Ce qui s’est passé à Cookeville
Cookeville Regional Medical Center (CRMC), un hôpital régional du Tennessee, a détecté une intrusion réseau le 14 juillet 2025. L’enquête a révélé que des fichiers avaient été volés dans les jours précédents. L’attaquant était le gang Rhysida, qui a revendiqué la responsabilité sur son site de fuites et a exfiltré environ 500 Go de données avant d’être détecté.
Le 14 avril 2026 — neuf mois après la détection — CRMC a commencé à envoyer des lettres de notification à 337 917 personnes. Les informations compromises, selon le dossier de l’hôpital, incluaient noms, dates de naissance, adresses, numéros de Social Security, numéros de permis de conduire, numéros de compte financier, informations de traitement médical et détails de police d’assurance santé.
Rhysida a d’abord mis les données en vente à 10 bitcoins (environ 1 M$ à l’époque). Lorsqu’aucun acheteur ne s’est manifesté, le groupe a rendu le jeu de données volées librement téléchargeable — un schéma de pression que le gang utilise pour punir le non-paiement et maintenir sa crédibilité dans l’écosystème ransomware.
Rhysida a revendiqué 91 attaques tous secteurs confondus en 2025, avec 23 confirmées et une demande de rançon moyenne de 1,2 M$, selon les analyses de suivi de fuites.
Qui est Rhysida
Rhysida est une opération ransomware-as-a-service (RaaS) qui recrute des affiliés exécutant des intrusions utilisant la souche Rhysida en échange d’une part des paiements de rançon. CISA, le FBI et HHS ont conjointement profilé le groupe dans l’avis AA23-319A fin 2023. Depuis :
- Secteurs principaux : éducation, gouvernement, fabrication et technologie, avec un focus secondaire soutenu sur santé et santé publique.
- Méthode : double extorsion — chiffrer pour extorquer, puis publier ou vendre les données volées si le paiement est refusé.
- Tactique de pression : une fenêtre de publication de sept jours pour forcer des décisions de paiement rapides.
- Vecteurs d’entrée : phishing, force brute Remote Desktop Protocol, exploitation d’appareils périmétriques non corrigés (passerelles VPN, pare-feu), et publicités malveillantes sur moteurs de recherche livrant des installateurs trojanisés.
La santé reste une cible de choix parce que les hôpitaux ne peuvent se permettre un temps d’arrêt prolongé, la sécurité des patients est directement en jeu, et la plupart des budgets IT hospitaliers sont matériellement sous le profil de risque du secteur.
Publicité
L’écart de notification de neuf mois
Le problème public du cas Cookeville n’est pas que la fuite ait eu lieu — c’est que la notification ait pris 270 jours de la détection à la lettre. Selon les règles de notification de fuite HIPAA US (45 CFR § 164.400-414), les entités couvertes ont 60 jours à partir de la découverte pour notifier les individus affectés. L’écart reflète un schéma commun :
- Les enquêtes forensiques débordent l’horloge de 60 jours. La date de « découverte » originale est souvent juridiquement contestable.
- La notification retardée compose les dommages réputationnels et réglementaires.
- Au moment où les patients apprennent que leur SSN et dossiers médicaux sont sur un site de fuites, les données ont déjà circulé dans les marchés criminels pendant des mois.
Pour les RSSI santé mondiaux, la leçon est que l’horloge ransomware ne démarre pas à la notification — elle démarre à l’intrusion. La vitesse de détection, pas la vitesse de divulgation, est la variable sous votre contrôle.
Le plan de défense pour la santé
Tiré de CISA AA23-319A, des alertes HHS HC3, de l’analyse Rhysida de Barracuda, du suivi d’incidents de BlackFog et des orientations HIPAA 2026 :
Prévention (pré-intrusion) :
- Corriger agressivement les systèmes exposés à Internet. Passerelles VPN (Fortinet, Cisco, Ivanti), pare-feu et hôtes exposés RDP sont les trois principaux points d’entrée Rhysida.
- Authentification multi-facteurs partout. Webmail, VPN et tout système atteignant les données cliniques. Le VPN à facteur unique est la porte favorite de Rhysida.
- Segmentation réseau. Isolez EHR, imagerie (PACS), systèmes de laboratoire et OT biomédical du IT général. Un réseau hospitalier plat est un accélérateur de ransomware.
- Tuez les installateurs issus de publicités. Formez le personnel à ne pas installer de logiciels depuis des résultats d’annonces de moteurs de recherche. Utilisez l’allowlisting applicatif sur les postes cliniques.
- Sauvegardes hors ligne et testées. Pas seulement « des sauvegardes existent » — des restaurations testées, des copies immuables et un support hors ligne. Les affiliés Rhysida ciblent régulièrement les serveurs de sauvegarde.
Détection (pendant l’intrusion) :
- EDR sur chaque poste. CrowdStrike, SentinelOne, Defender for Endpoint avec réponse active activée. Détectez l’abus de LOLBin, le vidage d’identifiants et la création d’archives inhabituelles (l’étape de mise en scène des 500 Go).
- Surveillance de sortie. Un hôpital ne devrait normalement pas exfiltrer 500 Go vers un hôte externe. DLP et détection d’anomalies réseau attrapent cela s’ils sont réglés.
- Corrélation SIEM et couverture SOC 24/7. La plupart des hôpitaux régionaux exécutent encore des SOC aux heures d’ouverture. Rhysida exploite les nuits et les week-ends.
Réponse (post-intrusion) :
- Répétez le plan de réponse à fuite avec le juridique, les communications, le leadership clinique et les conseils externes. Respectez les fenêtres de notification HIPAA de 60 jours ou documentez la raison forensique de leur non-respect.
- Ne supposez pas une réponse silencieuse. Rhysida fuitera les données si vous ne payez pas ; payer ne garantit pas que les données restent privées. Construisez le plan de réponse publique comme si elles étaient fuitées.
Ce que les systèmes de santé mondiaux devraient retenir
Rhysida n’est pas une boutique de zero-day sophistiqués. L’intrusion de Cookeville est une étude de cas de ce que fait un ransomware peu sophistiqué à un hôpital sous-défendu : entrée par phishing ou RDP, déplacement latéral, exfiltration, chiffrement, extorsion, fuite. Chaque contrôle du plan ci-dessus est standard — l’écart est l’exécution cohérente sur chaque parc IT hospitalier.
Pour les systèmes de santé hors US regardant depuis l’Europe, l’Afrique et le Moyen-Orient : Rhysida ne se soucie pas des frontières. Le même groupe a revendiqué des victimes au Royaume-Uni, en France et en Australie. Le plan se porte proprement, et le timer de fuite de sept jours est universel.
Questions Fréquemment Posées
Pourquoi les groupes ransomware comme Rhysida fuient-ils les données même après refus de paiement des victimes ?
La fuite punit le non-paiement et maintient la crédibilité pour les futures victimes. Si Rhysida ne fuitait qu’après paiement, les victimes apprendraient que refuser le paiement est sûr. Le dump public, avec un compte à rebours de sept jours, est le signal économique que le non-paiement a des conséquences. C’est pourquoi planifier pour la divulgation publique est aussi important que planifier pour le paiement.
Combien coûte réellement une attaque ransomware à un hôpital régional ?
Les cas publiés montrent que le coût total — réponse, juridique, notification, surveillance de crédit, amendes réglementaires et perte de revenus — dépasse typiquement la demande de rançon d’un facteur 5-15x. Une demande Rhysida de 1 M$ se traduit par un impact total de 5-15 M$, même quand la rançon n’est pas payée. L’assurance cyber ne couvre souvent qu’une portion, et les primes montent fortement après un sinistre.
Quel est le contrôle à plus forte valeur qu’un petit hôpital peut déployer aujourd’hui ?
Authentification multi-facteurs sur VPN et webmail. La plupart des intrusions santé Rhysida commencent par un vol d’identifiants via phishing et une connexion VPN à facteur unique. MFA ferme cette porte à coût quasi nul. EDR sur chaque poste est la deuxième priorité — les deux sont déployables en un cycle budgétaire pour un hôpital régional.
Sources et lectures complémentaires
- Cookeville Hospital Discloses Rhysida Breach Hitting 337,917 — Infosecurity Magazine
- Data Breach at Tennessee Hospital Affects 337,000 — SecurityWeek
- Ransomware Attack on Cookeville Regional Medical Center — HIPAA Journal
- #StopRansomware: Rhysida Ransomware — CISA AA23-319A
- Rhysida Ransomware: Recent U.S. Breaches and Mitigation — BlackFog
- Cookeville Regional Medical Center Hospital Data Breach — Security Affairs
