8 500 dossiers gynécologiques chiffrés un vendredi soir : le scénario que votre cabinet doit anticiper
8 500 dossiers chiffrés un vendredi soir : ce qu'une cyberattaque coûte réellement à un cabinet de gynécologie médicale.
- Un dossier médical complet se revend sur le dark web bien plus cher qu'un numéro de carte bancaire — et un dossier gynécologique se prête au chantage à la divulgation.
- Violation de données de santé : notification à la CNIL sous 72 heures et information individuelle des patientes si le risque est élevé.
- Scénario reconstitué : environ 46 000 € de coûts directs pour un cabinet de deux praticiennes, sans même payer la rançon.
- La RC Pro médicale ne couvre pas ce risque : seule une garantie cyber finance forensic, notification, perte d'exploitation et défense RGPD.
Pourquoi votre serveur intéresse plus les pirates que celui d'une banque
Sur les places de marché criminelles, un dossier médical complet se négocie plusieurs dizaines d'euros, quand un numéro de carte bancaire volé en vaut à peine un : la donnée de santé ne se « révoque » pas, elle reste exploitable à vie pour la fraude et l'usurpation d'identité.
Le cabinet de gynécologie médicale cumule les données les plus sensibles du droit français : IVG, contraception de patientes mineures, sérologies VIH et hépatites, parcours d'infertilité, antécédents de violences. C'est exactement le terrain de la « double extorsion » : les attaquants chiffrent vos fichiers, mais menacent surtout de publier les dossiers si la rançon n'est pas payée. La pression psychologique exercée sur un praticien tenu au secret médical est incomparablement plus forte que sur un commerce. Les cabinets libéraux, moins protégés que les hôpitaux, sont devenus une cible privilégiée des campagnes de rançongiciel visant le secteur santé.
Reconstitution : vendredi, 19 h 40, l'écran affiche une demande de rançon
Cabinet de groupe, deux gynécologues médicales, une secrétaire, un logiciel métier hébergé sur un serveur local. Trois semaines plus tôt, un courriel imitant un laboratoire d'analyses a été ouvert sur le poste du secrétariat. Ce vendredi soir, tout est chiffré : agenda, dossiers, comptes rendus. 8 500 dossiers patientes ont aussi été exfiltrés. Rançon demandée : 25 000 € en cryptomonnaie, doublée sous dix jours.
Sur conseil du prestataire de réponse à incident et de l'assureur, la rançon n'est pas payée. Voici la facture réelle :
| Poste de coût | Montant |
|---|---|
| Investigation forensic et reconstruction du système | 18 500 € |
| Courriers de notification aux 8 500 patientes | 6 800 € |
| Avocat spécialisé RGPD (CNIL, dépôt de plainte) | 4 200 € |
| Perte d'exploitation : 9 jours de fermeture | 12 300 € |
| Surveillance dark web pendant 12 mois | 2 100 € |
| Ligne téléphonique d'information des patientes | 2 400 € |
Total : environ 46 300 €, sans compter des mois de suspicion dans la relation de soin.
72 heures chrono : vos obligations légales
Dès la découverte de l'incident, le compte à rebours réglementaire démarre :
- Notification à la CNIL sous 72 heures (article 33 du RGPD), même si l'investigation n'est pas terminée — une notification initiale peut être complétée ensuite ;
- Information individuelle des patientes (article 34) lorsque le risque pour leurs droits et libertés est élevé : c'est presque toujours le cas quand des données gynécologiques ont été exfiltrées ;
- Signalement de l'incident sur le portail national des incidents de sécurité des systèmes d'information de santé, qui déclenche l'appui du CERT Santé ;
- Dépôt de plainte, indispensable pour l'enquête comme pour l'indemnisation assurantielle.
Attention au réflexe inverse : dissimuler la violation pour protéger la réputation du cabinet expose à des sanctions CNIL bien supérieures au coût de la transparence, et aggrave la responsabilité en cas de réutilisation des données.
Les sept gestes qui divisent le risque
Aucune mesure ne rend un cabinet inattaquable, mais sept gestes réduisent drastiquement la probabilité et l'impact d'une attaque :
- une sauvegarde 3-2-1 : trois copies, deux supports, dont une déconnectée du réseau — et testée par une restauration réelle deux fois par an ;
- la double authentification sur le logiciel métier, la messagerie et l'accès à distance ;
- les mises à jour systématiques du logiciel de gestion de cabinet et du système d'exploitation ;
- la messagerie sécurisée de santé (MSSanté) pour tout échange de résultats — jamais l'e-mail standard ;
- la séparation des sessions secrétariat et médical, sans droits administrateur au quotidien ;
- un gestionnaire de mots de passe partagé au cabinet, pour en finir avec le post-it ;
- une sensibilisation annuelle de l'équipe au phishing, première porte d'entrée de la quasi-totalité des attaques.
Ce qu'une garantie cyber couvre — et ce qu'elle ne couvrira jamais
Premier point, souvent découvert trop tard : votre RC professionnelle médicale couvre les dommages causés aux patientes par vos actes de soin, pas la reconstruction de votre système d'information ni vos obligations RGPD. Ce sont deux risques, donc deux contrats.
Une assurance cyber adaptée à un cabinet médical prend en charge : l'assistance d'urgence 24/7 et l'investigation forensic, la restauration des données et des systèmes, les frais de notification à la CNIL et aux patientes, la perte d'exploitation pendant la fermeture, la défense juridique et les réclamations de tiers dont les données ont fuité. Dans notre scénario, la quasi-totalité des 46 300 € aurait été absorbée, moyennant une prime annuelle de l'ordre de quelques centaines d'euros pour un cabinet de gynécologie médicale.
Restent les angles morts à connaître : les sanctions administratives de la CNIL ne sont pas assurables en France, le paiement de la rançon est encadré et souvent exclu ou conditionné au dépôt de plainte, et la garantie peut être refusée si les mesures de sécurité déclarées à la souscription (sauvegardes, MFA) n'existaient pas réellement.
Questions fréquentes
Non, sauf extension très marginale. La RC Pro médicale indemnise les dommages corporels causés par vos actes de soin. Les coûts propres d'une cyberattaque — investigation, restauration, notification CNIL, perte d'exploitation, réclamations des patientes dont les données ont fuité — relèvent d'un contrat cyber dédié. Les deux garanties sont complémentaires, pas interchangeables.
La recommandation constante des autorités (ANSSI, CERT Santé) est de ne pas payer : rien ne garantit la restitution des données ni l'absence de publication, et le paiement finance de futures attaques. Côté assurance, la prise en charge de la rançon est de plus en plus restreinte et toujours conditionnée, notamment au dépôt de plainte. La vraie protection reste une sauvegarde déconnectée et testée.
Oui, lorsque la violation présente un risque élevé pour leurs droits et libertés — ce qui est presque toujours le cas si des dossiers gynécologiques ont été exfiltrés. L'information doit être individuelle, claire et décrire la nature des données concernées, les conséquences probables et les mesures prises. Une bonne assurance cyber finance et organise cette campagne de notification avec vous.
Non : en France, les sanctions administratives prononcées par la CNIL sont considérées comme inassurables, car les couvrir priverait la sanction de son effet dissuasif. En revanche, les frais de défense devant la CNIL (avocat, réponse à la mise en demeure) sont assurables et figurent dans les bons contrats cyber. D'où l'intérêt de réagir vite et de documenter votre conformité.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Gynécologue médical — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Gynécologue médical →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.