En santé, l'attaque AiTM (adversary-in-the-middle) rencontre un environnement où la sécurité doit céder devant le soin. Postes partagés entre soignants, sessions longues, gardes de nuit, accès distants de praticiens libéraux et de prestataires biomédicaux : chaque contrainte d'exploitation crée une opportunité pour un proxy inverse. Une session volée sur un accès distant au dossier patient informatisé donne accès à des données relevant de l'article 9 du RGPD, et à un système dont l'indisponibilité a des conséquences cliniques.
Ce qui rend l'AiTM efficace en milieu hospitalier
Le facteur temps. Un soignant sollicité pendant un acte ne consacre pas d'attention à l'inspection d'une URL. Le proxy inverse sert le vrai site, avec un certificat valide : aucun indice visuel ne signale l'anomalie, même à un utilisateur attentif.
La diversité des populations. Praticiens hospitaliers, internes en rotation courte, personnel intérimaire, praticiens libéraux avec accès partiel, prestataires de maintenance biomédicale, laboratoires partenaires. Chaque population a un cycle de vie de compte différent, et les comptes d'internes ou d'intérimaires sont fréquemment mal fermés.
L'existence de canaux d'urgence. Toute procédure de contournement prévue pour ne pas bloquer un soin — accès de secours, déverrouillage exceptionnel, réinitialisation rapide au guichet informatique — devient une cible d'ingénierie sociale, et le complément naturel d'un AiTM.
Cartographie des accès et niveau d'exigence réaliste
| Contexte d'accès | Contrainte de soin | Exposition à l'AiTM | Exigence tenable |
|---|---|---|---|
| Poste partagé en unité de soins | Ouverture immédiate, mains occupées | Faible en direct, forte via messagerie | Badge de proximité, session courte, verrouillage |
| Accès distant praticien | Domicile, matériel personnel | Élevée | Facteur lié à l'origine, obligatoire |
| Messagerie professionnelle | Aucune contrainte de délai | Très élevée | Facteur lié à l'origine, alerte sur règles |
| Télémaintenance biomédicale | Fenêtre d'intervention | Élevée | Compte nominatif, ouverture à la demande |
| Portail patient | Grand public | Moyenne | Détection d'usage, sessions courtes |
| Applications de gestion | Horaires ouvrés | Moyenne | Accès conditionnel, réauthentification par action |
Ce tableau porte une idée de fond : en santé, le bon niveau d'authentification dépend du contexte d'usage plus que du profil de l'utilisateur. Le même praticien mérite une exigence différente selon qu'il consulte un dossier au lit du patient ou qu'il accède depuis son domicile.
Le guichet informatique, deuxième temps de l'attaque
Le scénario le plus documenté en santé combine deux mouvements. L'AiTM capture d'abord une session, qui fournit à l'attaquant l'organigramme, le vocabulaire interne, les noms des services et les procédures. Un appel au support informatique suit, avec une demande de réinitialisation de facteur d'authentification pour un compte à privilèges, présentée dans un contexte d'urgence clinique.
La parade est procédurale, pas technique : aucun facteur n'est réinitialisé sur la base d'une demande téléphonique, quel que soit le degré d'urgence invoqué. La procédure alternative doit exister et être connue — c'est la condition pour que le refus soit tenable en pratique, y compris la nuit.
Contre-mesures compatibles avec l'activité de soin
Prioriser par exposition, pas par grade. Les accès distants et la messagerie doivent basculer en premier vers un facteur lié à l'origine. Les postes internes en unité de soins relèvent d'abord d'une logique de proximité physique et de verrouillage automatique.
Traiter les comptes à cycle court. Internes, intérimaires, remplaçants : la fermeture des comptes à la fin de la mission doit être automatique et adossée au processus RH, pas à un signalement manuel.
Verrouiller les données de règlement et d'identité. Les modifications de coordonnées bancaires d'un professionnel ou d'un fournisseur, et les modifications d'identité patient, méritent un contrôle indépendant du canal de saisie.
Réduire la valeur d'une session volée. Durée de vie courte sur les périmètres sensibles, réévaluation contextuelle, révocation testée en exercice. Une procédure de révocation qui n'a jamais été jouée ne tiendra pas au moment utile.
Ajouter une preuve d'intention sur les gestes lourds. Export massif de dossiers, modification de droits, ouverture d'un accès prestataire : ces actions justifient une validation explicite qui ne dépend pas de la session en cours. Le facteur cognitif permet cette validation par un défi résolu au moment de l'action, dans un canal éphémère ouvert par QR code dynamique à usage unique. La biométrie y est traitée localement et aucune donnée identifiante n'est détenue à l'extérieur, ce qui est une contrainte forte dans un environnement soumis au RGPD et à l'hébergement de données de santé.
FAQ
Le badge de proximité est-il une MFA suffisante ?
Il résout la friction d'ouverture de session sur poste partagé, ce qui est précieux. Il ne constitue pas une protection contre un proxy inverse sur un accès distant, et il ne prouve pas l'intention sur une action sensible.
Comment gérer l'urgence sans créer une porte dérobée ?
En prévoyant une procédure d'exception écrite, tracée et limitée dans le temps, plutôt qu'en laissant le support improviser. Une exception documentée est auditable ; une exception implicite ne l'est pas.
Les données de santé imposent-elles un facteur particulier ?
Aucun texte ne prescrit une méthode. Le RGPD exige des mesures adaptées au risque, et le risque est élevé pour des données de l'article 9. Une méthode traversable par un relais se défend difficilement sur ce périmètre.
Que faire des accès de télémaintenance biomédicale ?
Comptes nominatifs, ouverture sur fenêtre d'intervention, enregistrement de session et authentification résistante au phishing. Un accès permanent chez un prestataire équivaut à une session permanente exposée.
Aller plus loin : authentification cognitive · l'attaque AiTM en détail · NIS2 dans la santé · RGPD et données de santé