Quand le ransomware tue : la crise de sécurité des patients dans le secteur de la santé

La ligne a été franchie

Pendant des années, la communauté de la cybersécurité a débattu de la question de savoir si les rançongiciels (ransomware) pouvaient directement causer la mort de patients. Ce débat est clos. Un corpus croissant de preuves — données cliniques, investigations d’incidents et recherches académiques — démontre désormais un lien de causalité entre les attaques de rançongiciels contre le secteur de la santé et la mortalité des patients. La question n’est plus de savoir si les rançongiciels tuent, mais combien de décès leur sont attribuables et ce que le secteur de la santé est prêt à faire pour y remédier.

La preuve clinique la plus frappante provient d’une étude évaluée par des pairs publiée dans le Journal of the American College of Emergency Physicians en 2024, menée par des chercheurs du Center for Healthcare Cybersecurity de l’Université de Californie à San Diego. L’étude a examiné les résultats des arrêts cardiaques dans des hôpitaux non ciblés, adjacents à un établissement de santé touché par un rançongiciel lors d’un incident en mai 2021. Pendant la période de l’attaque, la survie aux arrêts cardiaques extrahospitaliers (ACEH) avec issue neurologique favorable s’est effondrée de 40,0 % à seulement 4,5 % dans les hôpitaux voisins recevant les patients réorientés. Le mécanisme était simple : lorsque les ambulances sont détournées des hôpitaux attaqués, les temps de transport vers les établissements alternatifs augmentent, retardant la réanimation avancée et les soins post-arrêt — produisant des résultats mesuralement dégradés.

Et en février 2026, le University of Mississippi Medical Center (UMMC) — l’un des plus grands systèmes de santé de l’État, avec sept hôpitaux, 35 cliniques et plus de 10 000 employés — a été frappé par une attaque de rançongiciel qui a forcé la fermeture simultanée des 35 cliniques dans tout l’État, l’annulation des séances de chimiothérapie et des chirurgies électives, et la dégradation de son système de dossier médical électronique EPIC. Les cliniques sont restées fermées pendant environ 11 jours. L’attaque de l’UMMC a mis la crise du rançongiciel dans le secteur de la santé sous les projecteurs du public.

Ce ne sont pas des cas isolés. Selon le rapport 2025 State of Ransomware de BlackFog, les attaques de rançongiciels divulguées ont augmenté de 49 % en glissement annuel pour atteindre un record de 1 174 attaques en 2025. Le secteur de la santé a conservé sa position de secteur le plus ciblé, représentant 22 % de toutes les attaques divulguées — plus du double du taux des secteurs suivants les plus touchés. En 2025, 96 % de toutes les attaques de rançongiciels impliquaient une exfiltration de données avant le chiffrement, et le coût moyen d’une violation de données de santé a atteint 7,42 millions de dollars.

Le cas de l’UMMC : une catastrophe sanitaire en février 2026

L’attaque de rançongiciel contre le University of Mississippi Medical Center en février 2026 illustre l’impact dévastateur des cyberattaques contre le secteur de la santé dans le monde réel.

L’attaque

L’attaque a été détectée aux premières heures du jeudi 19 février 2026, impactant le réseau de l’UMMC et nombre de ses systèmes informatiques, y compris son système de dossier médical électronique EPIC. Les responsables de l’UMMC ont confirmé qu’une attaque de rançongiciel était responsable de la mise hors ligne du réseau informatique. Les forces de l’ordre ont été alertées, et l’UMMC a coordonné avec le Department of Homeland Security et le FBI.

Impact clinique

L’impact clinique immédiat a été sévère. Les responsables de l’hôpital ont interrompu les soins dans les 35 cliniques de l’UMMC à travers tout l’État. Les rendez-vous, les séances de chimiothérapie et les procédures électives ont été annulés. Le système de dossiers médicaux électroniques est devenu indisponible, forçant les cliniciens à recourir à des protocoles de fonctionnement dégradé sur papier — un flux de travail avec lequel la plupart des médecins et infirmiers de la génération actuelle ont une expérience limitée. Les systèmes d’administration des médicaments se sont déconnectés, créant des risques d’erreurs de dosage, d’interactions médicamenteuses et de médicaments oubliés. Les systèmes d’imagerie diagnostique ont été perturbés, retardant ou empêchant les scanners, IRM et radiographies. Les systèmes d’information de laboratoire ont été dégradés, retardant les résultats d’analyses qui orientent les décisions thérapeutiques critiques.

Les services d’urgence sont restés disponibles à l’UMMC avec des protocoles de fonctionnement dégradé en vigueur, mais les fermetures de cliniques ambulatoires ont forcé la réorientation des patients — y compris des enfants atteints de pathologies complexes — vers des établissements régionaux déjà sous tension, retardant les soins et créant des goulots d’étranglement à travers le système de santé du Mississippi. Les cliniques n’ont rouvert qu’aux alentours du 2 mars 2026, plus de 11 jours après l’attaque initiale.

Les preuves cliniques plus larges

L’étude de l’UCSD sur l’incident de 2021 fournit la quantification clinique la plus rigoureuse de l’impact des rançongiciels sur les résultats des patients. Les chercheurs ont évalué 78 arrêts cardiaques au total dans deux hôpitaux universitaires non ciblés adjacents à l’établissement infecté par le rançongiciel, en comparant les périodes avant, pendant et après l’attaque. Le nombre total d’arrêts cardiaques a augmenté de manière significative pendant la phase d’attaque (38 observés contre 21 en pré-attaque), dépassant les niveaux prévisionnels. L’effondrement de la survie aux ACEH de 40,0 % à 4,5 % pendant la période d’attaque — suivi d’une reprise à 41,2 % après l’attaque — démontre une association temporelle claire entre la cyberattaque et l’aggravation des résultats cliniques. Les détournements des services médicaux d’urgence semblent avoir prolongé les temps de transport vers les soins avancés, conformément aux recherches antérieures reliant les temps de transport ambulancier plus longs à une mortalité à 30 jours plus élevée.

La stratégie d’attaque en amont

Les organisations de santé font de plus en plus face à des menaces non seulement par des attaques directes sur leurs propres systèmes, mais aussi par des attaques contre leurs fournisseurs, sous-traitants et prestataires de services — une stratégie que les chercheurs en sécurité appellent le « ciblage en amont ».

L’attaque contre Change Healthcare en février 2024 a démontré le potentiel dévastateur de cette approche. Change Healthcare, une filiale de UnitedHealth Group, traite environ 15 milliards de transactions de santé par an — servant d’intermédiaire critique entre les prestataires de santé, les assureurs et les pharmacies. Lorsque le groupe de rançongiciel BlackCat/ALPHV a exploité un service d’accès distant Citrix vulnérable dépourvu d’authentification multi-facteurs, ils ont accédé aux systèmes de Change Healthcare et déployé un rançongiciel qui a mis la plateforme hors ligne pendant environ deux mois. Les effets en cascade ont perturbé le traitement des réclamations, l’exécution des ordonnances et les cycles de revenus des hôpitaux et cliniques à travers les États-Unis.

La brèche a affecté environ 190 millions d’Américains — plus de la moitié de la population américaine — en faisant la plus grande violation de données de santé jamais signalée. UnitedHealth Group a payé une rançon de 22 millions de dollars, mais le coût total de l’incident a atteint environ 3,1 milliards de dollars à la fin de 2024, selon les rapports financiers de l’entreprise.

La stratégie de ciblage en amont est stratégique, pas opportuniste. En compromettant un fournisseur qui dessert des milliers d’organisations de santé, les attaquants obtiennent un impact multiplicateur — une seule brèche réussie peut perturber la prestation de soins dans toute une région ou spécialité. Les fournisseurs de services managés (MSP) qui gèrent les opérations informatiques pour les petits établissements de santé sont des cibles particulièrement attrayantes, car ils fournissent un point d’accès unique à des dizaines ou des centaines d’environnements de santé.

La tendance à la consolidation de l’informatique de santé a amplifié ce risque. À mesure que les hôpitaux adoptent des systèmes de dossiers médicaux électroniques basés sur le cloud, des services d’information de laboratoire et des plateformes de télémédecine, ils créent des dépendances envers un nombre réduit de fournisseurs critiques. La concentration des données et des opérations de santé dans une poignée de plateformes crée un risque systémique — la compromission d’un seul fournisseur peut se propager à travers l’ensemble du système de santé.

Double extorsion et données des patients

L’adoption quasi universelle des tactiques de double extorsion par les opérateurs de rançongiciels a ajouté une dimension de préjudice qui va au-delà de la perturbation opérationnelle. Dans la double extorsion, les attaquants chiffrent les systèmes et exfiltrent des données sensibles, menaçant de publier les données si la rançon n’est pas payée. Les données 2025 de BlackFog montrent que 96 % de toutes les attaques de rançongiciels impliquaient une exfiltration de données avant le chiffrement des fichiers. Pour les organisations de santé, cela signifie des informations de santé protégées (PHI) — dossiers médicaux, diagnostics, historiques de traitement, dossiers de santé mentale, dossiers de traitement des dépendances et statut VIH.

La sensibilité des données de santé rend la double extorsion particulièrement coercitive pour les organisations de santé. Alors qu’une entreprise de services financiers pourrait absorber l’impact réputationnel d’une fuite de données, la publication de dossiers médicaux de patients cause un préjudice direct et personnel aux individus. Les patients dont les dossiers de santé mentale, les historiques de dépendances ou le statut VIH sont publiés font face à de la discrimination, une stigmatisation sociale et une détresse personnelle qu’aucun programme de remédiation ne peut adresser.

Le rapport 2025 State of Ransomware in Healthcare de Sophos a constaté que la proportion de prestataires de santé subissant des attaques d’extorsion uniquement — où les données ont été volées mais non chiffrées — a triplé pour atteindre 12 % en 2025 contre 4 % en 2022/2023, le taux le plus élevé tous secteurs confondus. Cela souligne le levier particulier que les données de santé volées procurent aux attaquants. Le groupe de rançongiciel le plus prolifique de 2025 — Qilin — a revendiqué plus de 1 100 attaques divulguées et non divulguées et était derrière deux des incidents de santé les plus impactants de l’année.

Délais de reprise : la perturbation prolongée

Les délais de reprise après une attaque de rançongiciel dans le secteur de la santé sont systématiquement plus longs et plus complexes que dans les autres secteurs, reflétant la nature critique des systèmes cliniques et les exigences réglementaires qui régissent leur restauration.

Les données sectorielles de 2025 montrent que les attaques de rançongiciels ont entraîné en moyenne près de 19 jours d’indisponibilité pour les organisations de santé américaines. Mais ce chiffre sous-estime le défi de reprise complet — la reprise totale jusqu’à la pleine capacité opérationnelle prend en moyenne 279 jours, avec seulement 58 % des organisations atteignant une restauration opérationnelle complète, selon les statistiques de cybersécurité de santé compilées en 2025. La reprise complète comprend non seulement la restauration des systèmes mais aussi la vérification de l’intégrité des données (s’assurer que les dossiers des patients n’ont pas été altérés), la conformité réglementaire (confirmer que l’environnement restauré répond aux exigences HIPAA et autres) et la validation clinique (tester que les dispositifs médicaux et les systèmes d’aide à la décision clinique fonctionnent correctement après la restauration).

Il y a quelques signes encourageants : Sophos a constaté que près de 60 % des prestataires de santé ont récupéré en moins d’une semaine en 2025, contre seulement 21 % l’année précédente. Mais cette reprise initiale ne représente souvent qu’une restauration partielle — suffisante pour reprendre les opérations de base mais loin de la pleine capacité.

Pendant la période de reprise, les organisations de santé fonctionnent en mode dégradé — une combinaison de processus manuels, de systèmes temporaires et de solutions de contournement qui réduisent à la fois le volume et la qualité des soins qu’elles peuvent délivrer. Les patients sont réorientés vers d’autres établissements, les procédures sont reportées, et le personnel clinique est chargé de flux de travail manuels qui augmentent la charge de travail et les taux d’erreur.

Le coût économique est substantiel. UnitedHealth Group a rapporté que l’incident Change Healthcare a finalement coûté à l’entreprise environ 3,1 milliards de dollars — un chiffre qui n’inclut pas les coûts supportés par les milliers de prestataires de santé en aval dont les opérations ont été perturbées. À l’échelle mondiale, le coût moyen d’une violation de données de santé a atteint 7,42 millions de dollars en 2025.

Ce que le secteur doit changer

La crise du rançongiciel dans le secteur de la santé n’est pas principalement un problème technologique — c’est un problème de gouvernance, d’investissement et d’architecture. Les vulnérabilités du secteur reflètent des décennies de sous-investissement dans la cybersécurité, des décisions architecturales qui ont privilégié la commodité à la résilience, et un environnement réglementaire qui n’a pas suivi le rythme du paysage des menaces.

Segmentation et architecture

Les réseaux de santé sont notoirement plats — une caractéristique qui permet aux rançongiciels de se propager rapidement d’un point d’ancrage initial aux systèmes cliniques. La segmentation réseau qui isole les systèmes cliniques, les dispositifs médicaux, les systèmes administratifs et les réseaux invités dans des zones de sécurité séparées limiterait significativement le rayon d’impact d’un événement de rançongiciel. L’investissement est substantiel mais le coût de l’absence de segmentation est manifestement plus élevé.

Sauvegardes immuables et reprise rapide

La capacité à restaurer rapidement les systèmes cliniques à partir de sauvegardes propres est la mesure d’atténuation la plus efficace contre les rançongiciels. Les sauvegardes doivent être immuables (protégées contre le chiffrement ou la suppression par l’attaquant), régulièrement testées et intégrées dans des procédures de reprise capables de remettre en ligne les systèmes cliniques critiques en quelques heures — pas en jours ou semaines.

Sécurité des dispositifs médicaux

Les dispositifs médicaux connectés — pompes à perfusion, moniteurs de patients, systèmes d’imagerie — fonctionnent souvent sous des systèmes d’exploitation obsolètes, ne peuvent pas être facilement mis à jour et sont connectés aux mêmes réseaux que les systèmes administratifs. Un programme dédié de sécurité des dispositifs médicaux qui inventorie tous les appareils connectés, les segmente du réseau plus large et les surveille pour détecter des comportements anormaux est essentiel.

Gestion des risques fournisseurs

La stratégie d’attaque en amont exige que les organisations de santé évaluent et surveillent rigoureusement la posture de cybersécurité de leurs fournisseurs critiques. Cela inclut des exigences contractuelles de sécurité, des évaluations régulières de la sécurité des fournisseurs, des exigences de notification d’incidents et des plans de contingence en cas d’indisponibilité des fournisseurs.

Formation du personnel et résilience

Le personnel clinique a besoin d’une formation régulière à la fois sur l’hygiène cyber (pour prévenir la compromission initiale) et sur les procédures manuelles de fonctionnement dégradé (pour maintenir la qualité des soins lorsque les systèmes sont indisponibles). Les exercices de fonctionnement dégradé — des exercices périodiques où les opérations cliniques se poursuivent sans systèmes électroniques — développent la mémoire musculaire qui est critique lors d’un incident réel.

Évolution réglementaire

Les régulateurs passent des directives volontaires aux mandats exécutoires. Le département américain de la Santé et des Services sociaux (HHS) a publié des objectifs volontaires de performance en cybersécurité pour le secteur de la santé publique (CPG) en janvier 2024, les divisant en normes de base « essentielles » et en objectifs « avancés » pour des pratiques plus sophistiquées. En janvier 2025, le HHS a publié un projet de règle pour renforcer la Security Rule HIPAA pour les informations de santé protégées électroniques (ePHI), avec une finalisation attendue d’ici mi-2026. Une fois finalisée, la règle inclurait un délai de grâce de conformité de six mois. Ce sont des pas dans la bonne direction, mais l’écart entre les directives volontaires et les normes obligatoires et exécutoires reste une vulnérabilité critique.

L’impératif moral

Les preuves que les rançongiciels nuisent aux patients — et les données croissantes les reliant à la mortalité — créent un impératif moral qui transcende les calculs de rentabilité. Quand la survie aux arrêts cardiaques chute de 40 % à 4,5 % dans les hôpitaux recevant des patients réorientés lors d’une cyberattaque, la cybersécurité n’est pas un problème informatique — c’est une question de sécurité des patients du plus haut ordre.

Les dirigeants du secteur de la santé qui n’ont pas priorisé l’investissement en cybersécurité ne peuvent plus plaider l’ignorance des conséquences. Les membres de conseils d’administration qui n’ont pas exigé des briefings de sécurité avec la même rigueur qu’ils exigent les rapports financiers manquent à leur devoir fiduciaire. Et les régulateurs qui n’ont pas établi de normes de sécurité minimales exécutoires sont complices d’une crise évitable.

La crise du rançongiciel dans le secteur de la santé ne se résoudra pas d’elle-même. Elle nécessite un investissement délibéré et soutenu et un changement fondamental dans la façon dont le secteur pense la cybersécurité — non pas comme un centre de coûts, mais comme une composante essentielle de la sécurité des patients. Les données sont claires. Les preuves sont documentées. La seule question restante est de savoir si le secteur de la santé agira avant que la prochaine attaque ne produise la prochaine tragédie.

Sources et lectures complémentaires

• Ransomware Cyberattack Associated With Cardiac Arrest Incidence and Outcomes at Untargeted, Adjacent Hospitals — UCSD/PMC (2024)
• UMMC Shuts Clinics While It Grapples with Ransomware Attack — HIPAA Journal (2026)
• Healthcare Remains the Sector Most Targeted by Ransomware Groups as Attacks Increase 49% YOY — HIPAA Journal / BlackFog (2025)
• The State of Ransomware in Healthcare 2025 — Sophos
• Change Healthcare Attack Cost Estimate Reaches Nearly $2.9B — BankInfoSecurity
• HPH Cybersecurity Performance Goals — HHS Cyber Gateway