Augmentation mondiale des attaques par Ransomware visant le secteur de la santé
Le secteur de la santé est devenu une cible de choix pour groupes de Ransomware, et les attaques s’intensifient. Les dernières données de Comparitech révèlent une hausse de 14 % des incidents liés au Ransomware dans le secteur de la santé à l’échelle mondiale au début de l’année 2026, les organisations subissant en moyenne 2,3 attaques par jour. Sur les 410 cas recensés, 247 ont directement touché des hôpitaux et des cliniques, tandis que 163 autres visaient des fournisseurs, des laboratoires pharmaceutiques et des prestataires de services qui soutiennent la prestation des soins.
Cette évolution est significative. La plus forte hausse, de 36 %, provient des attaques visant les prestataires de soins de santé et les entreprises associées. Les cybercriminels ont appris à exploiter le maillon faible : les systèmes tiers connectés aux hôpitaux et aux assureurs. Ces réseaux secondaires contiennent souvent des données sur les patients ou gèrent la facturation, ce qui les rend lucratifs et plus faciles à pirater. Dans le même temps, les prestataires de soins directs n’ont enregistré qu’une hausse de 3 % des attaques, ce qui suggère que, à mesure que les hôpitaux renforcent leurs défenses de base, les cybercriminels se tournent vers des cibles leur permettant de les contourner via les points d’intégration et les chaînes d’approvisionnement.
Les États-Unis restent le pays le plus durement touché, avec 225 incidents sur les 410 recensés dans le monde, soit plus de la moitié du total. Malgré une légère baisse des attaques visant les prestataires de soins de santé américains (en recul de 7 %), le volume considérable de ces incidents montre que la vaste infrastructure de santé du pays et la concentration des données continuent d’attirer les groupes spécialisés dans le Ransomware. Comparitech a identifié quatre groupes malveillants particulièrement actifs au cours de cette période : Qilin, The Gentlemen, LockBit et INC. Chacun d’entre eux s’est spécialisé dans des opérations de Ransomware à fort impact visant à perturber des services essentiels afin de s’en servir comme moyen de pression lors des négociations de rançon.
Pour les dirigeants, ces chiffres soulignent une réalité fondamentale : la cybersécurité dans le secteur de la santé ne se limite plus aux seules défenses internes. La résilience de la chaîne d’approvisionnement revêt désormais une importance stratégique. Elle exige une vision globale des relations avec les fournisseurs, une surveillance constante et des protocoles d’intervention communs. Ne travailler qu’avec des fournisseurs respectant des normes avancées en matière de cybersécurité devient une exigence fondamentale.
Le secteur de la santé constitue un écosystème intrinsèquement interconnecté. Le protéger implique de sécuriser chaque niveau, depuis les réseaux hospitaliers et les dispositifs médicaux jusqu’aux éditeurs de logiciels traitant des informations sensibles. Les organisations qui s’adaptent déjà à ce nouveau modèle sont moins susceptibles de subir des temps d’arrêt prolongés, une atteinte à leur image de marque ou des violations de données coûteuses. Celles qui ne s’y adaptent pas continueront à faire face aux mêmes menaces, mais de manière plus fréquente et plus virulente.
L’augmentation des vulnérabilités informatiques prend le pas sur les mesures d’atténuation
Le secteur de la santé identifie les vulnérabilités plus rapidement que jamais, mais leur correction accuse un retard considérable. Le rapport 2026 de Fortified Health Security fait état d’une augmentation de 60 % des vulnérabilités critiques et à haut risque par rapport à l’année dernière. Dans le même temps, les taux de correction ont fortement chuté, passant de 23,3 % au premier trimestre 2025 à seulement 6,4 % début 2026. Cela signifie que les organisations identifient leurs faiblesses, mais ne disposent pas des capacités nécessaires pour y remédier.
Ce décalage révèle un problème systémique. Les systèmes de santé améliorent leur capacité de détection grâce à de meilleurs outils et à des contrôles plus rigoureux, mais la réponse concrète reste à la traîne, car les ressources, les professionnels qualifiés en cybersécurité et la flexibilité budgétaire sont insuffisants pour faire face au niveau de menace. De nombreux établissements sont débordés par la maintenance des systèmes existants qui ne peuvent pas être facilement mis à niveau sans perturber les soins aux patients ou les opérations de conformité. Les dirigeants sont confrontés à un dilemme : la sensibilisation s’accroît, mais l’exposition aux risques aussi.
Les dirigeants doivent considérer cela comme une priorité stratégique. Sans investissement suffisant dans la correction des failles, chaque nouvelle vulnérabilité accroît les risques opérationnels et les risques pour la réputation. Les décideurs doivent s’attacher en priorité à sécuriser les systèmes essentiels, à mettre en place des processus d’intervention rapide et à définir clairement les responsabilités en matière de correction des vulnérabilités dès leur détection. Les performances en matière de correction doivent être évaluées avec autant de rigueur que la disponibilité des systèmes ou les résultats financiers.
Une autre nuance à prendre en compte ici est l’aggravation du déficit de compétences. La demande de talents en cybersécurité dans le secteur de la santé dépasse l’offre. De nombreux petits prestataires et systèmes de santé régionaux s’appuient sur des prestataires tiers qui peuvent ne pas disposer des ressources ou de l’expertise nécessaires pour faire face à des attaques complexes. Ce déséquilibre met des réseaux entiers en danger, en particulier lorsque des plateformes intégrées partagent des droits d’accès administratifs. Une amélioration durable passera par la mise en place ou la conclusion de partenariats visant à développer des capacités internes en matière de cybersécurité, plutôt que de se contenter de recourir à des services externes ponctuels.
Les responsables du secteur de la santé ne peuvent pas éliminer toutes les vulnérabilités, mais ils peuvent accélérer la réactivité. La rationalisation de la gestion des correctifs, l’automatisation du suivi des risques et la garantie d’une réponse rapide face aux failles à haut risque auront un effet immédiat. Les organisations qui considèrent la correction des failles comme un cycle continu, plutôt que comme un projet ponctuel, établiront la nouvelle norme en matière de résilience dans cet environnement de menaces en constante évolution.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
Risque accru lié aux cyberattaques commanditées par des États
La cyberguerre s’est définitivement imposée dans le secteur de la santé. En juillet 2026, l’Agence nationale de sécurité américaine (NSA), en collaboration avec plusieurs agences internationales de cybersécurité, a lancé une alerte concernant des pirates informatiques soutenus par l’État russe qui exploitaient des équipements réseau mal configurés dans plusieurs secteurs d’infrastructures critiques, dont celui de la santé. Ces attaquants ne recherchent pas simplement un gain financier ; ils sondent des systèmes essentiels, testent les temps de réponse et évaluent les vulnérabilités susceptibles d’être exploitées pour perturber des services vitaux à l’échelle mondiale.
Cette évolution aggrave un contexte de sécurité déjà tendu. Les systèmes de santé, conçus avant tout pour assurer la continuité des soins et la sécurité des patients, n’ont pas été pensés pour offrir une défense durable face aux cyberunités des États-nations. Beaucoup fonctionnent encore avec des configurations réseau obsolètes, que la NSA a identifiées comme les principaux points d’entrée de ces intrusions. Le risque dépasse le cadre des hôpitaux ou des assureurs pris individuellement. Les attaques visant les réseaux partagés, les échanges de données et les plateformes de santé basées sur le Cloud peuvent se propager en cascade à l’échelle de régions entières, affectant simultanément les partenaires et les fournisseurs.
Pour les dirigeants, il s’agit d’une menace stratégique. Les campagnes soutenues par des États sont menées avec précision, patience et des objectifs clairs. Leurs activités se fondent souvent dans le trafic réseau habituel, ce qui rend leur détection et leur attribution particulièrement difficiles. Les équipes de direction doivent désormais considérer la cybersécurité comme faisant partie intégrante de leur stratégie de gestion des risques, tant au niveau national qu’au niveau de l’entreprise. La coordination avec les centres fédéraux de cybersécurité, le partage continu de renseignements sur les menaces et les audits réguliers des configurations réseau doivent désormais être considérés comme des normes opérationnelles fondamentales.
Les organisations doivent également renforcer les systèmes où les déplacements latéraux sont les plus probables : points d’accès à distance, dispositifs médicaux connectés et intégrations tierces. En donnant la priorité à la segmentation, c’est-à-dire en limitant la portée des déplacements d’un intrus au sein du réseau une fois qu’il y a pénétré, on réduit considérablement l’ampleur des dommages potentiels. Cette approche nécessite une planification et des investissements, mais elle s’avère payante en réduisant l’impact lorsqu’une tentative d’intrusion se produit – et non pas « si » elle se produit.
La situation actuelle exige une collaboration à plus grande échelle. Les organismes publics et les systèmes de santé privés doivent harmoniser leurs normes de sécurité, leurs procédures de signalement des menaces et leurs dispositifs d’intervention d’urgence. L’avertissement de la NSA était clair : les failles exploitables persistent principalement parce que les configurations de base restent vulnérables. Remédier à cela relève entièrement de la responsabilité des dirigeants du secteur de la santé qui adoptent une approche proactive plutôt que réactive.
Retards dans la mise à jour de la réglementation fédérale en matière de cybersécurité ayant des répercussions sur le secteur de la santé
Le cadre réglementaire du secteur de la santé ne suit pas le rythme de l’intensité des menaces de cybersécurité. Le Bureau des droits civils (OCR) du ministère américain de la Santé et des Services sociaux (HHS) avait prévu d’importantes mises à jour de la règle de sécurité HIPAA afin de moderniser la manière dont les hôpitaux, les assureurs et les autres entités du secteur de la santé gèrent les risques cybernétiques. Le projet de règle, présenté pour la première fois en janvier 2025, comprenait de nouvelles exigences telles que des tests d’intrusion annuels, une authentification multifactorielle sur l’ensemble des systèmes et un processus formalisé d’analyse des risques. Ces mesures visaient à renforcer les défenses de base de toutes les entités concernées. Toutefois, la publication de la règle définitive, initialement prévue pour mai 2026, a désormais été reportée à juillet 2027.
Ce retard expose les établissements de santé à des normes obsolètes qui n’ont jamais été conçues pour faire face à des groupes de Ransomware sophistiqués ou à des acteurs soutenus par des États. Plus d’une centaine de réseaux hospitaliers, d’associations et de réseaux de prestataires se sont fermement opposés à cette proposition fin 2025, invoquant de lourdes contraintes administratives et financières. Ils ont plaidé en faveur d’un processus coopératif mené par le secrétaire du HHS, Robert F. Kennedy Jr., axé sur la collaboration avec le secteur plutôt que sur une réglementation imposée d’en haut. Malgré cette pression, le HHS n’a pas revu sa position.
Lors de la conférence HIMSS de 2026, la directrice de l’OCR, Paula M. Stannard, a réaffirmé la position de son département, en avertissant que « le coût de l’inaction est très élevé ». Sa déclaration reflétait la conviction du HHS selon laquelle des exigences de base plus strictes sont indispensables pour prévenir des perturbations à grande échelle dans la prise en charge des patients. Mais alors que la règle est suspendue, de nombreux responsables du secteur de la santé se retrouvent dans une zone d’incertitude, conscients de ce qui les attend mais dépourvus de directives précises leur permettant d’agir dès à présent.
Pour les dirigeants, cela constitue un moment décisif sur le plan pratique. Ce report ne doit pas être confondu avec un sursis. Il ne fait que transférer la responsabilité au secteur privé plus tôt que prévu. Les organisations tournées vers l’avenir alignent d’ores et déjà leurs systèmes sur les exigences proposées afin de réduire les futurs coûts de mise en conformité et de renforcer leur résilience actuelle. Celles qui attendent la mise en application officielle risquent de creuser l’écart entre leur préparation stratégique et leur sécurité opérationnelle.
Les équipes de direction doivent considérer ce délai comme une occasion d’adopter ces bonnes pratiques de leur propre initiative. Les investissements dans l’authentification multifactorielle, les tests d’intrusion et l’évaluation structurée des risques deviendront de toute façon probablement obligatoires au cours du prochain cycle. Une adoption précoce offre un avantage concurrentiel et opérationnel, alors que les adversaires actuels tirent parti de l’inertie réglementaire.
Principaux enseignements pour les décideurs
- Les ransomwares se multiplient au sein des réseaux de santé : les incidents liés au Ransomware dans le secteur de la santé ont augmenté de 14 % à l’échelle mondiale au début de l’année 2026, les organisations américaines ayant subi plus de la moitié de ces attaques. Les dirigeants doivent renforcer la surveillance des fournisseurs et la sécurité de la chaîne d’approvisionnement, car ce sont les vulnérabilités des tiers qui sont à l’origine de la plupart des violations de données.
- La gestion des vulnérabilités ne suit pas le rythme : les vulnérabilités critiques ont augmenté de 60 % d’une année sur l’autre, tandis que le taux de correction a chuté à 6,4 %. Les dirigeants devraient investir dans une gestion plus rapide des correctifs et dans du personnel spécialisé en cybersécurité afin de combler l’écart grandissant entre la détection et l’action.
- Les menaces d’origine étatique aggravent les risques : la NSA a confirmé que le secteur de la santé restait une cible prioritaire pour les pirates informatiques mandatés par l’État russe, qui exploitent les failles liées à des configurations réseau inadéquates. Les dirigeants doivent veiller à renforcer rigoureusement la sécurité des réseaux, à mettre en place une segmentation adéquate et à collaborer en permanence avec les agences fédérales chargées de la cybersécurité.
- Les retards réglementaires mettent en danger les systèmes de santé : la mise à jour de la règle de sécurité HIPAA a été reportée à juillet 2027, ce qui maintient en vigueur des normes obsolètes. Les décideurs devraient adopter dès à présent les mesures proposées, notamment l’authentification multifactorielle et les tests d’intrusion annuels, afin de renforcer leurs défenses avant l’entrée en vigueur de la réglementation.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
