Cyberattaque en hôpital : quand la crise numérique devient une question de vie ou de mort

En juin 2024, une cyberattaque contre des hôpitaux à Londres a fait basculer la cybersécurité du domaine technique vers celui de l’urgence vitale. Une attaque par rançongiciel menée par le groupe de cybercriminels Qilin contre un prestataire de services de pathologie a paralysé plusieurs grands hôpitaux, dont le King’s College Hospital. Les conséquences ont été immédiates et dramatiques : plus de 10 000 opérations et rendez-vous annulés, des transfusions sanguines impossibles à réaliser, et des patients en danger de mort. Cet événement n’est pas un scénario de fiction, c’est un avertissement brutal pour tous les systèmes de santé, y compris en France. Il prouve que la résilience d’un hôpital ne se mesure plus seulement à ses lits ou à ses médecins, mais à la robustesse de ses défenses numériques.

Anatomie d’une catastrophe sanitaire d’origine numérique

Pour comprendre l’ampleur du désastre, il faut analyser la mécanique de l’attaque de Londres. Les criminels n’ont pas visé directement l’hôpital, mais un de ses partenaires stratégiques, Synnovis, qui gère les analyses de sang et les services de pathologie.

• La cible : Un maillon faible de la chaîne d’approvisionnement, mais un maillon critique.
• L’arme : Un rançongiciel (ransomware), qui a crypté toutes les données et bloqué les serveurs du prestataire.
• L’effet domino : En quelques heures, les hôpitaux partenaires se sont retrouvés aveugles. Impossibilité de réaliser des analyses de sang urgentes, de vérifier la compatibilité pour des transfusions, de poser des diagnostics pour des traitements vitaux comme la chimiothérapie.

Ce qui s’est produit à Londres est la démonstration d’une crise systémique. Une seule cyberattaque ciblée a suffi à mettre à genoux une partie du système de santé de l’une des plus grandes capitales du monde, faisant peser un risque mortel sur les patients les plus fragiles.

 

Le contexte français : sommes-nous prêts pour une telle crise ?

Nul ne peut prétendre que la France est à l’abri. Le risque est déjà bien réel et documenté.

 

1. Des précédents qui ont marqué les esprits

Les hôpitaux de Corbeil-Essonnes (2022) et de Versailles (2022) ont déjà subi des attaques par rançongiciel d’une violence inouïe, avec des mois de perturbations, des données de patients volées et un retour forcé au « papier-crayon » dans des conditions extrêmement dégradées.

 

2. Des alertes officielles et des plans d’action

La Cour des comptes a elle-même tiré la sonnette d’alarme dans un rapport récent sur la faible maturité de la cybersécurité des établissements de santé. En réponse, l’État a lancé des programmes ambitieux comme CaRE pour augmenter le niveau de protection. Mais la menace évolue plus vite que les défenses, et le drame de Londres prouve que le niveau de préparation doit encore monter d’un cran.

 

 

Au-delà de l’informatique : la cyber-résilience est une stratégie de soin

 

Face à cette nouvelle réalité, la réponse ne peut plus être seulement technique. La cyber-résilience hospitalière doit devenir une composante à part entière de la stratégie de soin et de la gestion de crise.

 

 

1. Repenser le plan de continuité d’activité (PCA) : l’urgence du retour au papier

L’héritage du « tout-numérique » est une immense fragilité si l’on n’anticipe pas sa disparition brutale. Le Plan de Continuité d’Activité d’un hôpital, souvent appelé Plan Blanc numérique, doit inclure des procédures robustes, testées par des exercices réguliers, pour fonctionner sans aucun accès au réseau informatique. Comment identifier les patients ? Comment prescrire des médicaments ? Comment assurer la traçabilité des soins ? Ces procédures « dégradées » doivent être maîtrisées par tous

 

2. La cybersécurité, une affaire de soignants, pas seulement d’ingénieurs

La première ligne de défense, c’est l’humain. 90% des cyberattaques réussies commencent par un e-mail de phishing. Il est donc vital de former l’ensemble du personnel hospitalier, du chirurgien à l’agent d’accueil, à reconnaître les menaces et à adopter les bons réflexes. La cybersécurité doit devenir une partie intégrante de la culture de la sécurité des soins.

 

3. La communication de crise : gérer la peur et l’incertitude

Comment communiquer avec les patients et leurs familles quand on ne peut plus accéder aux dossiers ? Comment rassurer sur la continuité des soins quand les systèmes sont à l’arrêt ? Une stratégie de communication de crise doit être préparée spécifiquement pour ce scénario, avec des messages clairs, empathiques et transparents pour éviter la panique et maintenir la confiance.

 

Conclusion : la cyber-résilience, une nouvelle urgence de santé publique

Le drame de Londres est le canari dans la mine. Il nous envoie un avertissement que nous ne pouvons plus ignorer : la prochaine grande crise sanitaire pourrait ne pas être causée par un virus, mais par une ligne de code. Investir massivement dans la cyber-résilience de notre système de santé n’est plus un choix budgétaire ou une question technique. C’est un impératif de santé publique, une obligation éthique et la condition de la sécurité de tous les patients.

Chez CriseHelp, nous sommes spécialisés dans l’accompagnement des secteurs critiques, dont celui de la santé. Nous vous aidons à évaluer votre niveau de maturité, à construire des plans de continuité robustes et à entraîner vos équipes par des simulations réalistes pour vous préparer à faire face à la crise cyber avant qu’elle ne devienne une tragédie humaine.