Dans certains cas, l’activité médicale est temporairement revenue à des processus manuels. La rançon (~3,5 BTC) n’a pas été payée. L’incident montre comment l’absence de segmentation permet une propagation rapide à travers plusieurs organisations.

Une cyberattaque contre Change Healthcare a touché plus de 100 millions de personnes et perturbé des processus critiques tels que la facturation et les chaînes d’approvisionnement pharmaceutiques. L’accès initial a été obtenu via des identifiants compromis, ce qui en fait la plus grande violation de données de l’histoire du secteur de la santé.

Entre 2023 et 2024, plusieurs hôpitaux en Europe, notamment au Danemark, en Allemagne et aux Pays-Bas, ont été ciblés par des attaques DDoS coordonnées liées à des groupes prorusses tels que Killnet.

Ces attaques n’ont impliqué ni compromission de systèmes ni exfiltration de données, mais ont affecté la disponibilité de services numériques, dont les plateformes en ligne utilisées par les patients et le personnel.

En définitive, la cybersécurité n’est efficace que lorsque la technologie, les processus et le facteur humain fonctionnent ensemble de manière intégrée. La formation régulière, les simulations d’attaques de phishing et la sensibilisation aux risques jouent un rôle décisif dans la réduction de la surface d’attaque.

Expertware, en partenariat avec la Direction nationale de la cybersécurité (DNSC), organise régulièrement des webinaires axés sur la sensibilisation aux risques dans divers secteurs, le plus récent ayant porté sur le secteur de la santé. La présentation est disponible ici.