Le coût des cyberattaques dans le secteur de la santé et comment les prévenir

Les établissements de santé ont accéléré leur transformation numérique dans les domaines des dossiers médicaux électroniques, des appliances connectées, de la télésanté, des processus d’assurance et des services basés sur le cloud. Cette numérisation améliore l’accès aux soins et l’efficacité opérationnelle, mais elle élargit également la surface d’attaque.

Le coût des cyberattaques dans le secteur de la santé est particulièrement élevé, car un seul incident peut avoir des répercussions bien au-delà des systèmes informatiques. Les cyberattaques peuvent retarder les traitements, perturber la délivrance des ordonnances et le traitement des demandes de remboursement, exposer les informations médicales protégées (PHI), entraîner des obligations légales et nuire à la confiance des patients. Cet article de blog explique pourquoi ces attaques sont si dangereuses, quels sont les facteurs qui déterminent leur coût dans le secteur de la santé et quelles mesures de prévention et de récupération peuvent en réduire l’impact.

Dites « non » aux demandes de rançon avec NAKIVO

Utilisez les sauvegardes pour une récupération rapide des données après une attaque par ransomware. Plusieurs options de récupération, un stockage local et dans le cloud immuable, une recherche de logiciels malveillants dans les sauvegardes, et bien plus encore.

DÉCOUVREZ LA SOLUTION

Pourquoi les cyberattaques dans le secteur de la santé sont-elles si dangereuses ?

Les établissements de santé présentent un Profil de risque différent de celui de la plupart des autres secteurs. Lorsque des systèmes tombent en panne dans le commerce de détail, la finance ou l’industrie manufacturière, les conséquences sont souvent avant tout financières ou opérationnelles. Dans le secteur de la santé, les temps d’arrêt peuvent avoir des répercussions sur les décisions cliniques, les interventions d’urgence et l’issue des traitements des patients.

Les hôpitaux et les cliniques s’appuient sur des systèmes interconnectés pour coordonner les soins, notamment les dossiers de santé électroniques (DSE), les dossiers médicaux électroniques (DME), les systèmes de laboratoire, les plateformes d’imagerie, les outils de distribution de médicaments et les appliances connectées telles que les ventilateurs, les pompes à perfusion, les appareils d’imagerie par résonance magnétique (IRM) et les moniteurs cardiaques. Si un logiciel malveillant met hors service un système critique, la perturbation peut se propager à l’ensemble des services.

Les cyberattaques dans le secteur de la santé peuvent entraîner :

• Des interventions chirurgicales retardées ou annulées
• Le détournement d’ambulances
• Une interruption de l’accès aux dossiers numériques des patients
• Des retards dans les diagnostics et les résultats de laboratoire
• Des retards dans la distribution des médicaments
• Des processus manuels qui ralentissent les équipes cliniques

Les données sensibles des patients augmentent également les enjeux. Les dossiers médicaux peuvent contenir des informations d’identité, des numéros d’assurance, des antécédents médicaux, des ordonnances, des informations de facturation et les coordonnées des proches. Les cybercriminels peuvent utiliser ces informations à des fins d’usurpation d’identité, de fraude à l’assurance, de prescription illégale de médicaments et pour mener des attaques de suivi plus convaincantes.

Les temps d’arrêt aggravent ces risques. Lorsque le personnel doit recourir aux dossiers papier, aux ordonnances manuelles et à la coordination hors ligne, l’ensemble de l’établissement subit un ralentissement. C’est l’impact sur la sécurité des patients qui rend les menaces de cybersécurité dans le secteur de la santé plus graves que de nombreux autres risques commerciaux.

Le coût réel des cyberattaques dans le secteur de la santé

Les coûts liés aux cyberattaques dans le secteur de la santé vont bien au-delà des demandes de rançon. L’impact total peut inclure la réponse aux incidents, la récupération des données, les temps d’arrêt opérationnels, les perturbations cliniques, l’exposition aux risques réglementaires, les litiges, l’atteinte à la réputation et les mesures correctives de sécurité à long terme.

Le coût des violations de données dans le secteur de la santé reste parmi les plus élevés de tous les secteurs. Le rapport « IBM 2025 » Rapport sur le coût d’une fuite de données classe le secteur de la santé comme le plus coûteux en matière de violations de données pour la 14e année consécutive, avec un coût moyen de 7,42 millions de dollars US par violation et un délai moyen d’identification et de confinement de 279 jours.

Le coût des cyberattaques dans le secteur de la santé comprend généralement :

• Coûts directs de la réponse : Analyse informatique légale, assistance d’urgence en cybersécurité, confinement, suppression des logiciels malveillants, reconstruction des systèmes et récupération des données.
• Perturbations opérationnelles : rendez-vous annulés, facturation retardée, interventions reportées, capacité clinique réduite et heures supplémentaires pour les équipes de récupération.
• Impact clinique : retards dans les diagnostics, perturbations dans la délivrance des ordonnances, déroutement des ambulances et ralentissement de l’admission des patients.
• Risques réglementaires et juridiques : notification des violations, enquêtes sur la confidentialité, sanctions potentielles et poursuites judiciaires.
• Pression liée aux rançons et à l’extorsion : demandes de paiement pour le déchiffrement, la non-divulgation des données volées, ou les deux.
• Atteinte à la réputation : perte de patients, inquiétudes des partenaires et baisse de confiance de la part des médecins référents ou des payeurs.

Le coût des attaques par ransomware dans le secteur de la santé peut être particulièrement élevé, car les attaquants combinent souvent le chiffrement avec le vol de données. Même si une organisation paie, rien ne garantit que les systèmes seront rapidement restaurés ou que les données volées ne feront pas l’objet d’une fuite ultérieure. Le paiement encourage également de nouvelles attaques et ne doit pas se substituer à une stratégie de récupération éprouvée.

Les coûts liés à la prévention sont généralement plus prévisibles que ceux liés à la récupération après un incident majeur. Les contrôles de sécurité, l’infrastructure à sauvegarder, les tests, la supervision des fournisseurs et la formation du personnel nécessitent des investissements, mais ils permettent de réduire les temps d’arrêt, de limiter les mouvements latéraux et de faciliter une récupération plus rapide en cas d’incident.

Exemples concrets de cyberattaques dans le secteur de la santé

Les incidents suivants montrent comment les cyberattaques dans le secteur de la santé peuvent perturber les infrastructures nationales, la prestation de soins au niveau régional et la protection des données des patients.

Attaque contre Change Healthcare (2024)

L’attaque contre Attaque contre Change Healthcare est devenue l’une des cyberattaques les plus lourdes de conséquences dans le secteur de la santé aux États-Unis. En février 2024, des attaquants associés au groupe ALPHV/BlackCat ont obtenu l’accès au système à l’aide d’identifiants de connexion compromis et d’un portail d’accès à distance dépourvu d’authentification multifactorielle (MFA). Change Healthcare a par la suite confirmé une interruption du réseau qui a perturbé le traitement des demandes de remboursement, les transactions pharmaceutiques et d’autres services back-end à l’échelle du système de santé.

L’estimation de l’impact de cette violation s’est alourdie après la rédaction de la version initiale. En août 2025, la liste des violations du ministère américain de la Santé et des Services sociaux indiquait que l’incident avait touché environ 192,7 millions de personnes, ce qui en fait la plus importante violation de données dans le secteur de la santé signalée à ce jour aux États-Unis. Les informations exposées comprendraient notamment les numéros d’identification des assurés, les diagnostics des patients, les informations relatives aux traitements, les numéros de Sécurité sociale et les codes de facturation.

L’entreprise a versé une rançon de 22 millions de dollars, mais les informations rendues publiques et les témoignages ont montré que ce paiement n’avait pas éliminé la charge liée à la récupération des données ni le risque d’exposition des données. Les prestataires ont été confrontés pendant des mois à des problèmes de trésorerie, à des retards dans le traitement des demandes de remboursement, à des perturbations dans la délivrance des ordonnances et à des retards administratifs.

Pannes dues au ransomware au sein du NHS

Le Service national de santé britannique (NHS) a connu de multiples incidents cybernétiques qui montrent à quel point le ransomware peut affecter la prestation des soins à grande échelle. Lors de l’attaque WannaCry de 2017, au moins 81 trusts du NHS et 603 établissements de soins primaires ainsi que d’autres organismes du NHS ont été touchés. Le NHS England a recensé 6 912 rendez-vous annulés et estimé que plus de 19 000 rendez-vous auraient été annulés au total. Le ministère de la Santé et des Affaires sociales a par la suite estimé le coût à 92 millions de livres sterling, incluant la perte de production et les coûts de récupération informatique.

Plus récemment, la société Attaque par ransomware contre Synnovis en juin 2024, qui travaille avec de grands hôpitaux londoniens, a provoqué des perturbations importantes dans les tests sanguins et d’autres services de pathologie. Le NHS England a signalé des annulations de rendez-vous et d’opérations dans le sud-est de Londres, et Synnovis a déclaré que l’attaque avait réduit sa capacité à traiter les échantillons.

Ces incidents montrent que les risques liés à la cybersécurité dans le secteur de la santé s’étendent au-delà des hôpitaux individuels. Un seul service partagé, prestataire de services de pathologie ou fournisseur de technologies peut perturber la prise en charge médicale au sein de plusieurs établissements.

Fuite de données chez SingHealth

L’affaire « Fuite de données chez SingHealth en 2018 » à Singapour montre que les cyberattaques dans le secteur de la santé ne se limitent pas au ransomware et aux interruptions de service. Les pirates ont exfiltré les données personnelles d’environ 1,5 million de patients ayant consulté dans les cliniques spécialisées et les polycliniques de SingHealth entre mai 2015 et juillet 2018. Ils ont également accédé aux dossiers relatifs aux médicaments délivrés à environ 160 000 patients.

Le ministère de la Santé de Singapour a indiqué que les détails des diagnostics, les résultats des tests et les notes des médecins n’avaient pas été compromis, et que les services de santé n’avaient pas été perturbés. Même en l’absence d’interruption de service, cet incident reste un exemple significatif de la valeur que revêtent les données de santé aux yeux des cybercriminels sophistiqués.

Les cyberattaques les plus courantes ciblant le secteur de la santé aujourd’hui

Les menaces de cybersécurité dans le secteur de la santé exploitent généralement les mêmes points faibles que ceux rencontrés dans d’autres secteurs : Identifiants de connexion, adresses e-mail, systèmes non mis à jour, accès dotés de privilèges excessifs et dépendances vis-à-vis de tiers. La différence réside dans le fait que les environnements de santé sont plus difficiles à sécuriser, car ils combinent des systèmes hérités, des conditions à remplir pour la disponibilité clinique, des dispositifs médicaux connectés et des données sensibles sur les patients.

Ransomware

Les ransomwares restent l’une des menaces les plus destructrices pour les systèmes de santé. Ransomware en tant que service Le modèle « Ransomware-as-a-Service » (RaaS) a abaissé la barrière d’entrée pour les attaquants, tandis que les tactiques de double extorsion accentuent la pression en combinant chiffrement et vol de données.

Une attaque typique ransomware dans le secteur de la santé peut comporter les étapes suivantes :

1. Obtenir un accès initial par hameçonnage, via des identifiants de connexion volés, des services de réseau privé virtuel (VPN) ou de protocole de bureau à distance (RDP) exposés, ou encore des serveurs non mis à jour.
2. Élever les privilèges et se déplacer latéralement sur le réseau.
3. Désactiver les outils de sécurité, supprimer les clichés instantanés ou cibler les sauvegardes.
4. Effectuer le chiffrement des données sur les serveurs, les systèmes de dossiers médicaux électroniques (DME/DME), les partages de fichiers, les systèmes d’imagerie ou les Workloads connectées.
5. Exiger le paiement d’une rançon pour le déchiffrement, la non-divulgation des données volées, ou les deux.

Les attaques de vol de données à grande échelle visent principalement à dérober des données sensibles sur les patients, plutôt que le chiffrement ou la perturbation des systèmes. Ce type d’attaque de cybersécurité dans le secteur de la santé est axé sur la fraude à l’assurance, l’usurpation d’identité, l’espionnage d’État et la vente sur le marché noir de dossiers médicaux et d’autres informations de santé protégées.

Les ransomwares ne « détruisent » pas toujours les données de manière définitive, mais ils peuvent rendre les systèmes indisponibles, corrompre des fichiers, supprimer des points de récupération et perturber les opérations jusqu’à ce que des sauvegardes ou des Réplicas saines soient restaurées. C’est pourquoi l’isolation des sauvegardes, leur immuabilité et les tests de récupération sont essentiels.

Attaques de la chaîne d’approvisionnement

Les établissements de santé dépendent de fournisseurs tiers pour la facturation, les services de pathologie, les systèmes de radiologie, les applications hébergées dans le cloud, les dispositifs médicaux, les services informatiques gérés et les équipements réseau. Cette dépendance engendre un risque lié à la chaîne d’approvisionnement, car un seul fournisseur compromis peut affecter de nombreux clients du secteur de la santé.

Les attaques visant la chaîne d’approvisionnement peuvent impliquer :

• Des mises à jour du logiciel compromises
• Des comptes d’accès à distance détournés
• Des portes dérobées dans les systèmes des fournisseurs
• La propagation de ransomware à partir d’un fournisseur de services gérés ou d’une plateforme partagée
• Le vol de données auprès de fournisseurs de services de facturation, de gestion des demandes de remboursement, de pathologie ou de services cloud

Les hôpitaux peuvent avoir une visibilité limitée sur les pratiques de sécurité des fournisseurs, mais les attaquants comprennent ces dépendances. Un seul fournisseur vulnérable peut ouvrir une brèche permettant d’accéder aux données des patients, aux processus de gestion des demandes de remboursement ou aux services cliniques dans toute une région.

Le phishing, le BEC et le vol d’identifiants de connexion

Hameçonnage restent l’un des moyens les plus faciles de s’introduire dans les réseaux de santé. Les attaquants envoient des e-mails frauduleux qui incitent les utilisateurs à ouvrir des pièces jointes malveillantes, à cliquer sur des liens ou à saisir leurs identifiants de connexion sur de fausses pages de connexion. Le personnel de santé est fréquemment pris pour cible, car il gère les communications urgentes provenant des patients, des fournisseurs, des assureurs, des laboratoires et des services internes.

Le « Business Email Compromise » (BEC) est une forme plus ciblée de fraude par e-mail. Lors d’attaques de type BEC, les cybercriminels usurpent l’identité de dirigeants, de fournisseurs, de payeurs ou de partenaires de confiance pour rediriger des paiements, demander des fichiers sensibles ou inciter les employés à approuver des activités frauduleuses.

Les identifiants de connexion volés peuvent également être utilisés pour accéder à des systèmes de DME/DMI, à des plateformes de facturation, à des services cloud, à des infrastructures de virtualisation ou à des portails d’accès à distance. Sans authentification multifactorielle (MFA), sans principe du privilège minimal et sans surveillance, un seul compte compromis peut devenir le point de départ d’un déploiement de ransomware ou d’un vol de données.

Exploits liés à l’IoT et aux dispositifs médicaux

Les hôpitaux utilisent des milliers de dispositifs connectés, notamment des pompes à perfusion, des moniteurs de surveillance des patients, des scanners de tomodensitométrie (CT), des appareils d’IRM, des ventilateurs, des systèmes d’appel infirmier et des postes de travail du système d’archivage et de communication d’images (PACS). Beaucoup font partie de l’Internet des objets médicaux (IoMT), la catégorie spécifique au secteur de la santé des appliances connectées utilisées pour la surveillance, le diagnostic et la prestation de soins.

Ces systèmes peuvent être difficiles à mettre à jour car ils prennent en charge des flux de travail cliniques, reposent sur des micrologiciels spécialisés ou doivent remplir les conditions à remplir par les fournisseurs. Les attaquants peuvent exploiter des mots de passe codés en dur, des micrologiciels vulnérables, des protocoles non chiffrés et des services exposés tels que le Server Message Block (PME), RDP ou Telnet.

Les attaquants exploitent les mots de passe codés en dur, les protocoles non chiffrés, les micrologiciels vulnérables et les services exposés (PME, RDP, Telnet). Dans la plupart des cas, les attaquants ne ciblent pas les appliances eux-mêmes : ils les utilisent comme points d’entrée pour poursuivre leur mouvement latéral. Les attaquants utilisent ces appliances comme point d’entrée peu sécurisé vers le réseau sécurisé de l’hôpital. Suivant, un ransomware peut être déployé pour détruire les données.

Dans de nombreux cas, les attaquants n’ont pas besoin de contrôler directement la fonction médicale de l’appliance. Ils peuvent utiliser des appliances mal sécurisées comme points d’ancrage pour s’implanter durablement, se déplacer latéralement, mener des opérations de reconnaissance et, à terme, réaliser le déploiement du ransomware.

Comment prévenir les cyberattaques dans le secteur de la santé

La cybersécurité dans le secteur de la santé doit permettre de réduire à la fois la probabilité et l’impact des attaques. Aucun outil ne peut à lui seul prévenir chaque incident, mais des contrôles à plusieurs niveaux permettent de contenir les menaces avant qu’elles ne se transforment en crises cliniques ou financières.

Pour prévenir les cyberattaques dans le secteur de la santé, les organisations doivent donner la priorité aux mesures suivantes :

1. Renforcer la sécurité des identités. Exiger l’authentification multifactorielle (MFA) pour les adresses e-mail, l’accès à distance, les comptes privilégiés, les services cloud et les consoles d’administration. Utiliser le Contrôle d’accès basé sur les rôles (RBAC) et le principe du moindre privilège afin que les utilisateurs n’aient accès qu’aux systèmes et aux données dont ils ont besoin.
2. Protéger les terminaux et les serveurs. Déployer des logiciels antivirus, des outils de détection et de réponse sur les terminaux (EDR) ainsi que des systèmes de surveillance comportementale pour détecter les activités suspectes. Étendre la couverture aux serveurs, aux machines virtuelles, aux charges de travail dans le cloud et aux terminaux utilisés par le personnel clinique et administratif.
3. Sécuriser la messagerie électronique et les outils de collaboration. Utiliser des filtres anti-spam, une protection contre le phishing, l’analyse des pièces jointes malveillantes, l’authentification de domaine et des workflows de signalement par les utilisateurs.
4. Appliquez les correctifs et renforcez la sécurité des systèmes. Appliquez régulièrement les mises à jour de sécurité aux systèmes d’exploitation, aux applications, aux hyperviseurs, aux périphériques réseau et aux services exposés à Internet. Donnez la priorité aux vulnérabilités connues ayant fait l’objet d’exploits et aux systèmes exposés vers l’extérieur.
5. Segmentez le réseau. Séparez les systèmes cliniques, les réseaux administratifs, le Wi-Fi pour les visiteurs, les dispositifs médicaux, l’infrastructure à sauvegarder et les interfaces de gestion. La segmentation limite les mouvements latéraux lorsqu’un compte ou un terminal est compromis.
6. Sécurisez les dispositifs médicaux et les dispositifs IoMT. Tenir à jour un inventaire des appliances connectées, suivre les versions des micrologiciels, restreindre l’accès à distance, désactiver les services inutiles et isoler les appliances qui ne peuvent pas être corrigées rapidement.
7. Former régulièrement les utilisateurs. Organiser des formations de sensibilisation à la sécurité qui reflètent les processus de travail du secteur de la santé, notamment le phishing, le BEC, les pièces jointes suspectes, le vol d’identifiants de connexion et les escroqueries liées à des paiements urgents. Facilitez le signalement des activités suspectes et veillez à ce qu’il ne soit pas sanctionné.
8. Surveillez l’environnement. Utilisez des outils de journalisation centralisée, de détection des anomalies, de gestion des informations et des événements de sécurité (SIEM) ou des services de détection gérés pour surveiller votre infrastructure et détecter rapidement les comportements inhabituels.
9. Évaluez les risques liés aux tiers. Examinez les droits d’accès des fournisseurs, les conditions à remplir en matière de sécurité, les conditions de notification des violations et les attentes en matière de récupération pour les prestataires critiques tels que les fournisseurs de facturation, de services de pathologie, de cloud, de DME/DMI et de services informatiques gérés.
10. Préparez des plans d’intervention et de récupération. Maintenez réponse aux incidents et des plans de reprise après sinistre qui définissent les rôles, les procédures d’escalade, les étapes de communication, les actions de confinement et les priorités de récupération. Testez régulièrement ces plans.

Comment la sauvegarde et la reprise après sinistre réduisent les coûts liés aux cyberattaques

La sauvegarde et reprise après sinistre n’empêchent pas l’intrusion initiale, mais elles peuvent réduire considérablement les coûts liés aux cyberattaques dans le secteur de la santé après un incident. Des sauvegardes propres et récupérables peuvent aider les organisations à éviter de dépendre des rançons, à réduire les temps d’arrêt et à restaurer les services critiques selon une séquence contrôlée.

Une stratégie de reprise dans le secteur de la santé doit inclure :

• Des sauvegardes régulières des systèmes critiques, y compris les serveurs physiques, les machines virtuelles, les bases de données, les partages de fichiers, Les dépendances DME/DME et les Workloads dans le cloud
• Des politiques de planification et de conservation des sauvegardes alignées sur les exigences cliniques, juridiques et opérationnelles
• Des copies de sauvegarde immuables ou isolées que les attaquants ne peuvent ni modifier ni supprimer des identifiants de connexion de production
• Le Règle de sauvegarde « 3-2-1 », avec plusieurs copies de sauvegarde réparties sur différents types de stockage et au moins une copie hors site ou isolée
• Des tests de restauration pour confirmer que les sauvegardes peuvent être restaurées dans le respect des objectifs de temps de récupération (RTO) et des objectifs de point de récupération (RPO)
• Des workflows de récupération documentés pour les scénarios de ransomware, de corruption des données, de panne de centre de données, de panne de fournisseur et d’interruption de service cloud

Les plans de réponse aux incidents et de reprise après sinistre doivent travailler ensemble. Le plan de réponse aux incidents doit expliquer comment détecter, contenir et signaler une cyberattaque. Le plan de reprise après sinistre doit définir comment restaurer les charges de travail prioritaires, qui approuve le basculement ou la restauration, comment les équipes cliniques doivent agir pendant les périodes d’indisponibilité et comment les systèmes restaurés sont validés avant leur remise en production.

Les coûts liés à la cybersécurité préventive dans le secteur de la santé sont généralement plus faciles à prévoir que les conséquences financières, juridiques et sur les soins aux patients d’une cyberattaque majeure. Les organisations les plus résilientes investissent avant qu’un incident ne se produise, testent leurs procédures de reprise avant d’en avoir besoin et intègrent la sauvegarde et la reprise après sinistre dans leur planification de la sécurité des patients.

Conclusion

Les établissements de santé doivent protéger leurs systèmes numériques avec la même urgence que celle qu’ils accordent aux opérations cliniques. Les cyberattaques peuvent interrompre les soins, exposer des données sensibles, retarder les cycles de trésorerie et créer des problèmes de confiance à long terme auprès des patients, des partenaires et des autorités de régulation.

La stratégie la plus efficace repose sur plusieurs niveaux : contrôles d’identité rigoureux, sécurité des e-mails, application des correctifs, segmentation du réseau, protection des dispositifs médicaux, supervision des fournisseurs, formation du personnel, surveillance, réponse aux incidents, ainsi que des solutions de sauvegarde et de reprise après sinistre testées. Ces mesures ne peuvent pas éliminer toutes les menaces, mais elles permettent de réduire le coût des cyberattaques dans le secteur de la santé et aident les établissements à se remettre plus rapidement en cas d’incident.

Essayez NAKIVO Backup & Replication

Profitez d'un essai gratuit pour découvrir toutes les fonctionnalités de protection des données de la solution. 15 jours gratuits. Aucune restriction en termes de fonctionnalités ou de capacité. Aucune carte bancaire requise.

ESSAYEZ-LE GRATUITEMENT