Cyberattaque hôpital : pourquoi la santé reste une cible facile, et par où
ça entre

Dans la nuit du 20 au 21 août 2022, le centre hospitalier Sud Francilien de Corbeil-Essonnes bascule en mode dégradé. Blocs, laboratoire, imagerie, dossier patient informatisé : tout repasse au papier, les admissions et la chirurgie programmée sont réorientées vers les établissements voisins, sans transfert des patients déjà hospitalisés. Le groupe LockBit 3.0 revendique et réclame 10 millions de dollars, montant ramené à 2 millions au fil de la négociation, un million pour la destruction des données et un million pour l'outil de restauration. L'hôpital refuse de payer. Le 23 septembre, une archive de 11,7 Go étiquetée "Part1", donc un premier lot et non l'exfiltration complète, est publiée : comptes rendus médicaux, résultats de laboratoire, numéros de sécurité sociale. Selon les éléments rendus publics par la suite, le point d'entrée n'était ni un exploit inédit ni un zero-day : l'attaquant s'est connecté au VPN de l'établissement, vers le 10 août, avec le compte d'un tiers externe à l'hôpital, soit une dizaine de jours avant le chiffrement.

Ce détail résume à peu près tout le sujet. Une cyberattaque d'hôpital ne ressemble presque jamais à ce que le grand public imagine. Il n'y a pas de faille exotique dans un respirateur, pas de pirate qui prend la main sur une pompe à perfusion : il y a un identifiant valide, un accès distant joignable depuis internet, et un annuaire technique qui laisse remonter jusqu'aux droits d'administration.

Pourquoi l'hôpital est une cible structurellement facile

On lit souvent que les hôpitaux seraient "en retard" en cybersécurité. L'explication n'aide pas à agir. Un établissement de santé est un système d'information dont plusieurs couches échappent, par construction, aux pratiques de durcissement habituelles.

• Un parc biomédical qu'on ne patche pas librement. Un scanner, une console d'échographie ou un automate de biologie relèvent des règlements européens 2017/745 et 2017/746 selon leur nature : les deux premiers sont des dispositifs médicaux au sens du règlement 2017/745, applicable depuis le 26 mai 2021, le troisième un dispositif de diagnostic in vitro, explicitement exclu de ce règlement par son article 1er §6 a) et couvert par le règlement 2017/746, applicable depuis le 26 mai 2022. Dans les deux cas, le logiciel embarqué fait partie de la configuration validée par le fabricant, et un correctif appliqué unilatéralement sort l'appareil de son cadre de maintenance. En pratique : un équipement dont la durée d'amortissement est de dix à quinze ans cohabite avec des systèmes d'exploitation dont le support s'est arrêté depuis longtemps, et la DSI n'a pas la main pour y remédier seule.
• Des accès distants fournisseurs qui ne se ferment jamais. La télémaintenance n'est pas un confort, c'est la condition du contrat de support. Éditeur du dossier patient, intégrateur du PACS, fabricant de l'automate, prestataire de la GTB : chacun veut son tunnel, son compte de service, sa fenêtre d'intervention. Multipliez par le nombre de fournisseurs d'un centre hospitalier et vous obtenez une surface d'attaque qui n'appartient à personne. C'est la logique de l'attaque par la chaîne d'approvisionnement appliquée à la santé, et c'est le type d'accès qui a servi au centre hospitalier Sud Francilien : une connexion VPN avec le compte d'un tiers externe à l'établissement.
• Un Active Directory plat. La plupart des grands établissements ont grandi par agrégation, et leur annuaire porte encore la trace de ces fusions : un domaine unique, des comptes de service à privilèges partagés entre applications métier, des mots de passe d'administration locale identiques d'une machine à l'autre. Un attaquant qui obtient un accès de bureau n'a alors plus grand-chose à faire pour devenir administrateur du domaine. Ce n'est pas un hasard si le programme national CaRE a fait des annuaires techniques l'un des deux volets de son premier appel à financement, celui du domaine 1.
• Une continuité de soins qui interdit l'arrêt. Dans une entreprise, on planifie une fenêtre de maintenance le dimanche matin. Dans un hôpital, il n'y a pas de dimanche matin : les urgences, la réanimation et la biologie tournent en continu, et redémarrer un serveur de résultats en pleine nuit se négocie avec des chefs de service. Cette contrainte pousse mécaniquement le correctif vers le bas de la pile des priorités, et elle explique aussi pourquoi les attaquants savent que la pression sera maximale : un établissement en mode dégradé déprogramme des interventions.

Cyberattaque hôpital : ce que montrent les cas français documentés

La France dispose d'une chronologie publique assez fournie. Lue dans l'ordre, elle raconte une évolution : du chiffrement massif vers le vol de données discret.

2019   15 nov.    CHU de Rouen                 rançongiciel Clop, retour au papier
2021   09 fév.    CH de Dax                    rançongiciel Ryuk
2021   15 fév.    HNO Villefranche-sur-Saône   rançongiciel Ryuk
2022   21 août    CHSF Corbeil-Essonnes        LockBit 3.0, 11,7 Go publiés
2023   09 mars    CHRU de Brest                intrusion stoppée avant chiffrement
2024   29 janv.   Viamedis puis Almerys        33 millions de personnes (CNIL)
2024   16 avril   CH de Cannes-Simone Veil     LockBit, 61 Go publiés
2025   26 juin    Hôpital privé de la Loire    accès via un compte usurpé
2026   25 mars    Cerballiance                 intrusion via un prestataire externe
2026   mai        Almerys, à nouveau           15,4 millions de NIR uniques

2019-2021 : l'ère du chiffrement massif

Le 15 novembre 2019, le CHU de Rouen est chiffré par le rançongiciel Clop, rattaché avec prudence par l'ANSSI au mode opératoire TA505. Le rapport publié une semaine plus tard, CERTFR-2019-CTI-009, écrit que ces attaques "semblent être le résultat" de ce mode opératoire ; il porte sur Clop en général et ne cite aucun établissement, l'association avec Rouen venant de travaux de chercheurs privés. L'établissement fonctionne plusieurs jours en mode papier, et cet épisode devient la référence française du genre. Un peu plus d'un an après, deux établissements tombent coup sur coup : le centre hospitalier de Dax dans la nuit du 8 au 9 février 2021, puis l'Hôpital Nord-Ouest de Villefranche-sur-Saône dans la nuit du 14 au 15 février 2021, tous deux par le rançongiciel Ryuk. C'est cette série qui précipite l'annonce, le 18 février 2021, de l'"accélération de la stratégie nationale" de cybersécurité, un plan déjà en préparation. Attention à ne pas confondre les enveloppes : le plan cyber pèse un milliard d'euros, dont la part santé se compte en dizaines de millions par le canal de l'ANSSI, environ 25 millions. Les 350 millions fléchés vers le renforcement des établissements sanitaires et médico-sociaux relèvent d'une enveloppe distincte annoncée le même jour, prise sur les 2 milliards du Ségur consacrés au numérique en santé.

2022-2026 : la donnée devient le vrai butin

Le cas de Corbeil-Essonnes, décrit plus haut, marque la bascule vers la double extorsion : on chiffre, mais surtout on a exfiltré avant, et le refus de payer se solde par une publication. Le scénario se répète presque à l'identique le 16 avril 2024 au centre hospitalier de Cannes-Simone Veil, également revendiqué par LockBit. L'établissement déprogramme, sur deux jours, environ un tiers de ses programmations d'interventions non urgentes, et annonce un programme assuré à 90 % dès le lendemain. Il refuse de payer, et voit 61 Go de données publiées le 1er mai. Sur la mécanique complète de ce type d'attaque, de l'accès initial au sabotage des sauvegardes, l'article de fond sur l'anatomie d'une attaque par ransomware déroule la chaîne étape par étape.

Entre les deux, un incident change de nature : il ne vise pas un hôpital, mais la chaîne qui le prolonge. L'opérateur de tiers payant Viamedis est compromis le 29 janvier 2024, la CNIL parlant de la fin janvier, et communique le 1er février ; Almerys constate un accès indu le 2 février et l'annonce le 5. Dans les deux cas, le mode opératoire repose sur la compromission d'identifiants de professionnels de santé. Le 7 février, la CNIL annonce que plus de 33 millions de personnes sont concernées : état civil, date de naissance, numéro de sécurité sociale, nom de l'assureur santé et garanties du contrat. La CNIL prend soin d'écrire au conditionnel que les données bancaires, médicales et de remboursement ne seraient pas concernées. Il reste de quoi alimenter durablement l'hameçonnage ciblé, d'autant qu'un message qui cite le bon assureur passe pour légitime, et la fraude à l'identité. Aucun chiffrement, aucune rançon, aucun blocage de soins. Juste un vol.

La suite confirme la tendance. Entre le 26 juin et le 1er juillet 2025, l'Hôpital privé de la Loire à Saint-Étienne, établissement du groupe Ramsay Santé, subit ce que l'exploitant décrit comme une usurpation d'identité ayant permis un accès indu à une quantité importante de données administratives de patients : identité, coordonnées, numéro de sécurité sociale, parfois copie du titre d'identité fourni à l'admission. Pour 40 patients s'y ajoutent des informations médicales : motif d'hospitalisation, nature de l'intervention, motif de consultation aux urgences. L'établissement notifie la CNIL, l'agence régionale de santé et le CERT Santé, et annonce un dépôt de plainte. L'écart le plus instructif du dossier est ailleurs : l'hôpital notifie 126 000 patients quand l'attaquant revendique 530 000 dossiers. Personne à l'extérieur ne peut trancher, et c'est le problème. Là encore : pas d'exploit, un compte.

Et le même type de portail se fait reprendre deux fois. Le 25 mai 2026, Almerys confirme à l'AFP une nouvelle compromission, portant cette fois sur 15,4 millions de numéros de sécurité sociale uniques et 674 organismes. Deux mois plus tôt, le 25 mars 2026, c'est le réseau de laboratoires d'analyses Cerballiance, environ 700 laboratoires, qui subit une intrusion par le serveur d'un prestataire externe : état civil, identifiants de connexion des patients, comptes rendus d'analyses, numéro de sécurité sociale. CNIL, ANSSI et agence régionale de santé notifiées, plainte déposée. Deux dossiers qui répètent la leçon de cette chronologie avec un cran de plus : la donnée de santé se concentre chez des opérateurs qui ne sont pas des hôpitaux, et l'accès y arrive par un tiers.

Le contre-exemple de Brest, ou ce que change la détection précoce

Le 9 mars 2023 au soir, l'ANSSI contacte le responsable sécurité du CHRU de Brest pour lui signaler des communications suspectes sortant d'un de ses serveurs. Les attaquants étaient entrés en utilisant un identifiant et un mot de passe valides sur un service de bureau à distance exposé sur internet, avaient déposé des portes dérobées et commençaient à explorer le réseau. Sur conseil de l'agence, l'établissement prend une décision radicale : couper totalement l'accès à internet, pendant environ deux semaines, puis le rétablir progressivement par liste blanche.

Radicale, et coûteuse au quotidien : l'imagerie repasse au fax pour transmettre ses comptes rendus, la télé-expertise et la téléconsultation s'arrêtent, et les échanges avec la médecine de ville sont suspendus.

Le résultat mérite malgré tout d'être souligné, parce qu'il est l'exception dans cette liste : pas de chiffrement, pas de plan blanc, prise en charge des patients maintenue. Le même scénario d'accès initial que partout ailleurs, interrompu avant le chiffrement. La différence ne tient pas à un pare-feu plus cher, elle tient à une alerte arrivée à temps et à une décision assumée dans l'heure.

Ce cas pose enfin une question de méthode : l'ANSSI y rattache le mode opératoire FIN12 dans son rapport CERTFR-2023-CTI-007. Une attribution d'agence nationale, appuyée sur des éléments techniques, ne pèse pas la même chose qu'une revendication publiée par un groupe sur son propre site vitrine : la première engage un service de l'État, la seconde est un argument commercial. C'est la raison pour laquelle cet article écrit "revendique" pour LockBit et réserve "attribue" aux rapports d'agence.

Le point commun de tous ces cas : un accès légitime, joignable depuis internet

Cherchez la faille technique dans la chronologie ci-dessus. Il n'y en a pas. Compte VPN d'un tiers externe, identifiants de professionnels de santé, bureau à distance avec un mot de passe valide, compte usurpé, serveur d'un prestataire : le premier maillon est presque toujours une authentification qui fonctionne, sur un service que l'on peut atteindre depuis n'importe quelle connexion.

Cette lecture a une conséquence directe. Les étapes 1 et 2 se mesurent depuis l'extérieur, sans agent à déployer et sans toucher au parc biomédical. Savoir quels services d'un établissement répondent sur internet, lesquels portent une version vulnérable, lesquels acceptent une authentification sans second facteur, et quels identifiants de son domaine circulent déjà dans des fuites : tout cela relève de l'EASM, la gestion de la surface d'attaque externe. C'est aussi ce que vise le premier domaine du programme CaRE.

Le cadre applicable : NIS2, HDS, CaRE

NIS2 met les établissements de santé en première ligne

La santé figure à l'annexe I de la directive (UE) 2022/2555, celle des secteurs dits hautement critiques. Concrètement, la quasi-totalité des établissements de santé atteignant la taille d'une moyenne entreprise entrent dans le périmètre, en entité essentielle ou en entité importante selon leur taille. La distinction n'est pas cosmétique : elle commande le mode de supervision, proactif pour les premières et déclenché a posteriori pour les secondes, ainsi que le niveau de sanction. Pour une entité essentielle, l'article 34 §4 fixe un plancher d'harmonisation : "au moins 10 000 000 EUR" ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu : ce n'est ni un plafond figé, ni un choix laissé à l'autorité. La taille n'est pas non plus le seul critère d'assujettissement : l'article 2 §2, points b) à e), permet de désigner une entité quelle que soit sa taille, en particulier lorsqu'elle est le seul prestataire d'un service essentiel dans un État membre ou qu'une perturbation de son service pourrait avoir un impact sur la santé publique. Deux hypothèses tout sauf théoriques en santé. Le détail français, lui, n'existe pas encore : au 16 août 2026, la loi de transposition n'est pas promulguée, aucun décret d'application n'est paru, le texte n'a plus bougé depuis la commission spéciale de l'Assemblée nationale du 10 septembre 2025, et la France a été renvoyée devant la Cour de justice de l'Union européenne le 8 juillet 2026, avec demande d'astreintes. Le fonctionnement d'ensemble du texte est décrit dans l'article consacré à la directive NIS2, et les critères d'assujettissement par la taille sont détaillés côté PME et ETI, ce qui concerne directement les cliniques, les laboratoires et les éditeurs de logiciels de santé.

HDS certifie l'hébergeur, pas l'application

La certification Hébergeur de données de santé est obligatoire pour quiconque héberge, sur support numérique et pour le compte d'un tiers, des données de santé à caractère personnel. La précision compte : au sens de l'article L. 1111-8 du code de la santé publique, héberger ses propres données pour son propre compte est hors champ. Son référentiel a été refondu par l'arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024 : alignement sur la version 2022 de la norme ISO/IEC 27001, et exigence de localisation du stockage des données dans l'Espace économique européen (exigence 28). Les nouveaux candidats sont évalués sur cette version depuis le 16 novembre 2024, et les hébergeurs déjà certifiés devaient basculer au plus tard le 16 mai 2026 ; l'échéance encore ouverte est celle du décret n° 2026-209 du 24 mars 2026, qui crée l'article R. 1111-9-1 du code de la santé publique et laisse jusqu'au 26 septembre 2026 pour se mettre en conformité.

Un mot sur ce que cette exigence de localisation ne dit pas, parce qu'on la lit couramment comme une garantie de souveraineté. Elle porte sur le stockage, et rien d'autre. L'exigence 29 autorise explicitement l'accès distant et l'administration depuis un pays tiers. L'exigence 30 n'impose aucune immunité aux lois extraterritoriales : elle demande de déclarer les lois applicables et les risques résiduels, ce qui est une obligation de transparence, pas de résultat. Le seul référentiel qui permette aujourd'hui d'afficher l'absence de risque d'accès par une autorité étrangère est SecNumCloud.

Reste le contresens le plus fréquent, y compris dans des appels d'offres : la certification porte sur l'hébergeur et son infrastructure, pas sur l'application qu'on y déploie, ni sur les comptes qui y accèdent. Un portail patient vulnérable hébergé chez un prestataire certifié HDS reste un portail patient vulnérable, et un identifiant volé fonctionne quel que soit le référentiel de l'hébergeur. Les deux sujets sont complémentaires, jamais substituables.

CaRE finance ce qui manque

Lancé fin 2023, piloté au niveau national par la délégation ministérielle au numérique en santé, l'Agence du numérique en santé, l'ANSSI et la direction générale de l'offre de soins, et relayé en région par les agences régionales de santé et les GRADeS, les groupements régionaux d'appui au développement de l'e-santé, le programme CaRE, pour Cybersécurité Accélération et Résilience des Établissements, est doté de 250 millions d'euros jusqu'en 2025, avec un objectif annoncé de 750 millions à horizon 2027. L'enveloppe compte moins que le choix des deux premiers domaines. Le domaine 1 vise la maîtrise de l'exposition sur internet et la consolidation des annuaires techniques, les deux volets de son premier appel à financement. Le domaine 2 porte sur la continuité et la reprise d'activité. L'État finance donc en priorité les deux étapes du schéma ci-dessus qui décident du reste : par où on entre, et si l'on sait se relever.

Ce qui réduit vraiment le risque côté exposition externe

Reconstruire un annuaire ou renégocier un parc biomédical se compte en années. Reste la couche que l'on peut traiter vite, celle par laquelle sont entrées toutes les attaques de la chronologie.

• Faire l'inventaire de ce qui répond depuis internet, pour de vrai. Un groupement hospitalier de territoire, c'est plusieurs sites, plusieurs noms de domaine hérités de fusions, des sous-domaines de projets terminés et des serveurs de test qui ont survécu à leur chef de projet. L'inventaire tenu dans un tableur suit l'organigramme. Celui qui compte est celui que l'attaquant construit en scannant, et il faut le construire avant lui.
• Sortir les accès distants du web public. Aucun service de bureau à distance, aucune console d'administration, aucune interface de télémaintenance ne devrait être joignable directement. Un point d'entrée unique, un bastion, une double authentification sans exception, des accès fournisseurs ouverts à la demande et refermés derrière : c'est la mesure qui aurait coupé net les scénarios de Brest et de Corbeil-Essonnes.
• Traiter les vulnérabilités de bordure en jours, pas en trimestres. Le reste du parc peut suivre un rythme normal, mais un VPN, un pare-feu ou un portail exposé qui porte une CVE activement exploitée se corrige immédiatement. Cela suppose une priorisation assumée : le sujet est développé dans l'article sur la gestion des vulnérabilités, et sa traduction opérationnelle dans celui sur le plan de remédiation.
• Surveiller les identifiants du domaine dans les fuites. Viamedis, Almerys et l'Hôpital privé de la Loire ont un point commun : un compte légitime. Les adresses professionnelles d'un établissement circulent dans les compilations de fuites au même titre que les autres, et un praticien qui réutilise son mot de passe entre un forum et l'accès au dossier patient offre une clé gratuite. Cette surveillance se met en place en quelques jours et ne dépend d'aucun projet lourd.
• Isoler le biomédical plutôt que d'essayer de le patcher. Puisque l'équipement ne se met pas à jour, on change de levier : réseau dédié, pas d'accès sortant vers internet, filtrage strict vers les seuls serveurs métier nécessaires, et surveillance des flux inhabituels. On accepte la vulnérabilité, on supprime l'accessibilité.

En cas d'incident : qui prévenir, et dans quel ordre

Le secteur santé a ceci de particulier qu'il empile plusieurs obligations de signalement, dont l'une lui est propre. Le signalement des incidents significatifs ou graves de sécurité des systèmes d'information est obligatoire pour les établissements de santé au titre du code de la santé publique : il passe par le portail de signalement des événements sanitaires indésirables, et le destinataire direct est le CERT Santé de l'Agence du numérique en santé. L'agence régionale de santé n'est pas co-destinataire, contrairement à une idée répandue : c'est l'Agence du numérique en santé qui l'informe en aval, et seulement lorsque l'incident a un impact sanitaire. S'y ajoute la notification à la CNIL sous 72 heures en cas de violation de données à caractère personnel au sens de l'article 4 §12 du RGPD, délai qui court à compter de la prise de connaissance et non de l'intrusion, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes, réserve qui ne joue quasiment jamais quand il s'agit de patients. Puis le dépôt de plainte et, selon le statut de l'entité, un signalement au titre de NIS2 auprès de l'ANSSI.

Deux réflexes techniques valent d'être fixés à l'avance, parce qu'ils se prennent mal dans l'urgence. Isoler sans tout détruire, d'abord : on débranche du réseau, on ne réinstalle rien, on préserve les journaux, sans quoi l'analyse ne dira jamais par où c'est entré et la même porte se rouvrira. Ne pas restaurer avant d'avoir identifié et fermé l'accès initial, ensuite : remonter un environnement propre derrière une porte encore ouverte revient à offrir un second tour à l'attaquant. Le CHRU de Brest a coupé son internet pendant deux semaines avant de rouvrir par liste blanche ; c'est inconfortable, et c'est ce qui a fonctionné.

À retenir

• Dans tous les cas français documentés, de Rouen en 2019 à Cerballiance en 2026, l'accès initial repose sur un identifiant valide et un service joignable depuis internet, ou sur le serveur d'un tiers, jamais sur une faille exotique dans un dispositif médical.
• Quatre contraintes rendent l'hôpital structurellement difficile à durcir : un parc biomédical dont les correctifs dépendent du fabricant, des accès de télémaintenance fournisseurs permanents, un annuaire technique souvent plat, et une continuité de soins qui interdit les fenêtres d'interruption.
• La menace s'est déplacée du chiffrement vers le vol de données. Viamedis et Almerys en 2024, l'Hôpital privé de la Loire en 2025, Cerballiance et de nouveau Almerys en 2026 : aucun blocage de soins, mais des millions d'identités exposées.
• Le cadre converge, sans être encore en place partout : la santé est à l'annexe I de NIS2, dont la transposition française n'est toujours pas promulguée au 16 août 2026, le référentiel HDS impose depuis 2024 que le stockage reste dans l'Espace économique européen sans interdire l'administration depuis un pays tiers, et le domaine 1 du programme CaRE finance précisément la maîtrise de l'exposition internet et des annuaires.
• Une certification HDS ne sécurise pas l'application hébergée, et un audit documentaire ne prouve pas qu'une mesure tient. L'évaluation d'efficacité attendue par l'article 21.2 (f) de NIS2 se nourrit d'un test mené depuis l'extérieur.
• Le contre-exemple de Brest montre ce qui fait la différence : une alerte arrivée à temps et une décision de coupure assumée dans l'heure ont transformé une intrusion en incident contenu, sans plan blanc.

Questions fréquentes

Un établissement de santé ne se sécurise pas d'un bloc, et personne ne devrait prétendre le contraire. En revanche, la couche par laquelle sont entrées toutes les attaques citées ici, celle qui répond depuis internet, se traite sans toucher au parc biomédical ni à l'annuaire. C'est le périmètre exact de la plateforme EASM, qui inventorie en continu ce qu'un attaquant voit d'un système d'information, et du pentest web en boîte noire, qui vérifie si cette exposition tient réellement. Si le sujet se pose chez vous sous l'angle de la conformité, la page audit NIS2 détaille le volet technique d'une démarche NIS2. Et pour en parler de vive voix avant qu'un incident ne s'en charge, la page contact est ouverte.