Votre fichier de malades vaut de l'or : le risque qu'on ignore

Une association de soutien et d'accompagnement de malades manipule, par nature, l'une des catégories d'informations les plus protégées du droit français et européen : les données de santé. Le nom d'un adhérent, c'est une donnée personnelle. Le nom d'un adhérent associé à une pathologie chronique, à un traitement en cours, à un parcours de soin ou à une situation de fin de vie, c'est une donnée « sensible » au sens du RGPD, soumise à un régime de protection renforcé.

Ces fichiers contiennent souvent bien plus que des coordonnées : antécédents médicaux mentionnés dans les échanges, situation familiale, vulnérabilité psychologique, parfois des informations financières liées à une aide. Pour un cybercriminel, c'est une mine. Ces données se revendent, servent à des campagnes d'hameçonnage ciblant des personnes affaiblies, ou alimentent des tentatives d'extorsion particulièrement cyniques.

Beaucoup de dirigeants associatifs sous-estiment cette valeur. Ils raisonnent en « petite structure sans intérêt pour les pirates ». C'est une erreur d'analyse : les attaques actuelles ne ciblent pas tant la taille que la vulnérabilité. Et de ce point de vue, une association de soutien aux malades coche toutes les cases du profil exposé.

Les ingrédients d'une attaque réussie sont rarement la sophistication technique. Ce sont des failles humaines et organisationnelles, et le monde associatif les cumule sans mauvaise volonté, simplement par manque de moyens.

Premier facteur : des outils grand public détournés de leur usage. Le fichier des adhérents circule souvent par email, vit dans un tableur partagé, ou s'héberge sur un compte cloud personnel d'un bénévole. Aucun chiffrement dédié, des mots de passe faibles, parfois réutilisés. Deuxième facteur : la rotation des bénévoles. Les accès accordés ne sont pas toujours révoqués au départ d'une personne, et chaque nouvelle recrue n'est pas formée aux réflexes de sécurité. Troisième facteur : l'absence de sauvegarde sérieuse. En cas de chiffrement par rançongiciel, la structure n'a aucune copie saine à restaurer.

Le scénario type est désormais bien connu. Un bénévole reçoit un email qui imite une administration ou un partenaire de santé. Il clique, saisit ses identifiants, ou ouvre une pièce jointe. Quelques heures plus tard, les fichiers sont chiffrés et une demande de rançon s'affiche. L'association découvre alors qu'elle ne peut plus accéder aux dossiers de ses adhérents, et qu'elle ignore si ces données ont été exfiltrées avant le chiffrement.

La protection des postes et serveurs qui hébergent ces fichiers passe aussi par un parc maîtrisé : c'est l'enjeu d'une couverture du matériel informatique, complémentaire de la sécurité logique.

Au-delà du préjudice opérationnel, une fuite de données de santé déclenche des obligations légales strictes. En cas de violation susceptible d'engendrer un risque pour les personnes, l'association doit notifier la CNIL dans les 72 heures, et informer les personnes concernées lorsque le risque est élevé. Pour des données de santé, ce seuil est presque toujours atteint.

Imaginez la situation : devoir écrire à chacun de vos adhérents pour leur annoncer que leurs informations médicales ont peut-être été dérobées. Pour une structure dont la mission repose entièrement sur la confiance de personnes vulnérables, c'est un séisme. Le préjudice de réputation peut être plus destructeur que la perte technique elle-même : des adhérents qui partent, des partenaires hospitaliers qui suspendent la collaboration, des donateurs qui s'éloignent.

S'ajoute le risque de sanction. La CNIL peut prononcer des amendes, et même si les associations à but non lucratif bénéficient d'une certaine modération dans l'appréciation, la responsabilité des dirigeants peut être recherchée en cas de négligence caractérisée. Le coût total d'un incident — gestion de crise, expertise technique, communication, reconstruction des systèmes — se chiffre rapidement en milliers d'euros, une somme rarement provisionnée dans un budget associatif.

La première ligne de défense ne coûte presque rien : c'est l'hygiène numérique. Centraliser le fichier des adhérents sur un outil dédié et chiffré plutôt que sur des tableurs éparpillés. Imposer des mots de passe robustes et l'authentification à deux facteurs. Limiter les accès au strict nécessaire et les révoquer systématiquement au départ d'un bénévole. Mettre en place des sauvegardes régulières et déconnectées, seul vrai rempart contre un rançongiciel. Et surtout, sensibiliser les bénévoles : la majorité des attaques commencent par un clic humain.

Mais l'hygiène ne suffit pas à elle seule, car le risque zéro n'existe pas. C'est là qu'intervient le second pilier : un filet de sécurité financier et opérationnel. Une assurance cyber ne se contente pas de rembourser. Elle déclenche une cellule de crise dès la détection de l'incident : experts en investigation numérique pour mesurer l'étendue de la fuite, accompagnement juridique pour la notification CNIL, prise en charge de la communication auprès des adhérents, et financement de la remise en état des systèmes.

Pour une association de soutien aux malades, cette assistance vaut autant que l'indemnisation. Au cœur d'une crise, des bénévoles seuls et démunis ne peuvent ni qualifier juridiquement la violation, ni dialoguer techniquement avec les attaquants, ni rédiger la communication adéquate. L'assurance cyber apporte une équipe là où la structure n'en a pas. C'est, pour ce métier, moins un confort qu'une condition de survie de la mission elle-même.