Cyberattaques à l’hôpital : quelles réponses ? quels recours ?

Le 8 octobre 2022, les équipes du CHU de Montpellier ont présenté dans le cadre de Futurapolis Santé les solutions mises en œuvre pour protéger les données de santé des patients. 

La cyberattaque dont a été victime l’hôpital de Corbeil Essonne en août dernier est encore dans toutes les mémoires. Des données de santé, le plus souvent des comptes-rendus d’examens nominatifs, ont été extraites en masse et, l’hôpital ayant refusé de payer la rançon, publiées par les hackers sur le darkweb. Des informations confidentielles consultées depuis par plus de 10 000 internautes. 

Les données de santé pouvant être revendues très cher à des entreprises commerciales, les hôpitaux sont particulièrement visés par ces attaques et tous mettent en œuvre des stratégies pour y faire face. A Montpellier par exemple, sur les 12 millions de mails reçus chaque mois, moins de deux millions sont effectivement distribués aux utilisateurs finaux, la grande majorité étant considérée comme émanant d’expéditeurs douteux. « De nombreuses actions de sensibilisation et d’information sont développées auprès des professionnels. Par exemple, le mot de passe utilisé doit être complexe et exclusivement réservé à l’hôpital. Il faut aussi éviter d’insérer des clés USB dans les ordinateurs », a témoigné Laurent Wilmann Courteau, directeur du pôle numérique en santé et protection des données du CHU de Montpellier. 

Recours des patients

Si aucun patient n’a pour l’heure déposé plainte devant un tribunal de grande instance contre un établissement hospitalier, la démarche ne peut être exclue. La décision des juges serait alors particulièrement scrutée par les directions hospitalières. « Un pourvoi en justice est possible mais il importe de préciser que les hôpitaux ont en la matière une obligation de moyens et non de résultats (1) », a estimé Laurent Wilmann Courteau. 
Avant cette étape judiciaire, les personnes dont les données ont été hackées disposent d’autres recours : ils peuvent déposer plainte auprès du Centre d'action contre les criminalités numériques - cyber@gendarmerie.interieur.gouv.fr -, de la sous-direction de lutte contre la cybercriminalité de la police nationale, ou directement sur la plateforme PHAROS -  également joignable par téléphone au 0811 02 02 17.