Cyberattaques contre les hôpitaux : des données administratives de patients volées

Selon les Agences Régionales de Santé (ARS) de Normandie et des Hauts-de-France, une intrusion informatique a été détectée autour du 5‑6 septembre 2025. Les cybercriminels ont ciblé les Groupements Régionaux d’Appui au Développement de la e‑Santé (GRADeS), structures qui assurent pour le compte des ARS la gestion de services numériques de santé. Normand’e‑Santé et le GRADeS des Hauts‑de‑France ont confirmé être concernés.

Bien que les communiqués évoquent « plusieurs régions », aucune précision supplémentaire n’a été apportée à ce stade. Une enquête nationale est en cours pour déterminer l’étendue exacte des compromissions.

Une méthode classique mais efficace

Les attaquants ont eu recours à l’usurpation d’identité d’un professionnel de santé, une technique qui permet de pénétrer dans les systèmes sans bloquer leur fonctionnement. Cette approche discrète explique pourquoi l’attaque n’a pas eu d’impact immédiat sur la continuité des soins. Toutefois, selon les premières analyses, un volume important de données administratives a été exfiltré.

Nature des données compromises

• Nom et prénom
• Âge
• Coordonnées (numéro de téléphone, adresse e‑mail si disponibles)
• Données administratives associées

« Aucune donnée relative aux soins, diagnostics ou traitements n’a été compromise », a tenu à rassurer un porte‑parole de l’ARS Normandie.

Cela limite l’impact direct sur la prise en charge médicale, mais n’écarte pas les risques secondaires, comme les fraudes ou escroqueries ciblées.

Réactions et mesures mises en place

Les ARS et les GRADeS ont immédiatement neutralisé les accès frauduleux et renforcé les mesures de cybersécurité. Des signalements ont été transmis à la CNIL et aux autorités judiciaires, tandis que des notifications aux patients concernés sont en préparation. Une campagne de sensibilisation à destination des professionnels a également été lancée pour prévenir toute nouvelle usurpation d’identité.

Quels risques pour les professionnels et les patients ?

• Phishing ciblé : les informations dérobées pourraient servir à piéger patients ou soignants via des e‑mails ou appels frauduleux.
• Usurpation d’identité : les identifiants collectés peuvent être réutilisés pour de futures attaques.
• Conformité réglementaire : le RGPD impose une information transparente des victimes, sous peine de sanctions.

Selon un expert en cybersécurité interrogé par Le Monde, « les hôpitaux sont des cibles récurrentes en Europe, car les données qu’ils détiennent sont à la fois nombreuses et sensibles ».

Recommandations pour les établissements et soignants

• Surveillance des accès : contrôler régulièrement ses comptes et signaler tout usage suspect.
• Information des patients : rappeler qu’aucun établissement n’exige de données personnelles par téléphone, e‑mail ou SMS.
• Sécurisation organisationnelle : généraliser l’authentification multi‑facteurs, proposer des formations régulières en cybersécurité et effectuer des audits de sécurité.
• Ressources fiables : guides pratiques sur service‑public.fr.