Cybersécurité : les établissements de santé, proies favorites des cybercriminels (Rapport Anssi)

Publié le vendredi 08 novembre 2024 à 18h38

Si plusieurs types de menaces informatiques pèsent sur le secteur de la santé, la menace à finalité lucrative est la plus grande : c’est ce qu’indique l’Agence nationale de la sécurité des systèmes d’information (Anssi) dans son rapport “secteur de la santé : état de la menace informatique”.

Un secteur touché par des cyberattaques de grandes ampleurs depuis plusieurs années

Ces dernières années, plusieurs hôpitaux français ont été touchés par des cyberattaques d’une ampleur considérable. L’une des attaques les plus marquantes est celle du Centre hospitalier Sud-Francilien (CHSF) d’août 2022, menée par le groupe cybercriminel Lockbit. Ce piratage a mis hors service le système informatique de l’établissement pendant plusieurs semaines, forçant le personnel à recourir à des méthodes manuelles pour assurer les soins. Les données exfiltrées, comprenant des informations personnelles et médicales de patients, ont été mises en ligne par les pirates après l’échec de leurs tentatives de rançon

En 2024, les cyberattaques sur les établissements de santé n’ont fait que s’intensifier. En février, l’hôpital d’Armentières a dû fermer temporairement son service des urgences et son bloc opératoire après une attaque bloquant ses systèmes, entraînant l’annulation de nombreux rendez-vous et une gestion manuelle des soins critiques. En octobre 2024, le groupe hospitalier Hospi Grand Ouest, incluant la Clinique de La Sagesse à Rennes, a également été ciblé par une cyberattaque de type ransomware, perturbant ses opérations et accentuant la pression sur son personnel.

C’est dans ce contexte de cyberattaques d’ampleurs en France, ainsi que dans le reste du monde, que l’Anssi a décidé de publier, le 7 novembre 2024, son rapport “secteur de la santé : état de la menace informatique” dans lequel elle évoque les raisons pour lesquels les acteurs de la santé sont ciblés, mais aussi les manières de se prémunir de ces menaces informatiques.

Les établissements, ciblés à cause de leur manque de cloisonnement

L’Anssi explique que dans ce secteur, les acteurs les plus ciblés sont les établissements de santé, et de loin (86 %). Pour l’Agence, cela s’explique par le fait que le manque de cloisonnement des systèmes d’information (SI) hospitaliers dû à l’impératif de garantir la disponibilité des services pour de nombreux utilisateurs et applications – ce se traduit fréquemment par des SI dépourvus de segmentation réseau et de contrôle d’accès – fait de ces acteurs des cibles privilégiés par les cybercriminels.

En effet, les établissements de santé gèrent des informations personnelles et médicales hautement sensibles, nécessaires à la continuité des soins. Ce caractère unique, combiné à une infrastructure complexe et à un parc technologique hétérogène, rend la sécurité plus difficile à standardiser et à renforcer. De plus, les contraintes de disponibilité des données, cruciales pour les soins urgents, font de ce secteur une cible de choix pour les cybercriminels, en particulier dans le cadre des rançongiciels (ransomware).

Une statistique marquante : entre janvier 2022 et décembre 2023, 86 % des incidents signalés à l’Anssi dans le secteur concernaient les établissements de santé, confirmant leur exposition accrue aux menaces informatiques.

Les menaces lucratives sont prédominantes :

Le rapport de l’Anssi distingue trois types principaux de menaces :

1. Menace à finalité lucrative : ce type de menace représente la majorité des attaques. Les cybercriminels s’intéressent avant tout aux gains financiers immédiats, avec des méthodes telles que les rançongiciels, la revente de données ou les fraudes en ligne ;

1. Menace à finalité d’espionnage : liée principalement à des États ou organisations cherchant à obtenir des informations stratégiques, cette menace s’est intensifiée avec la pandémie de Covid-19, visant par exemple les données de recherche sur les vaccins ;

1. Menace de déstabilisation : souvent orchestrée par des groupes hacktivistes, elle prend la forme d’attaques par déni de service (DDoS) ou de sabotage. Les objectifs sont de perturber les services de santé ou de compromettre la réputation des entités visées.

Parmi ces menaces, les attaques à finalité lucrative prédominent en raison de leur rentabilité directe pour les cybercriminels. Le déploiement de rançongiciels dans les hôpitaux vise à contraindre ces derniers à payer des rançons pour récupérer l’accès à leurs systèmes. Le chantage lié à la divulgation de données exfiltrées est également une tactique courante. Les attaques par rançongiciels ont particulièrement marqué le secteur depuis 2020, notamment en exploitant la pression sur les établissements de santé pendant la pandémie, une période durant laquelle la continuité des soins était impérative.

“Sensibiliser les collaborateurs”, parmi les recommandations de l’Anssi

La particularité de ce rapport de l’Anssi est qu’il ne se contente pas de faire un état des lieux de la menace informatique qui pèse sur le secteur de la santé en France, puisque l’Agence va émettre plusieurs recommandations pour contrer ces menaces. Les 19 recommandations vont concerner 8 pans importants de la sécurité informatique, à savoir, la sécurité des ressources humaines, la gestion des risques, l’acquisition, développement et maintenance du SI, l’architecture du SI, la gestion des identités et des accès, la gestion des vulnérabilités, la journalisation et la détection des failles, ainsi que la résilience du SI.

Parmi ces recommandations, l’Anssi insiste sur la sensibilisation des collaborateurs. L’agence recommande des sessions régulières de sensibilisation pour transmettre aux utilisateurs et administrateurs des bonnes pratiques face aux risques de cybermalveillance, en mettant l’accent sur les comportements sûrs et la vigilance face aux courriels suspects et aux extensions de fichiers potentiellement malveillantes.

En complément, l’Agence suggère également de mettre en œuvre un plan de réponse aux cyberattaques, de centraliser les journaux d’évènements et les alertes des capteurs de sécurité, et d’assurer des sauvegardes régulières et sécurisées des données sensibles. Ces mesures visent à renforcer la résilience des systèmes et à assurer une capacité de réponse efficace en cas d’incident, pour limiter les impacts opérationnels sur la continuité des soins.