Dans un établissement de santé, le push bombing ne réussit pas par surprise : il réussit parce qu'une notification s'interpose entre un soignant et un dossier patient, au moment où celui-ci a les mains prises. L'attaquant possède déjà des identifiants valides ; il ne lui manque qu'une approbation, et il sait que la pression du soin la lui donnera.
Ce que l'attaquant vise réellement
L'objectif n'est presque jamais le compte lui-même. Ce que vise l'intrusion, par ordre de valeur :
- le dossier patient informatisé et les modules de prescription, qui concentrent des données de santé et des identités complètes ;
- les comptes de télémaintenance des éditeurs métier et des fabricants de dispositifs, souvent très privilégiés et faiblement surveillés ;
- la messagerie administrative de la direction des achats ou des finances, point de départ classique d'une fraude au virement fournisseur ;
- enfin, un point d'appui dans le système d'information pour un chiffrement massif : dans un hôpital, la menace d'un arrêt du bloc ou du plateau technique vaut négociation.
Cette hiérarchie explique le ciblage. Les rafales de notifications visent en priorité les comptes d'administration applicative et l'encadrement, pas le personnel de passage.
Pourquoi le contexte de soins amplifie la mécanique
La MFA fatigue exploite un automatisme. L'organisation hospitalière en produit beaucoup.
Le travail en trois-huit signifie qu'une sollicitation nocturne ne surprend personne : prises de poste, astreintes et gardes rendent une demande d'authentification à trois heures du matin parfaitement plausible. Les postes partagés dans les services multiplient les ouvertures et fermetures de session, donc le nombre de validations quotidiennes ; à la vingtième, plus personne ne lit le contenu de la notification. Les interruptions permanentes achèvent le travail : un soignant interrompu six fois en dix minutes traite l'approbation comme un réflexe, pas comme une décision.
S'y ajoute la variante la plus efficace : un appel qui accompagne la rafale. Un correspondant se présente comme la cellule informatique, explique qu'un incident affecte le dossier patient et demande de valider pour rétablir l'accès. Les sollicitations cessent aussitôt après, ce qui confirme le récit.
| Moment | Ce que perçoit le professionnel | Ce que fait l'attaquant | Signal exploitable par le SOC |
|---|---|---|---|
| Prise de poste, 6h-7h | Une demande de plus dans une séquence normale | Teste des identifiants issus d'une fuite | Authentification depuis une adresse inhabituelle |
| Garde de nuit | Notification isolée, réflexe d'approbation | Rafale ciblée sur un compte d'astreinte | Série de refus suivie d'une acceptation |
| Appel du « support » | Explication crédible d'un incident applicatif | Vishing synchronisé avec les demandes | Corrélation appel entrant / pic de sollicitations |
| Après approbation | Rien : l'accès fonctionne toujours | Ouvre une session, enrôle son propre facteur | Ajout d'un facteur juste après la connexion |
Le cadre réglementaire applicable
La santé figure parmi les secteurs couverts par la directive NIS2 (directive (UE) 2022/2555), dont les mesures de gestion des risques citent explicitement l'authentification multifacteur ou continue. La conséquence pratique n'est pas d'avoir « une MFA », mais de pouvoir démontrer que la méthode retenue résiste aux scénarios connus — et le push bombing en est un.
Les données traitées relèvent par ailleurs des catégories particulières au sens du RGPD, ce qui impose une traçabilité fine des accès. Un compte approuvé par lassitude produit exactement le problème que l'on veut éviter : des consultations parfaitement journalisées, parfaitement authentifiées, et pourtant illégitimes. La journalisation ne compense pas un facteur faible.
Pour l'hébergement des données et des services, la qualification SecNumCloud de l'ANSSI constitue enfin un point de référence fréquent dans les consultations du secteur.
Parades réalistes en milieu de soins
Toute parade qui allonge le geste de soin sera contournée. Les mesures suivantes restent compatibles avec l'exploitation réelle d'un service.
- Supprimer la notification push simple sur les comptes à privilèges : administrateurs applicatifs, comptes de télémaintenance, comptes d'astreinte. C'est la population ciblée, et elle est assez restreinte pour supporter une méthode plus exigeante.
- Imposer la correspondance de numéro et l'affichage du contexte partout où le push subsiste : application concernée, localisation, heure. Une approbation réflexe devient au moins une approbation informée.
- Limiter le débit et alerter sur la rafale. Trois refus consécutifs sur un même compte doivent déclencher un signalement, pas une quatrième notification.
- Documenter une procédure dégradée. La continuité des soins interdit qu'un blocage d'authentification empêche un geste urgent. Cette procédure doit exister, être tracée et être bornée dans le temps, faute de quoi elle deviendra le chemin d'attaque privilégié.
- Préférer un facteur qui demande un raisonnement actif. C'est le cœur du sujet : un bouton « Approuver » entretient l'automatisme, un challenge à résoudre le casse. Le facteur cognitif repose sur cette idée — prouver une intention humaine consciente plutôt que valider une sollicitation.
Sur un poste partagé, deux propriétés comptent particulièrement : l'absence de secret réutilisable d'un agent à l'autre, et un traitement local de la biométrie éventuelle. Une approche passwordless et IDless, avec un QR code dynamique à usage unique ouvrant un canal éphémère chiffré, évite d'attacher un secret durable à un terminal collectif. Le déploiement en overlay d'une MFA existante permet de commencer par les seuls parcours à risque, sans reprendre tout le socle d'authentification.
FAQ
La correspondance de numéro suffit-elle à stopper le push bombing ?
Elle élève fortement le coût de l'attaque, puisque l'attaquant doit faire parvenir le bon nombre à la victime. Elle ne résiste pas à un scénario combiné où un faux support dicte le chiffre au téléphone. C'est une mesure nécessaire, pas une réponse complète.
Comment concilier authentification forte et urgence vitale ?
En séparant les parcours. L'accès en situation d'urgence doit disposer d'un mode dégradé explicite, journalisé et revu a posteriori, tandis que les actions administratives et les accès à privilèges restent soumis au facteur fort. Mélanger les deux conduit soit à bloquer le soin, soit à affaiblir l'ensemble.
Le personnel intérimaire change-t-il l'analyse ?
Oui. Un agent qui découvre l'organisation ne peut pas juger de la normalité d'une sollicitation, et les comptes temporaires sont souvent mal révoqués. L'enrôlement et la révocation doivent être traités comme un processus de gestion des ressources humaines, pas comme une tâche informatique secondaire.
Faut-il journaliser les refus d'authentification ?
Systématiquement. Une série de refus constitue le seul signal disponible avant l'approbation fatale. Sans collecte des échecs et des refus, l'équipe de détection ne voit l'attaque qu'une fois la session ouverte.
Aller plus loin : le pilier authentification cognitive · mécanique générale du push bombing · NIS2 et établissements de santé · répondre à la MFA fatigue par un 4e facteur