Cyberattaques dans les hôpitaux : ce qui arrive à vos données

Vous triez vos emails tranquillement chez vous. Et puis une ligne attire votre œil. Un mail particulier de votre hôpital alors que vous n’y avez pas mis les pieds depuis 3 ans et demi. Et ce mail-là n’est pas tout à fait ce que l’on appelle “positif”. La goutte au front, vous lisez. La nouvelle est tombée : une cyberattaque a touché votre centre de soin, générant une fuite de données massive.
Vous sentez que c’est grave. Mais grave comment ?
Restez avec nous, on décrypte les cyberattaques plus bas.

Les cyberattaques dans les hôpitaux sont fréquentes, et leur nombre sous-estimé

Les chiffres des cyberattaques ne plaisantent pas. Par exemple, pour 2022 en France, le coût total des attaques à succès contre des institutions publiques ou des entreprises privées revient cette année-là à 250 milliards d’euros, selon l’étude d’Asterès.
Une nouvelle cyberattaque a eu lieu dans la nuit du 10 février dernier au CH d’Armentière (faisant partie du GHT de Lille) dans le nord de la France. Le centre hospitalier a dû fermer les portes de ses urgences pour réorganiser l’arrivée de ses patients et leurs traitements. Tous les ordinateurs ont été plongés dans le noir, après le lancement pour impression du message ‘ransom demand’ (demande de rançon) dans toutes les imprimantes de l’hôpital. Les patients ont alors été déplacés dans un autre hôpital. La maternité, elle, a été moins impactée, mais ce sont tout de même 130 dossiers patients qui ont dû être imprimés pour assurer le suivi des mamans. Dossiers papiers qui auraient pu se retrouver entre de mauvaises mains, perdus, ou volés… À nouveau.
L’hôpital a été impacté pendant 3 jours.

Parfois même, les assurances refusent d’assurer les chirurgiens qui opèrent sans avoir l’accès à un dossier patient. Les hackers peuvent procéder de différentes façons, mais la plus fréquente reste le phishing (envoi de SMS ou emails qui incitent à cliquer sur un lien ou télécharger un fichier contenant un malware (logiciel malveillant). Parfois, ils se déplacent même jusque dans l’hôpital pour y laisser une clé USB infestée. Ils peuvent ensuite rentrer en possession des services, crypter les données, les voler, ou encore surveiller les activités de l’hôpital.
Cyberattaques effrayantes pour ceux qui les vivent en direct, mais aussi pour les patients impactés par la fuite de données, lorsque l’on sait ce que ces dernières peuvent devenir…

Concrètement, qu’arrive-t-il après une cyberattaque ?

L’hôpital doit généralement répondre à la demande de rançon. Mais les hôpitaux publics n’ont pas le droit légalement d’y répondre, en donnant de l’argent aux hackers. La CNIL recommande ici de ne rien payer puisqu’aucune certitude de récupérer les données volées n’existe.

L’hôpital vérifie tout d’abord la sécurité des systèmes d’information, analyse l’attaque en détail pour paramétrer les priorités de restauration, avec l’aide de l’ANSSI (l’Agence National en charge de la sécurité des systèmes d’information).
La CNIL peut également intervenir en envoyant une mise en demeure aux hôpitaux utilisant des DPIs qui ne seraient pas suffisamment sécurisés. Ils requièrent alors des mesures correctives à appliquer aux traitements des données par l’hôpital.


Des traitements spécifiques au niveau de la confidentialité des données peuvent être demandés pour les patients venant d’institutions pénales.
Mais un point reste important ici : l’accès au DPI. Qui a pu s’y connecter ? Et quand ?  Qu’est-ce que la personne malveillante y a fait ? Le contrôle de cet accès a besoin d’être fait régulièrement afin de repérer d’éventuels actes frauduleux dans le logiciel.

Quelles conséquences sur vos données après une cyberattaque ?

Plusieurs ici qui ne présagent rien de bon…

• Un grand nombre de spams vous sont envoyés, tout comme un grand nombre d’appels en numéro masqué sont reçus avec une régularité déconcertante.
• Vos informations personnelles sont rendues publiques sur internet (nom, prénom, numéro de sécurité sociale, vos informations médicales comme vos maladies génétiques, cancers, résumé de consultations, résultats d’examens biologiques, pathologies…).
• Vos informations personnelles ou pire…, vos données bancaires sont utilisées à (très) mauvais escient.
• Ou elles sont vendues sur le black market (minimum 200€ proposés pour un dossier patient).
• Vos mots de passe volés servent à répliquer une nouvelle attaque.

Les données de santé sont aujourd’hui d’une valeur inestimable. Le plus de données volées, le plus d’argent récolté ! Et plus le patient possède de pathologies, plus la donnée a de la valeur.

Avec une telle donnée, il est facile d’imaginer ce que l’on peut faire… Créer de nouveaux traitements, enjoliver tout le marketing qui va autour d’un médicament, improviser des diagnostics, faire de la médecine prédictive aussi…

Plus il y a de valeur à aller chercher, plus il y a d’argent en jeu.
La première personne à trouver un nouveau traitement, par exemple, gagnera le marché. Et c’est pour cette raison qu’il n’est pas important, mais obligatoire pour un DPI de fournir une solution de stockage des données sécurisée et répondant à toutes les obligations légales et évolutives d’un pays.

C’est exactement ce que fait Galeon avec son DPI certifié HDS et ISO 27001.