Ransomware en EHPAD : quand un pirate prend vos résidents en otage

Beaucoup de directions d'établissement raisonnent encore ainsi : « nous soignons des personnes âgées, nous ne sommes pas une banque, personne ne s'intéresse à nous ». Cette intuition est dangereusement fausse. Les maisons de repos figurent parmi les cibles privilégiées des attaques par rançongiciel, et pour des raisons précises.

D'abord, un établissement médico-social manipule des données de santé : pathologies, traitements, comptes rendus médicaux, données de dépendance. Ce sont des « données sensibles » au sens du RGPD, parmi les plus recherchées sur les marchés clandestins et les plus coûteuses à voir fuiter.

Ensuite, et c'est le levier des attaquants, un établissement de soins ne peut pas se permettre l'arrêt. Quand le dossier de soins informatisé est chiffré, ce ne sont pas des factures qui sont bloquées : c'est la traçabilité des traitements, les plannings de distribution des médicaments, les protocoles. La pression pour payer rapidement est donc maximale, ce que les pirates savent parfaitement.

Enfin, le niveau de maturité informatique est souvent modeste : une informatique gérée à temps partiel, des postes partagés, des sauvegardes mal isolées. La combinaison « données précieuses + activité critique + défenses légères » fait de la maison de repos une cible rationnelle.

Pour comprendre la mécanique, déroulons un scénario représentatif. Tout commence par un courriel anodin reçu sur le poste de l'accueil ou de l'administration : une fausse facture, une pièce jointe piégée. Un clic, et un programme malveillant s'installe discrètement.

Pendant quelques jours, l'attaquant explore le réseau, identifie les serveurs, repère les sauvegardes. Puis il déclenche le chiffrement. Au matin, l'équipe découvre que plus rien n'est accessible : le logiciel de soins affiche un message de rançon, les dossiers des résidents sont illisibles, les transmissions numériques sont gelées.

Les conséquences sont immédiates et concrètes :

• La continuité des soins est menacée. Sans accès au dossier, les équipes reconstituent les traitements à la main, au risque d'erreurs médicamenteuses.
• Les données médicales sont peut-être exfiltrées. Les attaquants menacent de publier les dossiers des résidents pour forcer le paiement (double extorsion).
• L'établissement doit notifier. Une violation de données de santé impose une notification à la CNIL sous 72 heures et, le plus souvent, une information des résidents et de leurs familles.

Dans un établissement de soins, une cyberattaque n'est pas un incident informatique : c'est un incident de sécurité des personnes. C'est ce qui en fait un risque assurable à part entière, distinct des dégâts matériels classiques.

L'erreur d'analyse la plus fréquente consiste à réduire le risque au montant de la rançon. En réalité, payer ou ne pas payer n'est qu'une partie minoritaire de la facture. Le coût d'une cyberattaque en maison de repos se ventile sur de nombreux postes.

Ce qui pèse le plus lourd, ce n'est presque jamais la rançon — qu'il est d'ailleurs déconseillé de payer — mais la remise en route et la mise en conformité. Reconstruire un système d'information de soins, restaurer des sauvegardes saines, sécuriser le réseau, gérer la communication de crise auprès des familles et des autorités : tout cela mobilise des compétences spécialisées et coûteuses, pendant plusieurs semaines.

Une confusion répandue consiste à croire que la multirisque professionnelle ou la RC Pro couvriront « bien quelque chose » en cas de cyberattaque. Dans la grande majorité des cas, ce n'est pas vrai, et il vaut mieux le savoir avant le sinistre.

La multirisque professionnelle indemnise les dommages matériels aux biens : incendie, dégât des eaux, vol de matériel. Or une donnée chiffrée par un rançongiciel n'est pas un bien physiquement endommagé : aucun mur n'est touché, aucun serveur n'est brûlé. Le préjudice est immatériel et numérique, hors du périmètre habituel de la multirisque.

La RC Pro, elle, répond des fautes commises dans l'exercice de l'activité de soins. Elle n'a pas vocation à financer la gestion de crise informatique, la restauration des systèmes ou les obligations de notification RGPD.

C'est précisément le rôle d'une assurance cyber dédiée : elle intervient sur le terrain spécifique du risque numérique, là où les autres contrats s'arrêtent. Sans elle, l'établissement supporte seul l'intégralité d'un sinistre dont le coût peut menacer son équilibre financier.

Souscrire une assurance cyber n'exonère pas de réduire la probabilité de l'attaque. Les assureurs attendent d'ailleurs un socle minimal de mesures, et ces mesures réduisent fortement le risque de sinistre.

1. Sauvegardez de façon isolée et testée. Une sauvegarde déconnectée du réseau, vérifiée régulièrement, est la meilleure protection contre un rançongiciel : elle permet de restaurer sans payer.
2. Activez la double authentification. Sur les accès distants et les logiciels de soins, elle bloque la plupart des intrusions par mot de passe volé.
3. Sensibilisez les équipes au courriel piégé. L'immense majorité des attaques entre par un clic. Une sensibilisation simple du personnel administratif et soignant réduit nettement le risque.
4. Maintenez les logiciels à jour. Les failles non corrigées sont des portes ouvertes ; les mises à jour de sécurité doivent être appliquées sans délai.
5. Cloisonnez les accès. Tout le monde n'a pas besoin d'accéder à tout : limiter les droits limite la propagation d'une attaque.

Ces mesures n'ont rien d'exotique, mais combinées à une assurance cyber, elles transforment une catastrophe potentielle en incident maîtrisé. Pour une maison de repos qui détient les données de santé de dizaines de résidents, c'est aujourd'hui un volet de sécurité aussi fondamental que la prévention des chutes. Retrouvez l'ensemble de vos risques sur notre page assurance maison de repos de santé.