Les RSSI santé sous pression : et si ce n’était pas toujours la faute des utilisateurs ?
Des établissements de santé victimes de rançongiciels, le sujet n’est pas vraiment nouveau, puisque ça fait presque une dizaine d’années que ce genre de cochonneries vient prendre en otage nos données, bien avant qu’un Président de la République s’empare du sujet.
Si pendant des années nous avons « maudits » les utilisateurs qui cliquent plus vite que leur ombre sur tous les liens et pièces jointes qui arrivent par courriel, avant de restaurer des sauvegardes, pour ceux qui avaient la chance d’en avoir, aujourd’hui, mieux vaut tourner sept fois la pierre dans sa main avant de la jeter sur les utilisateurs.
Si notre niveau de maturité en matière de sécurité a progressé, il en est de même pour celui des utilisateurs, notamment par grâces aux diverses actions de sensibilisations que nous avons pu mettre en place, comme par exemple, l’excellent Sant’Escape [3].
Même si nous ne devons pas relâcher nos efforts en matières de sensibilisation des utilisateurs, nous devons aussi nous remettre régulièrement en question.
Gardons en tête que les rançongiciels ne sont pas toujours déployés suite à « clic utilisateur ». Prenons l’exemple du retour d’expérience de l’établissement de santé victime l’an passé du rançongiciel Ncov, après avoir exposé un serveurs RDP sur Internet [4].
J’ai en tête plusieurs compromissions récentes (autres que par des rançongiciels) dont des établissements de santé français ont été victimes, pour lesquels la porte d’entrée utilisée par les attaquants était leur passerelle VPN. Juillet 2019, rappelons-nous, le CERT national américain tirait la sonnette d’alarme en indiquant que plusieurs solutions de ce type étaient vulnérables [5]. En janvier 2020, l’ANSSI alertait sur le fait que les vulnérabilités impactant les solutions VPN Pulse Secure [6] et Citrix Netscaler [7] étaient largement exploitées… En novembre, c’était au tour des solutions VPN Fortinet [8].
En comparant deux établissements victimes du même groupe d’attaquants sur une même période, on peut voir qu’ils utilisaient le même produit :
Ont-ils tardé à patcher ? Ce sont-ils fait dérober des identifiants et mot de passe internes par le biais de solutions restées vulnérables, exposées sur Internet ?
Cette fameuse base de données de 50 000 identifiants / mots de passe appartenant à des agents d’établissements de santé français, vu la quantité, il y a peu de chance qu’elle ait été construite à partir d’attaques de type phishing. Ne pourrait-elle pas provenir de « siphonnages » réalisés en exploitant des vulnérabilités affectant des machines exposées sur Internet ?
Patcher une vulnérabilité, même plusieurs mois après la publication du correctifs, reste évidement nécessaire, mais ce n’est pas une raison pour se croire tiré d’affaire. Si la « porte » est restée ouverte trop longtemps, il faut considérer que ses accès sont compromis et demander un renouvellement des mots de passe utilisateurs, sans oublier que l’ensemble des adresses de messagerie exfiltrées pourront bien évidemment servir pour réaliser d’autres actions malveillantes à l’encontre des utilisateurs…
Restons sur nos gardes, plusieurs adresses identifiées comme appartenant aux infrastructures des groupes UNC1878 (Ryuk) et TA505 (Clop), scannent actuellement Internet à la recherche d’accès SSH, RDP, MySQL notamment…
[3] https://www.esante-paysdelaloire.com/fr/santescape/
[5] https://www.forum-sih.fr/viewtopic.php?t=1287#p5040
[6] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-001/
[7] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-002/
[8] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-025/
Avez-vous apprécié ce contenu ?
A lire également.
Le CHU de Montpellier mobilise 14,9 M€ pour structurer un projet d’intelligence artificielle hospitalière
29 jan. 2026 - 13:01,
Actualité
- Rédaction, DSIHLe CHU de Montpellier a fait état de la mobilisation d’un financement de 14,9 millions d’euros dans le cadre du programme France 2030 pour développer un projet d’intelligence artificielle hospitalière, baptisé Alliance Santé IA. L’initiative vise à structurer des usages d’intelligence artificielle à...
Mon espace santé veut devenir un pivot de la prévention personnalisée et de la coordination des soins
29 jan. 2026 - 12:07,
Actualité
- Rédaction, DSIHQuatre ans après son lancement, Mon espace santé franchit une nouvelle étape. Après avoir concentré ses efforts sur l’alimentation massive et sécurisée des données de santé, le carnet de santé numérique public entend désormais se positionner comme un outil central de prévention personnalisée et de c...
D4Evolution 2026 : la transformation numérique et l’IA au service de l’efficience opérationnelle, de la qualité des soins et du bien-être des soignants
29 jan. 2026 - 11:46,
Actualité
- Par Pauline NicolasLa 8ème édition de l’évènement annuel de Dedalus France, qui s’est tenue à Paris le 22 janvier, était placée sous l’égide de l’efficience opérationnelle. Dès l’ouverture de cette journée, Guillem Pelissier, Directeur Général France de Dedalus, a porté un message clair : « Il faut concevoir le numéri...
La Poste Ventures, fonds d’investissement du groupe La Poste, entre au capital de Yooli, start-up de la e-santé, spécialiste de la digitalisation du parcours patients
29 jan. 2026 - 10:34,
Actualité
- Rédaction, DSIHLa Poste annonce l’entrée de son fonds d’investissements La Poste Ventures au capital de Yooli. La start-up toulousaine a développé un portail numérique qui facilite le parcours de soin des patients et leur gestion par les établissements de santé. Cet investissement stratégique pour La Poste Santé &...
