Les hôpitaux français subissent une pression croissante sur leur sécurité informatique depuis 2022. Multiplication des attaques par rançongiciel, vols massifs de données et perturbations des soins : les cybercriminels ciblent sans relâche un secteur jugé vulnérable. Entre adaptation des équipes, plans d’urgence et lacunes persistantes, le bilan 2023-2026 révèle des progrès mais aussi des failles béantes.
Quels types de cyberattaques ont frappé les CHU français depuis 2023 ?
Le principal danger reste le rançongiciel, logiciel malveillant qui chiffre les données et réclame une rançon pour les restituer. Entre 2022 et 2023, l’ANSSI a recensé trente hôpitaux victimes de ce type d’attaque, soit environ 10 % des incidents signalés dans l’ensemble du pays. Les conséquences dépassent la simple perte d’accès aux systèmes : certains établissements ont dû transférer des patients, suspendre des analyses vitales et gérer des fuites de dossiers médicaux.
En 2024, le rythme ne faiblit pas. Plusieurs établissements, dont Armentières et Cannes, ont été frappés. Lors de l’attaque contre le centre hospitalier sud francilien en 2022, onze gigaoctets de données sensibles ont été publiés en ligne. Les pirates ne se contentent plus de bloquer : ils exposent les informations pour faire pression sur les directions.
Quelles conséquences réelles pour les patients et le fonctionnement des hôpitaux ?
Une cyberattaque réussie paralyse parfois l’ensemble du système informatique d’un établissement. Résultat : retards de prise en charge, impossibilité d’accéder aux dossiers, interruption des automates de laboratoire. À Corbeil-Essonnes, les enfants en néonatologie ont dû être évacués, les résultats d’analyses n’étaient plus transmis, et les équipes ont travaillé plusieurs semaines en mode dégradé.
Le vol de données n’est pas une menace abstraite : plus de 33 millions de personnes ont vu leurs données personnelles compromises après les attaques contre Almerys et Viamedis en 2024. Ce chiffre représente près de la moitié de la population française. Les informations exfiltrées incluent souvent des éléments d’identification, des coordonnées bancaires ou des dossiers médicaux, exposant les victimes à d’autres risques (usurpation d’identité, chantage, hameçonnage).
« En 2022 et 2023, 30 hôpitaux ont été victimes d’attaques par rançongiciel, représentant 10 % des incidents signalés dans le pays. » (ANSSI, 2024)
Les CHU sont-ils mieux préparés à ces menaces qu’il y a trois ans ?
Face à la répétition des attaques, les établissements ont amélioré leur réactivité. L’ANSSI souligne que les hôpitaux touchés parviennent désormais à contenir la propagation et à limiter la durée d’interruption. Les paralysies complètes sur plusieurs mois appartiennent au passé récent : la plupart des services reprennent sous quelques semaines, même si des perturbations persistent plus longtemps.
Un plan blanc numérique a été lancé début 2023 pour renforcer la préparation : simulation d’incidents, mutualisation des ressources régionales, création de cellules de crise. L’objectif affiché : que tous les CHU « prioritaires » aient suivi des exercices de gestion de crise informatique avant mi-2023. Cette démarche favorise l’adoption de réflexes opérationnels (isolement des systèmes, communication de crise, diagnostic des dégâts).
- Activation immédiate d’une cellule de crise
- Évaluation des systèmes compromis
- Gestion des transferts de patients
- Communication aux autorités et aux patients
- Plan de rétablissement progressif
Pourquoi les hôpitaux restent-ils des cibles privilégiées ?
Plusieurs facteurs structurels expliquent la vulnérabilité persistante des CHU. L’obsolescence des systèmes informatiques, l’utilisation de logiciels non mis à jour et le manque de spécialistes en cybersécurité facilitent la tâche des attaquants. Le secteur hospitalier manipule des données très sensibles et n’a souvent ni le temps ni les moyens de lancer des chantiers de sécurisation massifs.
Les pirates savent que la pression sur les hôpitaux est forte : la tentation de payer une rançon pour rétablir au plus vite les soins existe, même si la doctrine officielle de l’État reste de ne jamais céder. À chaque incident, les équipes doivent improviser, parfois avec des procédures manuelles ou du matériel de secours, au risque de retards et d’erreurs.
| Facteur de vulnérabilité | Incidence directe |
|---|---|
| Matériel obsolète | Failles connues, correctifs absents |
| Peu de personnel formé | Réactions moins rapides, erreurs de gestion |
| Données très sensibles | Pression psychologique accrue |
| Multiplication des accès distants | Surface d’attaque élargie |
Quelles erreurs fréquentes freinent la défense des hôpitaux ?
- Sous-estimer la gravité d’une alerte, retardant le déclenchement de la cellule de crise.
- Oublier de déconnecter rapidement les systèmes compromis, laissant l’attaque se propager.
- Négliger les sauvegardes hors ligne, ce qui rend la restauration impossible en cas de chiffrement massif des données.
- Manquer de communication transparente avec les patients, créant un climat de méfiance et d’anxiété.
- Omettre la vérification régulière des mises à jour logicielles et des droits d’accès.
Renforcer la sécurité : où concentrer les efforts dès maintenant ?
Malgré la montée en compétence des équipes et l’arrivée du plan blanc numérique, de nombreuses failles subsistent. Les établissements doivent investir dans le renouvellement des équipements, la formation continue du personnel à tous les niveaux, et la modernisation des procédures de sauvegarde. La vigilance doit également s’étendre aux dispositifs médicaux connectés, dont certains restent exposés à des prises de contrôle à distance.
La prochaine étape : sortir de la gestion « incident par incident » pour bâtir une culture de la cyberdéfense ancrée dans le quotidien hospitalier. Sans ce changement, les attaques continueront de perturber les soins et d’exposer les patients à des risques graves. Les CHU ne pourront pas relever seuls ce défi : l’État, les éditeurs de solutions et les opérateurs de santé doivent s’engager ensemble dans une modernisation accélérée, sans sacrifier la sécurité au profit de l’urgence.
