Cone beam chiffré, agenda mort : le jour où un ransomware paralyse un cabinet de stomatologie

Vu d'un attaquant, un cabinet de stomatologie moderne coche toutes les cases. D'abord la valeur des données : un dossier médical complet se négocie sur les marchés parallèles jusqu'à 30 fois le prix d'un simple numéro de carte bancaire, car il permet usurpation d'identité, fraude à l'assurance et chantage. Un fichier patient de stomatologie contient identités, numéros de sécurité sociale, antécédents, comptes rendus opératoires et imagerie.

Ensuite la dépendance opérationnelle : cone beam, panoramique numérique, logiciel de gestion de cabinet, agenda en ligne, télétransmission SESAM-Vitale, messagerie sécurisée de santé. Sans système d'information, impossible de consulter un historique, de programmer un bloc ou de facturer. Enfin, la surface d'attaque est rarement maîtrisée :

• postes de secrétariat où cohabitent messagerie personnelle et logiciel métier ;
• serveur d'imagerie local vieillissant, jamais mis à jour car « il fait tourner le cone beam » ;
• accès de télémaintenance permanents laissés ouverts par les prestataires d'imagerie ;
• sauvegardes branchées en continu sur le réseau — donc chiffrables avec le reste.

Les rançongiciels ciblant les professionnels de santé n'ont rien d'anecdotique : le secteur santé figure chaque année parmi les trois plus attaqués recensés par l'ANSSI et le CERT Santé, et les cabinets libéraux, moins défendus que les hôpitaux, sont des proies proportionnellement plus faciles.

Reconstitution d'un cas type, inspiré d'incidents documentés dans des structures libérales de taille comparable. Jour J, 7 h 45 : la secrétaire ouvre le poste d'accueil, l'agenda ne se lance pas, un fichier texte s'affiche réclamant une rançon en cryptomonnaie. Le serveur d'imagerie et la sauvegarde USB restée connectée sont chiffrés.

Le bilan financier, établi trois mois plus tard :

Total : 48 300 € — sans payer la rançon, conformément aux recommandations des autorités. S'y ajoutent des coûts invisibles : trois interventions reportées vers un confrère, des patients partis définitivement, et environ 60 heures de temps praticien absorbées par la gestion de crise au lieu du soin. Les radiographies antérieures à la dernière sauvegarde saine, elles, sont perdues : certains dossiers implantaires ont dû être réimagés, à la charge du cabinet.

Au-delà de la crise technique, la violation de données de santé déclenche immédiatement des obligations légales à délais courts, que le praticien responsable de traitement ne peut pas déléguer entièrement à son informaticien :

• Notification à la CNIL sous 72 heures après la prise de connaissance de la violation (article 33 du RGPD), même si l'analyse est encore incomplète — une notification initiale peut être complétée ensuite ;
• Information individuelle des patients si la violation engendre un risque élevé pour leurs droits et libertés (article 34) — c'est presque toujours le cas quand des dossiers médicaux ont été exfiltrés ;
• Signalement au CERT Santé pour les incidents significatifs des structures de santé ;
• Documentation interne de la violation dans le registre, y compris si elle n'est pas notifiée.

Ne pas notifier dans les délais constitue un manquement autonome, sanctionnable indépendamment de l'attaque elle-même. La victime de la cyberattaque peut ainsi devenir la personne sanctionnée.

S'ajoute une exigence structurelle propre à la santé : les données hébergées à l'extérieur doivent l'être chez un hébergeur certifié HDS (hébergement de données de santé). Un cabinet qui stocke ses sauvegardes chez un prestataire cloud généraliste non certifié cumule les manquements. Enfin, en cas d'exfiltration avérée, des patients peuvent engager la responsabilité du praticien pour défaut de sécurisation — un contentieux civil qui se développe rapidement.

Nul besoin d'un budget de clinique privée pour réduire drastiquement le risque. Cinq mesures couvrent l'essentiel des scénarios observés :

• Sauvegarde 3-2-1 avec un exemplaire déconnecté : trois copies, deux supports, une hors ligne ou immuable. C'est la différence entre 3 jours et 3 semaines d'arrêt ;
• Authentification multifacteur sur la messagerie, l'accès distant et le logiciel métier ;
• Cloisonnement du réseau d'imagerie : le cone beam et son serveur n'ont rien à faire sur le même segment que le poste d'accueil qui ouvre les pièces jointes ;
• Encadrement des accès de télémaintenance des prestataires : accès activés à la demande, jamais permanents ;
• Mises à jour et sensibilisation : 15 minutes de formation du secrétariat sur les faux mails d'éditeurs de logiciels métier évitent le vecteur d'entrée numéro un.

Coût total de ce socle pour un cabinet individuel : généralement moins de 2 500 € la première année. À rapporter aux 48 300 € du scénario précédent.

La assurance cyber est le filet de sécurité de ce dispositif, et son intérêt premier n'est pas seulement financier : c'est l'assistance immédiate. Une hotline 24/7 mobilise en quelques heures un prestataire de réponse à incident, un juriste RGPD pour tenir le délai de 72 heures et, si besoin, un communicant. Pour un praticien seul face à un écran verrouillé un lundi matin, cette prise en main vaut la prime à elle seule.

Côté indemnisation, un bon contrat prend en charge la perte d'exploitation consécutive à l'attaque, les frais de reconstitution des données, les frais de notification et d'information des patients, la défense en cas de procédure CNIL et la responsabilité civile envers les patients dont les données ont fuité. Points de vigilance à la souscription : le sous-plafond de perte d'exploitation (souvent trop bas par défaut), la franchise temporelle (les 12 à 24 premières heures d'arrêt restent parfois à charge) et les exigences de sécurité conditionnant la garantie — un contrat exigeant des sauvegardes déconnectées ne paiera pas si elles n'existaient pas.

Dernière précision utile : le ransomware chiffre les données, mais n'endommage pas physiquement le cone beam. À l'inverse, une surtension, un dégât des eaux ou un vol relèvent d'une assurance du matériel informatique et d'imagerie, distincte et complémentaire. Les deux garanties se répondent : l'une protège l'outil, l'autre protège l'activité et les données.