Après le Centre hospitalier Sud Francilien (CHSF) de Corbeil-Essonnes fin août, c’est au tour de celui de Versailles (Yvelines) d’être la cible d’une cyberattaque. La tentative de piratage, qui a eu lieu samedi soir, a fortement perturbé son fonctionnement et a entraîné une « réorganisation totale de l’hôpital », selon le ministre de la Santé, François Braun.

Que s’est-il passé ? Quelles sont les conséquences ? Quelles sont les données ciblées par les hackers ? 20 Minutes fait le point sur cette cyberattaque.

Que s’est-il passé ?

Samedi soir, vers 21 h, certains écrans d’ordinateurs du centre hospitalier sont devenus noirs, affichant un simple message : « Tous vos dossiers importants ont été dérobés et cryptés. Suivez nos instructions », selon les informations rapportées par nos confrères de Franceinfo. Dans la foulée, l’attaque a été revendiquée par un groupe de pirates qui a réclamé une rançon, a fait savoir Richard Delepierre, le coprésident du conseil de surveillance de l’établissement, ce lundi. « Une rançon, dont je ne connais pas le montant, a été demandée mais nous n’avons pas l’intention de la payer », a-t-il assuré. Le logiciel identifié comme à l’origine de l’attaque appartient à une famille de virus que connaissent les cybergendarmes, selon une source proche du dossier.

La tentative de piratage a touché l’hôpital André-Mignot, situé au Chesnay-Rocquencourt, qui regroupe les consultations et tous les services d’hospitalisation de court séjour et ambulatoire, avec près de 700 lits et 3.000 membres du personnel. L’établissement est également le siège administratif, technique et logistique du centre hospitalier de Versailles. La maison de retraite Despagne et l’hôpital Richaud, qui font également partie du centre hospitalier, ont aussi été touchés, a fait savoir la direction de l’hôpital. L’attaque « n’est pas encore circonscrite », a expliqué François Braun, dimanche soir, après s’être rendu dans l’établissement.

Une cellule de crise, en lien avec l’ARS (Agence régionale de santé) d’Ile-de-France, a été ouverte dimanche au centre hospitalier de Versailles-Le Chesnay. La direction de l’établissement est également en lien avec l’Anssi, l’Agence nationale de la sécurité des systèmes d’information, pour gérer cette crise.

Quelles sont les conséquences ?

Quelques minutes après la cyberattaque, l’ensemble du système informatique du centre hospitalier a été coupé par mesure de précaution. L’établissement, qui s’est « mis en mode protection des données », selon le ministre, a déclenché son plan blanc et a déprogrammé une partie des opérations, a fait savoir l’Agence régionale de santé.

Du personnel a été mobilisé en plus dans les services de réanimation, dont les patients requièrent une surveillance accrue, et du matériel a été amené en renfort. Les « machines de soins » fonctionnent mais pas leur « mise en réseau », « donc il faut plus de monde pour surveiller les patients en service de réanimation, il faut une personne devant chaque chambre pour surveiller les écrans », a détaillé le ministre de la Santé, décrivant une « réorganisation totale de l’hôpital ».

Selon Richard Delepierre, les urgences fonctionnent lundi à « 50 % » et la maternité est « réduite au tiers de sa capacité », mais « l’essentiel des rendez-vous et des opérations de la journée en ambulatoire sont réalisés ». « C’est la galère, on doit tout refaire sur papier à la main depuis ce matin et les médecins doivent faire toutes leurs prescriptions de médicaments manuellement aussi », ont expliqué trois aides-soignantes à l’AFP.

Le Samu « n’est pas atteint » et « s’est mis en ordre de marche pour réagir » en cas de transferts, a poursuivi François Braun. Par mesure de sécurité, six patients « lourds » - trois adultes hospitalisés en réanimation et trois nouveau-nés du service de néonatologie - ont été transférés vers d’autres établissements franciliens. D’autres pourraient être transférés, a précisé le ministre. L’accueil aux urgences étant impacté, il est conseillé aux habitants de la région de ne pas s’y rendre et d’appeler le 15 si besoin, a indiqué le ministre délégué à la Transition numérique, Jean-Noël Barrot.

Pourquoi les hôpitaux sont-ils régulièrement visés par des cyberattaques ?

Les cyberattaques contre les établissements de santé se sont multipliées ces dernières années en France. Ces groupes de hackers exploitent, par l’intermédiaire d’un rançongiciel ou « ransomware », les failles de sécurité de leurs systèmes informatiques pour les chiffrer et les bloquer, avant d’exiger une rançon pour les débloquer.

En 2020, en pleine crise du coronavirus, 27 cyberattaques d’hôpitaux ont été dénombrées. Au mois de mars, c’est l’Assistance publique-Hôpitaux de Paris (AP-HP), qui gère 39 hôpitaux publics, qui a été est prise pour cible. Les pirates avaient généré une grande quantité de connexions simultanées pour surcharger les serveurs. En février 2021, un fichier comportant les données médicales sensibles de près de 500.000 personnes en France, qui proviendraient d’une trentaine de laboratoires de biologie médicale, avait circulé sur Internet.

Dernière en date, le 22 août dernier, une cyberattaque qui a visé le Centre hospitalier Sud Francilien (CHSF) de Corbeil-Essonnes. Ce piratage de grande ampleur a perturbé le fonctionnement de l’établissement pendant plusieurs semaines, avant de revenir proche de la normale à la mi-octobre.

Dans un premier temps, les hackers avaient exigé une rançon de 10 millions de dollars, avant de la ramener à un ou deux millions de dollars, à payer avant le 23 septembre. Ces derniers ont mis leur menace à exécution en diffusant sur le « dark Web » des données confidentielles concernant les patients, le personnel et les partenaires de l’établissement.

Si le centre hospitalier de Versailles a lui aussi reçu une demande de rançon, son montant n’a pas été communiqué. Peu importe le prix, pas question de la payer, selon la direction de l’hôpital. La loi française interdit aux établissements publics de payer des rançons. « On est en face d’une nouvelle manière de faire la guerre. Ce n’est pas une attaque isolée, il s’agit d’une opération de la même nature que l’attaque visant l’hôpital de Corbeil », a également indiqué Richard Delepierre.

Toutefois, si ces cyberattaques sont devenues « quotidiennes », « l’immense majorité est stoppée » à temps, a tenu à rassurer le ministre de la Santé.

Comment vont se passer les investigations ?

Une plainte a été déposée par l’hôpital dimanche soir. Dans le même temps, une enquête préliminaire a été ouverte par le parquet de Paris, compétent en la matière, pour tentative d’extorsion, accès et maintien dans un système numérique mis en œuvre par l’Etat, introduction de données et entrave à ce système, le tout en bande organisée.

Les investigations ont été confiées au Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie, qui mènera l’enquête et à la Sous-direction de la lutte contre la cybercriminalité (SDLC) de la police judiciaire.