Une cyberattaque contre un hôpital ne détruit pas nécessairement un bâtiment, mais peut rendre indisponibles le dossier médical, le laboratoire, l'imagerie, la pharmacie ou la planification des blocs. Le dommage numérique se transforme alors en retards, transferts de patients et perte de capacité clinique. Ce passage de l'écran au soin explique pourquoi le rançongiciel hospitalier a quitté le seul domaine de la criminalité informatique pour entrer dans celui de la sécurité collective.
Le phénomène n'est pourtant pas une « guerre » au sens unique du terme. La majorité des attaques connues relèvent de groupes criminels motivés par le profit ; d'autres opérations peuvent être liées à l'espionnage, à l'hacktivisme ou à un conflit armé. Confondre ces acteurs affaiblit l'analyse. Le facteur géopolitique réside précisément dans leur coexistence, dans les territoires qui les abritent et dans la difficulté d'attribuer une opération avant que ses effets sanitaires ne se propagent.
Pourquoi l'hôpital ne peut pas simplement « passer hors ligne »
La numérisation relie l'admission, les prescriptions, les résultats biologiques, les images, les dispositifs médicaux, les rendez-vous et la facturation. Elle améliore la circulation de l'information et réduit certaines erreurs, mais transforme chaque interface en dépendance. Un établissement moderne n'est pas un réseau unique : il agrège des logiciels anciens, des services en nuage, des appareils spécialisés, des prestataires et des accès à distance.
Cette hétérogénéité vient du cycle de vie des équipements. Un scanner ou un automate de laboratoire peut rester utilisé plus longtemps que le système d'exploitation qui le pilote. Une mise à jour technique peut nécessiter une validation du fabricant ou une interruption difficile à programmer. L'Organisation mondiale de la santé décrit ce paysage dans son cadre de maturité cyber pour la santé numérique : systèmes hospitaliers, applications, interfaces, services en nuage et appareils connectés forment une même surface de risque.
La continuité du soin donne aux attaquants un moyen de pression spécifique. Une entreprise ordinaire peut suspendre une fonction et accepter une perte financière. Un hôpital arbitre sous contrainte médicale : revenir au papier ralentit l'identification des traitements, sépare les équipes de l'historique du patient et augmente la charge humaine. L'urgence clinique raccourcit le temps disponible pour négocier, restaurer ou enquêter.
L'attaque est distribuée entre plusieurs métiers clandestins
Le groupe affiché sur une demande de rançon n'est pas toujours l'auteur de toutes les étapes. Des courtiers vendent des accès déjà compromis ; des développeurs louent le logiciel ; des affiliés conduisent l'intrusion ; d'autres acteurs négocient, blanchissent les paiements ou publient les données volées. Ce modèle de rançongiciel en tant que service permet à une marque criminelle de disparaître puis de réapparaître sous un autre nom sans perdre l'ensemble de son personnel ni de ses partenaires.
L'extorsion ne dépend plus seulement du chiffrement. Les attaquants copient les dossiers, menacent de les publier et peuvent contacter directement patients ou partenaires. Les données de santé combinent identité, informations financières, diagnostics et éléments intimes difficiles à modifier après une fuite. Même lorsqu'un établissement restaure ses systèmes, la confidentialité perdue ne revient pas.
La rentabilité dépend enfin de la géographie. Intrusion, serveur, négociateur, victime, cryptomonnaie et blanchiment peuvent relever de juridictions différentes. Certains groupes opèrent depuis des territoires où l'État manque de capacité, tolère leurs activités ou les poursuit de manière sélective. Une enquête locale sur un hôpital se heurte alors à une infrastructure criminelle transnationale, capable de déplacer rapidement ses domaines, ses portefeuilles et ses identités.
Du dossier inaccessible à la crise régionale
Les premiers effets sont organisationnels : systèmes isolés, examens reportés, résultats transmis à la main, ambulances réorientées et personnel rappelé. Leur gravité dépend du moment, du type de service et de la durée. Une interruption en radiothérapie, aux urgences ou dans une banque de sang ne produit pas le même dommage qu'une panne administrative, même si l'origine informatique est identique.
Les attaques contre l'Irish Health Service Executive, le laboratoire britannique Synnovis, le réseau américain Ascension et le prestataire Change Healthcare ont montré plusieurs formes de propagation. Un système hospitalier intégré peut perdre simultanément ses dossiers. Un laboratoire partagé peut affecter plusieurs établissements. Un intermédiaire national de paiement et de prescriptions peut perturber des milliers de prestataires qui n'ont jamais été directement compromis.
Devant le Conseil de sécurité en novembre 2024, le dirigeant d'Ascension a décrit le retour aux dossiers papier et le délai nécessaire pour restaurer les connexions aux dossiers électroniques. Le directeur général de l'OMS a qualifié les rançongiciels contre la santé de questions possibles de vie ou de mort. Le débat onusien a marqué un changement d'échelle : l'incident hospitalier local y est apparu comme un risque systémique de santé publique.
La dépendance aux intermédiaires agrandit le rayon d'une attaque
La sécurité d'un hôpital ne dépend pas seulement de ses propres serveurs. Laboratoires, plateformes de rendez-vous, hébergeurs, éditeurs de dossier médical, pharmacies et opérateurs de paiement constituent une chaîne de services. Lorsqu'un acteur occupe une position centrale, sa compromission transforme plusieurs réseaux indépendants en une seule surface d'impact.
Cette concentration crée un enjeu de souveraineté. Un État peut réglementer ses établissements sans contrôler entièrement le code, le nuage ou la chaîne de sous-traitance situés à l'étranger. La localisation des données ne résout pas seule le problème : les droits d'administration, la maintenance et les bibliothèques logicielles traversent encore les frontières. La politique sanitaire rencontre alors la politique industrielle et la régulation des plateformes.
Elle modifie aussi la valeur stratégique de la cible. Paralyser un prestataire commun peut produire plus d'effet qu'attaquer successivement plusieurs hôpitaux. La logique rappelle celle des infrastructures énergétiques ou financières : le nœud le plus efficace n'est pas toujours le plus visible, et sa criticité ne devient parfois évidente qu'après sa défaillance.
Une même panne peut cacher des intentions différentes
Le cybercriminel cherche un paiement. L'espion recherche des données, des essais cliniques ou des informations sur une population. L'hacktiviste veut rendre visible une cause par une indisponibilité ou une fuite. Un service étatique peut préparer un accès, collecter du renseignement ou perturber un adversaire pendant une crise. Les outils et les infrastructures se recouvrent parfois, ce qui rend l'intention difficile à déduire du seul effet.
L'attribution comporte plusieurs niveaux. Les indices techniques relient un code ou un serveur à des opérations antérieures. L'enquête criminelle identifie des personnes et des flux financiers. L'attribution politique engage un gouvernement qui désigne publiquement un acteur ou un État. Ces seuils n'exigent pas la même preuve et n'arrivent pas au même rythme. Pendant ce temps, l'hôpital restaure ses services sans connaître nécessairement l'identité finale de l'attaquant.
La frontière entre groupe autonome et protection étatique reste particulièrement sensible. Un gouvernement peut ne pas diriger une attaque tout en offrant, par inaction ou tolérance, un environnement favorable à ses auteurs. Cette zone grise permet de bénéficier indirectement d'une pression sur un rival sans assumer le coût diplomatique d'une opération officiellement commandée.
Le droit humanitaire face à la perte de fonctionnalité
En période de conflit armé, les établissements médicaux bénéficient d'une protection spécifique. Pour le Comité international de la Croix-Rouge, le droit international humanitaire limite les cyberopérations comme les autres moyens de guerre : distinction, proportionnalité et précautions s'appliquent, et les hôpitaux civils ne peuvent être directement visés.
Une difficulté juridique persiste lorsque l'opération ne casse aucun appareil mais rend un système inutilisable. Certains États rattachent plus facilement la notion d'attaque à une destruction physique ; le CICR considère qu'une perte importante de fonctionnalité peut relever de cette catégorie. L'écart compte, car l'arrêt d'un logiciel de prescription ou d'un réseau électrique hospitalier peut produire un dommage humain sans trace matérielle immédiate sur le serveur ciblé.
Les effets indirects compliquent encore l'évaluation. Une cyberopération contre l'électricité, les télécommunications ou un fournisseur en nuage peut toucher un hôpital sans l'avoir désigné comme cible. La prévisibilité de ces répercussions devient alors centrale pour apprécier la proportionnalité. L'interconnexion numérique élargit la protection médicale au-delà des murs de l'établissement.
La santé passe du budget informatique à la sécurité nationale
Les États ont longtemps traité la cybersécurité hospitalière comme une responsabilité locale, alors que l'électricité ou la banque bénéficiaient d'une surveillance sectorielle plus centralisée. La répétition des incidents modifie cette hiérarchie. L'Agence de l'Union européenne pour la cybersécurité indique que le rançongiciel et les violations de données dominent les incidents de santé qu'elle analyse, et que la santé a figuré plusieurs années parmi les secteurs les plus affectés par les incidents significatifs.
La directive européenne NIS2, les autorités nationales, les centres de réponse aux incidents et le plan européen consacré aux hôpitaux créent une gouvernance plus collective. Aux États-Unis, les agences fédérales combinent réglementation sanitaire, renseignement sur la menace, sanctions et enquêtes. Ces modèles ne suppriment pas la fragmentation : un grand centre hospitalier et une petite structure rurale n'ont ni le même personnel, ni les mêmes fournisseurs, ni la même capacité de négociation.
Le paiement d'une rançon concentre les contradictions. Il peut accélérer une reprise incertaine ou financer le groupe, encourager de nouvelles attaques et exposer la victime à des règles de sanctions. L'interdiction générale réduit la perspective de gain criminel, mais transfère le coût immédiat sur les patients et les établissements les moins résilients. Les assurances se trouvent au milieu de cet arbitrage, entre indemnisation, négociation et exigences de prévention.
Criminalité persistante, hybridation ou choc systémique
La première trajectoire prolonge une criminalité diffuse. Les marques de rançongiciel changent, les affiliés réutilisent les accès et les établissements alternent restauration et nouvelles compromissions. Les opérations policières perturbent certains réseaux sans assécher le marché mondial des accès et du blanchiment.
La deuxième trajectoire verrait s'accentuer l'hybridation entre crime et rivalité d'État. Des groupes tolérés cibleraient davantage les systèmes de santé de pays adverses pendant des tensions diplomatiques, tout en conservant une demande de rançon comme couverture plausible. L'attribution resterait contestée et la réponse oscillerait entre procédure pénale, sanction et action clandestine.
La troisième trajectoire partirait d'un fournisseur commun. Une attaque contre une plateforme de laboratoire, de médicaments, d'identité ou de nuage provoquerait une interruption simultanée dans plusieurs régions. Le problème deviendrait immédiatement intersectoriel, car les télécommunications, la finance et la logistique participent à la continuité des soins.
Les cyberattaques contre les hôpitaux révèlent ainsi une géopolitique de la dépendance. Le pouvoir ne vient pas seulement de la capacité à détruire, mais de celle à interrompre un service vital depuis une autre juridiction, sous une identité incertaine et à un coût relativement faible. L'hôpital devient une cible stratégique parce que la société a concentré dans ses systèmes numériques une part croissante du temps, de la mémoire et de la décision médicale.
Sources et limites des données
Cette analyse s'appuie sur l'OMS, l'ENISA, le débat du Conseil de sécurité de novembre 2024 et les positions juridiques du CICR. Les statistiques commerciales isolées ont été écartées lorsqu'elles ne décrivaient pas clairement l'échantillon, la période et la définition d'une attaque. Les incidents publiquement attribués sous-estiment probablement le phénomène, car toutes les victimes ne déclarent ni l'intrusion, ni le paiement, ni la durée complète de la restauration.
