Dans un couloir du CHU de Rouen, en novembre 2019, des infirmières ont sorti des classeurs cartonnés d’armoires où ils n’avaient pas été utilisés depuis des années. L’hôpital avait été frappé par un ransomware. Les ordonnances se remplissaient à la main. Les résultats d’analyse circulaient sur papier. Et pendant plusieurs jours, une partie de l’informatique médicale de l’un des plus grands centres hospitaliers universitaires de France a simplement… cessé de fonctionner.
Ce qui s’est passé à Rouen n’était pas une anomalie. C’était une répétition. Depuis, le scénario s’est rejoué dans des dizaines d’établissements à travers le pays. L’ANSSI, l’agence chargée de la cybersécurité nationale, a estimé que près de 15 % des établissements de santé français font face à des incidents numériques provoquant des perturbations opérationnelles. Ce pourcentage peut paraître abstrait. Ramené aux réalités concrètes — une salle d’opération bloquée, un dossier patient inaccessible lors d’une admission aux urgences, un médecin qui ne peut pas accéder à l’historique d’un patient — il prend une autre dimension.
Les hackers savent ce qu’ils ciblent. Les données médicales ne périment pas. Un numéro de sécurité sociale, un historique de prescriptions, des informations sur une pathologie chronique — ce type d’information vaut bien plus sur les marchés clandestins qu’une carte de crédit volée, qui peut être annulée en quelques minutes. La violation d’un prestataire de paiement tiers en lien avec des remboursements de soins a touché environ 33 millions de personnes. Trente-trois millions. C’est un record européen peu enviable.
Les logiciels MediBoard et la plateforme e-santé Pulsy, utilisée dans le Grand Est, ont été compromis dans des attaques récentes. Dans les deux cas, les assaillants ne sont pas passés par des failles techniques profondes. Ils ont utilisé ce qu’on appelle des vecteurs « d’accès doux » : des comptes de prestataires tiers, des identifiants d’employés avec des droits élevés, des mots de passe insuffisamment protégés. La sophistication technique n’est pas toujours nécessaire. Il suffit souvent d’une porte mal fermée.
Ce qui aggrave la situation, c’est la fragilité structurelle des hôpitaux publics en matière de cybersécurité. Les budgets informatiques sont chroniquement sous-dimensionnés. Les systèmes d’information héritent souvent de couches accumulées sur vingt ou trente ans — des logiciels qui ne se mettent pas à jour, des architectures complexes, des machines qui ne sont plus supportées par leurs fabricants mais qui continuent de tourner parce que les remplacer coûte trop cher. Dans cet environnement, la question n’est pas de savoir si une attaque aura lieu. C’est de savoir quand, et à quel coût humain.
La riposte institutionnelle existe, mais elle avance lentement. Le plan cyber annoncé pour le secteur de la santé après les premières grandes attaques a injecté des financements supplémentaires dans les établissements les plus exposés. L’ANSSI accompagne les hôpitaux dans leurs exercices de gestion de crise. Mais le fossé entre ce qui existe et ce qui serait nécessaire pour protéger 3 000 établissements de santé reste considérable. La cybersécurité hospitalière ne se résout pas avec une enveloppe budgétaire sur deux ans. Elle demande une transformation profonde de la manière dont les systèmes d’information médicaux sont conçus, maintenus, et audités.
Il y a quelque chose d’assez inconfortable à observer cela de l’extérieur. Les hôpitaux sauvent des vies. Ils sont aussi devenus, dans leur vulnérabilité numérique, l’une des cibles privilégiées de groupes criminels qui n’ont aucune considération pour ce que ces établissements représentent. Et la réponse collective, pour l’instant, reste proportionnellement insuffisante à la menace.
