Cyberattaque à l'hôpital de Corbeil-Essonnes

Suite à l'attaque de son système d'information dans la nuit du samedi 20 au dimanche 21 août, le centre hospitalier Sud francilien de Corbeil-Essones a déclenché son plan blanc exigeant l'intervention de sa cellule de crise.
Cette attaque, de type ransomware, a rendu inaccessible les logiciels métiers de l'hôpital, les systèmes de stockage ainsi que la partie du système d'information liée à l'admission des patients.
Une rançon de 10 millions de dollars a été demandée par les pirates, que l'hôpital a choisi de refuser de payer.
L'hôpital met tout en œuvre pour maintenir son activité mais est néanmoins contraint de rediriger certains patients selon le besoin vers d'autres établissements de santé.

Ce type d’infrastructure est malheureusement une cible clef pour les attaquants et plusieurs raisons peuvent expliquer cette situation :

• des difficultés d’obtention de moyens proportionnés aux enjeux de ce type de système d’information ;
• une hétérogénéité des systèmes d’information, avec des équipements et logiciels propriétaires appartenant à une multitude de prestataires ;
• une complexité d’un maintien en conditions de sécurité dû aux enjeux extrêmes en termes de disponibilité des équipements, et des dispositifs de maintenance réalisés à distance par les prestataires en question ;
• le besoin même de ces systèmes d’information, assurant un besoin critique car permettant d’assurer des soins.

Les hôpitaux sont de facto considérés comme des Opérateurs d’Importance Vitale (OIV), et sont donc soumis à des règles et mesures spécifiques, leur permettant de protéger les systèmes d’information stratégiques.

Ce type d’attaque n’est pas neutre, en effet pendant la gestion de la crise et la remise à niveau du système d’information, mobilisant ressources humaines, moyens financiers et compétences spécifiques, c’est tout un dispositif d’accueil des patients et de soins qui est pénalisé. 
Il faut donc faire preuve de résilience. Dans le cas de l’hôpital de Corbeil-Essones, les équipes ont été capables dès le lendemain de rediriger les patients vers d’autres établissements de santé afin d’assurer un niveau de service et tenter de reprendre l’activité.

Des actions d'anticipation : diagnostic cyber, sensibilisation des directions, audits d’architectures, accompagnements dans la définition d’un schéma directeur et mise en œuvre de mesures clefs.
Des moyens adaptés de réaction : mise en œuvre du plan de continuité d'activité, service spécialisé de réponse à incident.
Rédacteurs : Romain Rousseau - consultant et manager Conseil & Formation CybersécuritéIdris Bouguerra - consultant CNPP en sécurité des systèmes d'information