Le secteur de la santé figure parmi les cibles régulières des rançongiciels : Cybermalveillance.gouv.fr et l'Agence du numérique en santé documentent des compromissions d'établissements et de structures de soins d'année en année. Sur les incidents déclarés au CERT Santé en 2025, 52 % sont d'origine malveillante, et la part des rançongiciels recule d'environ 30 % au profit de la compromission de comptes et des fuites de données. Ces chiffres portent sur les établissements et les structures médico-sociales soumis à déclaration ; les cabinets de ville, eux, n'y sont pas tenus. Cybermalveillance décrit par ailleurs une méthode devenue courante : les attaquants copient les données avant de les chiffrer, puis menacent de les divulguer, et cherchent à détruire les sauvegardes pour empêcher toute restauration.
Un cabinet de ville n'est pas un hôpital, et je ne prétends pas le contraire. Mais il manipule les mêmes données, celles que le RGPD range dans une catégorie particulière, et une attaque y produit les mêmes types de conséquences, à son échelle. Voici ce qu'une cyberattaque fait concrètement aux données d'un cabinet, les réflexes recommandés, ce que la loi attend ensuite, et où s'arrête mon rôle.
Ce que cela veut dire dans le quotidien du cabinet
En pratique, une attaque ne ressemble pas toujours à ce qu'on imagine. Elle commence souvent par un courriel piégé ouvert sans méfiance, un mot de passe deviné, un accès distant mal protégé. Puis, selon les cas, l'écran affiche une demande de rançon, les fichiers deviennent illisibles, le logiciel métier ne s'ouvre plus, et les sauvegardes reliées au réseau sont chiffrées ou effacées en même temps.
Trois conséquences se combinent alors, et il faut les distinguer, parce qu'on ne les traite pas de la même façon.
La première est l'indisponibilité : vous ne pouvez plus accéder aux dossiers, télétransmettre, ni faire tourner la salle d'attente. C'est la conséquence la plus visible, et souvent la plus immédiate.
La deuxième est la divulgation : si les données ont été copiées avant d'être chiffrées, elles peuvent être publiées ou revendues. C'est cette exfiltration qui transforme une panne technique en fuite de données de santé, avec des personnes concernées réelles, vos patients.
La troisième est la perte de preuve : sans journalisation ni sauvegarde saine, on ne sait plus dire ce qui a été touché, ni reconstituer ce qui s'est passé. Or c'est précisément ce qu'il faut établir pour réagir correctement.
Les réflexes recommandés, et l'ordre qui compte
Cybermalveillance.gouv.fr publie une fiche réflexe pour les organisations victimes de rançongiciel. Les recommandations, factuelles, tiennent en quelques gestes que je reprends ici parce qu'ils conditionnent la suite.
Isoler, sans éteindre. On déconnecte du réseau les machines touchées pour stopper la propagation, mais on ne les éteint pas, car la mémoire des équipements contient des éléments utiles à l'enquête.
Alerter immédiatement son prestataire informatique, pour engager la réponse technique sans perdre de temps.
Ne pas payer la rançon : rien ne garantit que les criminels tiendront parole, et le paiement finance leur activité.
Déposer plainte, et conserver toutes les traces de l'incident, utiles aux enquêteurs.
Ces réflexes se préparent avant, pas le jour même. Savoir qui isole, qui alerte, qui conserve les preuves, c'est le contenu d'un plan de réponse écrit, tenu à jour.
Ce que la loi attend ensuite, en clair
Une cyberattaque qui touche des données personnelles est une violation de données au sens du RGPD. Les données de santé relèvent d'une catégorie particulière, particulièrement sensible, si bien que le risque pour les personnes est souvent élevé. La CNIL rappelle les obligations qui en découlent.
La première : lorsqu'une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, en principe, au plus tard dans les 72 heures suivant sa découverte. Toutes les violations doivent par ailleurs être documentées en interne, y compris celles qui n'ont pas à être notifiées.
La seconde : la communication aux personnes concernées, vos patients, n'est obligatoire que lorsque la violation présente un risque élevé pour leurs droits et libertés, sauf exceptions prévues par le règlement. Compte tenu de la sensibilité des données de santé, ce seuil de risque élevé est vite atteint.
Ces obligations sont les vôtres, en tant que responsable de traitement. Mon rôle n'est pas de les remplir à votre place, mais de vous donner, vite, les éléments techniques dont vous avez besoin pour décider : ce qui a été touché, ce qui a pu être exfiltré, à quelles dates.
Une grille pour évaluer votre exposition
Ces questions n'exigent aucune compétence technique. Elles se posent à froid, avant l'incident.
- Vos accès distants et vos comptes sont-ils protégés par une authentification renforcée ?
- Une de vos sauvegardes est-elle déconnectée du réseau, hors de portée d'un chiffrement général ?
- Existe-t-il un plan écrit qui dit qui isole, qui alerte, qui préserve les preuves, qui communique ?
- Sauriez-vous, après une attaque, dire quels dossiers ont été touchés et lesquels ont pu être exfiltrés ?
- Savez-vous qui contacter en priorité, et disposez-vous des coordonnées à jour ?
- Votre équipe sait-elle reconnaître un courriel piégé, principale porte d'entrée ?
- Savez-vous vers qui vous tourner pour la notification à la CNIL et l'information des patients ?
Où s'arrête mon rôle, où commence le vôtre
C'est une limite que je tiens à poser clairement, parce qu'elle vous protège. Je mets en place les moyens qui réduisent le risque en amont, authentification renforcée, sauvegardes déconnectées, journalisation, sensibilisation. En cas d'attaque, j'interviens sur la réponse technique : isoler, préserver les preuves, évaluer ce qui a été touché et ce qui a pu être exfiltré, puis restaurer à partir d'une sauvegarde saine. Je vous fournis un état factuel de l'incident.
Ce que je ne fais pas, et ne dois pas faire : qualifier juridiquement la violation, décider si elle doit être notifiée à la CNIL, apprécier le niveau de risque pour vos patients, rédiger et conduire l'information des personnes concernées. Ces décisions relèvent de vous, responsable de traitement, avec votre délégué à la protection des données le cas échéant. Je fournis les faits ; la qualification et la décision vous reviennent.
Ce que la préparation vous fait gagner
Recadrée sans jargon, cela se traduit en trois termes.
Du temps : une réponse préparée fait gagner des heures décisives, celles où l'on choisit d'isoler plutôt que d'éteindre, et où l'on restaure depuis une copie saine au lieu de tout reconstruire.
De la responsabilité : disposer d'un état factuel de l'incident, c'est pouvoir notifier et informer correctement, et démontrer que vous avez agi en responsable de traitement diligent.
De la confiance : vos patients vous confient ce qu'ils ont de plus intime. Réduire le risque, et savoir réagir, fait partie de ce qu'ils attendent de vous.
Sur l'hébergement, un mot en fin de parcours : une fois la sécurité et la réponse en place, l'endroit où vivent vos données se vérifie en trois points distincts, la certification HDS du prestataire, la localisation contractuelle des données et vos conditions de réversibilité. C'est une destination à préparer, pas un préalable.
Par où commencer
Commencez par un plan réflexe d'une page : je pose noir sur blanc qui isole, qui alerte, qui préserve les preuves et qui communique, et je le complète des deux fondamentaux qui réduisent le plus le risque, l'authentification renforcée sur les accès et une sauvegarde déconnectée testée. Vous n'êtes pas invulnérable pour autant, mais vous passez d'un incident subi à un incident géré, avec un document que chacun peut suivre le jour venu.
Questions fréquentes
Un petit cabinet est-il vraiment concerné par les cyberattaques ?
Le secteur de la santé est régulièrement visé, et les données manipulées sont sensibles quelle que soit la taille de la structure. Je me garde d'affirmer qu'un cabinet donné « sera » attaqué : personne ne peut le prédire. Ce qui est vérifiable, c'est que des mesures simples réduisent nettement l'exposition et facilitent la réaction.
Faut-il payer la rançon pour récupérer les données ?
Cybermalveillance recommande de ne pas payer : rien ne garantit que les données seront rendues, et le paiement finance l'activité criminelle. La bonne parade est en amont : une sauvegarde déconnectée et testée qui permet de restaurer sans céder au chantage.
Qui notifie la CNIL en cas de fuite de données patients ?
Vous, en tant que responsable de traitement, avec votre délégué à la protection des données le cas échéant. Pour des données de santé, le délai de référence est de 72 heures et l'information des patients s'impose si le risque est élevé. Mon rôle est de vous fournir les éléments techniques pour décider, pas de décider à votre place.
Comment savoir ce qui a été volé ?
Par l'analyse technique de l'incident : journaux, traces d'accès, éléments laissés par l'attaque. C'est précisément pourquoi il faut isoler sans éteindre, et disposer d'une journalisation en amont. Sans ces éléments, l'évaluation de ce qui a été exfiltré devient beaucoup plus difficile.
Sources
- Cybermalveillance.gouv.fr, Rançongiciels : que faire ? (isoler, ne pas éteindre, ne pas payer, déposer plainte, exfiltration).
- CNIL, Notifier une violation de données personnelles (délai de 72 heures, information des personnes).
- CNIL, Données de santé (catégorie particulière, RGPD art. 9).
- Agence du numérique en santé, Cybersécurité dans le secteur de la santé et du médico-social.
- Agence du numérique en santé, Observatoire des signalements de sécurité (CERT Santé), rapport 2025 (52 % d'origine malveillante, recul des rançongiciels ; périmètre : établissements et structures médico-sociales déclarants).