Les RSSI santé sous pression : et si ce n’était pas toujours la faute des utilisateurs ?
Des établissements de santé victimes de rançongiciels, le sujet n’est pas vraiment nouveau, puisque ça fait presque une dizaine d’années que ce genre de cochonneries vient prendre en otage nos données, bien avant qu’un Président de la République s’empare du sujet.
Si pendant des années nous avons « maudits » les utilisateurs qui cliquent plus vite que leur ombre sur tous les liens et pièces jointes qui arrivent par courriel, avant de restaurer des sauvegardes, pour ceux qui avaient la chance d’en avoir, aujourd’hui, mieux vaut tourner sept fois la pierre dans sa main avant de la jeter sur les utilisateurs.
Si notre niveau de maturité en matière de sécurité a progressé, il en est de même pour celui des utilisateurs, notamment par grâces aux diverses actions de sensibilisations que nous avons pu mettre en place, comme par exemple, l’excellent Sant’Escape [3].
Même si nous ne devons pas relâcher nos efforts en matières de sensibilisation des utilisateurs, nous devons aussi nous remettre régulièrement en question.
Gardons en tête que les rançongiciels ne sont pas toujours déployés suite à « clic utilisateur ». Prenons l’exemple du retour d’expérience de l’établissement de santé victime l’an passé du rançongiciel Ncov, après avoir exposé un serveurs RDP sur Internet [4].
J’ai en tête plusieurs compromissions récentes (autres que par des rançongiciels) dont des établissements de santé français ont été victimes, pour lesquels la porte d’entrée utilisée par les attaquants était leur passerelle VPN. Juillet 2019, rappelons-nous, le CERT national américain tirait la sonnette d’alarme en indiquant que plusieurs solutions de ce type étaient vulnérables [5]. En janvier 2020, l’ANSSI alertait sur le fait que les vulnérabilités impactant les solutions VPN Pulse Secure [6] et Citrix Netscaler [7] étaient largement exploitées… En novembre, c’était au tour des solutions VPN Fortinet [8].
En comparant deux établissements victimes du même groupe d’attaquants sur une même période, on peut voir qu’ils utilisaient le même produit :
Ont-ils tardé à patcher ? Ce sont-ils fait dérober des identifiants et mot de passe internes par le biais de solutions restées vulnérables, exposées sur Internet ?
Cette fameuse base de données de 50 000 identifiants / mots de passe appartenant à des agents d’établissements de santé français, vu la quantité, il y a peu de chance qu’elle ait été construite à partir d’attaques de type phishing. Ne pourrait-elle pas provenir de « siphonnages » réalisés en exploitant des vulnérabilités affectant des machines exposées sur Internet ?
Patcher une vulnérabilité, même plusieurs mois après la publication du correctifs, reste évidement nécessaire, mais ce n’est pas une raison pour se croire tiré d’affaire. Si la « porte » est restée ouverte trop longtemps, il faut considérer que ses accès sont compromis et demander un renouvellement des mots de passe utilisateurs, sans oublier que l’ensemble des adresses de messagerie exfiltrées pourront bien évidemment servir pour réaliser d’autres actions malveillantes à l’encontre des utilisateurs…
Restons sur nos gardes, plusieurs adresses identifiées comme appartenant aux infrastructures des groupes UNC1878 (Ryuk) et TA505 (Clop), scannent actuellement Internet à la recherche d’accès SSH, RDP, MySQL notamment…
[3] https://www.esante-paysdelaloire.com/fr/santescape/
[5] https://www.forum-sih.fr/viewtopic.php?t=1287#p5040
[6] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-001/
[7] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-002/
[8] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-025/
Avez-vous apprécié ce contenu ?
A lire également.
Conférence - débat ouverte à tous avec Olivier VÉRAN : "L'IA au service de la santé"
21 avril 2026 - 08:36,
Communiqué
- Axigate LinkÀ l'occasion de SantExpo 2026, Axigate Link organise une conférence consacrée à l’intelligence artificielle en santé, mardi 19 mai à 15h sur son stand Q46. Olivier Véran y apportera son regard sur les usages concrets de ces technologies, entre promesses d’amélioration des parcours de soins et condit...
Former au management de projet, pour transformer en profondeur et réussir le changement
20 avril 2026 - 17:24,
Tribune
-Dans les établissements de santé, la transformation numérique ne se décrète pas. Elle se construit, souvent dans la complexité, et toujours dans l’humain. Et si la clé résidait, avant tout, dans les compétences des équipes des Directions des Services Numériques (DSN) ?
De la prescription jusqu’à la gestion des actes infirmiers
20 avril 2026 - 16:40,
Communiqué
- Computer EngineeringLes établissements de santé qui souhaitent simplifier et sécuriser la prise en charge globale du patient hospitalisé ont tout intérêt à s’équiper d’applications SI modulables et interopérables. Celles développées par Computer Engineering s’inscrivent dans cette facilité d’utilisation car elles couvr...
Jumeau numérique national : France 2030 investit 25 M€ pour anticiper les crises territoriales
20 avril 2026 - 11:37,
Actualité
- Rédaction, DSIHL’État français donne un coup d’accélérateur aux jumeaux numériques avec le lancement du Jumeau numérique de la France et de ses territoires (JUNN), financé à hauteur de 25 millions d’euros par France 2030. Porté par l’IGN, le Cerema et l’Inria, ce projet stratégique doit équiper les collectivités e...
