Hôpital, clinique ou institut : qu'est-ce qui permet encore de soigner après une cyberattaque ?
Après une cyberattaque, un hôpital, une clinique ou un institut continue de soigner si le téléphone décroche encore, si le mode dégradé est écrit, et si une copie des données existe hors des serveurs chiffrés. Le dossier patient à l'arrêt n'a pas à rendre l'établissement muet. Les cas publics récents le montrent dans les deux sens.
Host Technology ne dirige pas le système d'information d'un CHU et ne remplace ni l'ANSSI ni le CERT Santé. Le lecteur visé ici est une clinique, un institut d'imagerie, un laboratoire ou un cabinet de groupe en PACA et à Monaco, sans équipe de sécurité interne. Les faits cités sont ceux des retours publics. Aucun chiffre d'impact n'est ajouté.
Cannes, avril 2024 : confiner et débrancher les copies
Le 16 avril 2024, le centre hospitalier Simone Veil de Cannes a subi un rançongiciel. Le CERT Santé, dans son retour d'expérience publié le 29 octobre 2024, décrit l'entrée la veille par un compte compromis, puis l'élévation de ce compte jusqu'à l'administrateur du domaine Windows. La charge a été déployée par stratégie de groupe. Un serveur de fichiers et 15 % des postes ont été chiffrés. Les PACS, les images médicales, ont aussi été touchés via une vulnérabilité de l'éditeur.
L'établissement a isolé les réseaux et déconnecté ses sauvegardes. Le CERT Santé indique que le chiffrement a été stoppé et qu'un mode dégradé de certains services n'a pas empêché la prise en charge des patients. La leçon utile à une clinique n'est pas le détail de l'outil. C'est l'ordre : couper la propagation, mettre les copies hors d'atteinte, continuer à recevoir les patients par un circuit déjà prévu.
Stell, mars 2025 : un vieux compte d'audit
En mars 2025, le centre hospitalier départemental Stell, à Rueil-Malmaison, a été compromis. Le retour du CERT Santé publié le 14 octobre 2025 part d'un ancien compte administrateur réactivé pour un audit, avec un accès VPN et un mot de passe faible. L'attaquant s'en est servi pour déployer un rançongiciel et chiffrer plusieurs serveurs Windows. Les flux VPN ont été coupés, les serveurs isolés. L'annuaire a été reconstruit, les services métiers restaurés progressivement, avec l'ANSSI et le CERT Santé.
Ce scénario n'est pas réservé à un hôpital public. Une clinique qui rouvre un compte « le temps d'un audit », encore administrateur, encore sur le VPN, reproduit la porte. La liste des comptes d'administration, prestataires compris, est le sujet de l'article du 15 septembre. Ici, on voit ce que cette porte coûte quand le métier est le soin.
Haute-Comté : le standard peut rester muet des mois
Le 19 octobre 2025, le centre hospitalier intercommunal de Haute-Comté a subi une attaque qui a interrompu tout le système d'information hospitalier, sur Pontarlier et les autres sites du groupement. L'Agence régionale de santé Bourgogne-Franche-Comté, dans son point du 30 mars 2026, écrit que l'accès aux applications restait limité à un espace sécurisé, que la remise en service du standard téléphonique était alors très récente, et que la réinstallation des postes se poursuivait jusqu'à fin avril. Le retour à la normale n'était pas attendu avant début 2027. La reconstruction porte sur plus de 1 000 postes et environ 200 applications, avec l'ANSSI et le CERT Santé, joignable 24 heures sur 24.
Environ cinq mois se sont écoulés, entre l'attaque du 19 octobre 2025 et le point de l'ARS du 30 mars 2026, avant que le standard ne réponde de nouveau. Ce délai est celui décrit à cette date. Il ne dit pas où en est l'établissement au 1er novembre 2026. Pendant ces mois, l'accueil, les familles et les correspondants n'appellent plus un numéro qui répond. Une clinique de Cannes ou de Monaco n'a pas le même volume. Elle a le même besoin : un chemin téléphonique qui ne vit pas dans le même réseau que le dossier patient. Si tout passe par le même lien et le même annuaire, couper le système d'information pour stopper l'attaque coupe aussi le téléphone.
Chaumont, juillet 2026 : détecter, débrancher Internet, garder le téléphone
Le 2 juillet 2026, le centre hospitalier de Chaumont a été attaqué. LeMagIT, le 10 juillet 2026, rapporte les communiqués : des anomalies ont été vues, l'établissement s'est déconnecté d'Internet, les soins ont continué et le réseau téléphonique est resté opérationnel, avec l'agence régionale de santé, le CHU de Dijon et le groupement hospitalier. La détection précoce et le téléphone encore joignable sont les deux faits que l'on peut retenir sans extrapoler le reste de l'incident.
Mettre en regard Haute-Comté et Chaumont ne classe pas les équipes. Cela montre deux issues publiques : un standard rétabli au bout de plusieurs mois, et un réseau téléphonique qui décroche encore le jour de l'attaque. Pour un institut d'imagerie ou une clinique, le téléphone, le lien de secours et la copie hors ligne se préparent avant, pas le matin de la coupure.
Ce qu'une clinique ou un institut peut tenir
- Des comptes d'administration nominatifs. Pas de compte d'audit laissé ouvert, pas de VPN avec un mot de passe faible.
- Un réseau séparé pour l'imagerie, le dossier et l'administratif. Un invité ou un prestataire n'atteint pas le PACS.
- Une téléphonie qui décroche encore si l'on isole le système de soins. Numéros publiés, accueil, astreinte médicale.
- Une copie déconnectée du réseau de production, avec la date du dernier test de restauration. Cannes a débranché ses sauvegardes pour les protéger.
- Une page de mode dégradé : qui répond au téléphone, où est la liste papier des rendez-vous du jour, qui appelle le CERT Santé et l'éditeur du logiciel.
- Quelqu'un qui lit une alerte la nuit, si l'EDR est en place. Le SOC ne soigne pas. Il raccourcit le délai avant l'isolement.
Host Technology prépare le lien, le pare-feu, la téléphonie, la copie et, si le contrat le prévoit, la détection. Il ne notifie pas les patients, ne restaure pas le dossier à la place de l'éditeur, et ne se substitue pas au CERT Santé. Le programme national CaRE, cité par l'ARS pour les établissements de santé, rappelle que la continuité et la reprise se travaillent avant la crise. Une clinique privée n'attend pas d'avoir un RSSI de CHU pour écrire ces six lignes.
Sources
CERT Santé, retour d'expérience du 29 octobre 2024 sur le centre hospitalier de Cannes (attaque du 16 avril 2024) : https://cyberveille.esante.gouv.fr/retours-d-experience/attaque-par-rancongiciel-du-centre-hospitalier-de-cannes-2024-10-29. CERT Santé, retour du 14 octobre 2025 sur le CHD Stell (compromission de mars 2025) : https://cyberveille.esante.gouv.fr/retours-d-experience/compromission-du-si-et-ransomware-au-chd-stell-2025-10-14. ARS Bourgogne-Franche-Comté, point de situation du 30 mars 2026 sur le CHI de Haute-Comté (attaque du 19 octobre 2025) : https://www.bourgogne-franche-comte.ars.sante.fr/index.php/point-de-situation-au-centre-hospitalier-de-haute-comte-cybersecurite-une-reponse-collective. LeMagIT, 10 juillet 2026, sur le centre hospitalier de Chaumont (attaque du 2 juillet 2026) : https://www.lemagit.fr/actualites/366645798/Cyberhebdo-du-10-juillet-2026-le-centre-hospitalier-de-Chaumont-echappe-au-pire. Guide d'hygiène informatique de l'ANSSI, comptes d'administration et cloisonnement : https://cyber.gouv.fr/publications/guide-dhygiene-informatique.
FAQ
Une clinique privée est-elle visée comme un hôpital public ?
Les attaques publiques citées visent des hôpitaux. La porte décrite, un compte compromis ou un vieux compte d'admin, existe aussi dans une clinique, un institut d'imagerie ou un laboratoire. La taille ne ferme pas cette porte.
Faut-il payer pour récupérer les dossiers ?
Ce texte ne traite pas de la rançon. La reprise dont parlent les retours publics passe par l'isolement, des copies encore lisibles et la reconstruction. Le CERT Santé et l'ANSSI pilotent cet appui pour les établissements qui les saisissent.
Le téléphone suffit-il à dire que les soins continuent ?
Non. Il permet d'être joint. Le mode dégradé, la liste des patients du jour et l'éditeur du dossier restent à prévoir. Le point de l'ARS du 30 mars 2026 sur Haute-Comté décrit un standard rétabli seulement à cette date. Il ne décrit pas l'établissement au 1er novembre.
Host remplace-t-il le CERT Santé ?
Non. Host tient l'infrastructure prévue au contrat : réseau, téléphonie, copie, détection. Le CERT Santé et l'ANSSI restent les appuis de crise des établissements de santé.
Par où commencer sur la Côte d'Azur ?
Par les comptes d'administration, le chemin du téléphone, et la date du dernier test de copie. Host le fait à partir de Tourrettes-sur-Loup, sur site de Nice à Monaco.