Dans un établissement de santé, l'hameçonnage n'exploite pas d'abord une faille technique : il exploite l'organisation du soin. Postes partagés entre plusieurs soignants, personnel en rotation, internes et vacataires arrivant par vagues, urgence permanente qui interdit d'hésiter devant un écran. Un message bien contextualisé y a une durée de vie bien plus longue qu'ailleurs.
Ce que l'attaquant vise dans un établissement
Trois butins se distinguent, avec des logiques d'attaque différentes.
Les identifiants d'accès au dossier patient informatisé. Ils ouvrent un fonds de données de santé, catégorie particulière au sens du RGPD. La revente ou le chantage à la publication suivent.
La messagerie professionnelle des fonctions support. Direction financière, achats, biomédical : c'est le point de départ des fraudes au changement de coordonnées bancaires fournisseur, très rentables dans un environnement où les commandes d'équipements sont fréquentes et volumineuses.
Un pied dans le système d'information pour préparer un chiffrement. L'accès initial obtenu par hameçonnage sert de tremplin. L'impact final n'est plus une fuite de données, c'est une déprogrammation d'activité : blocs, imagerie, laboratoire, transferts de patients.
Ce dernier point change la nature du risque. Dans la santé, la disponibilité du système d'information est une composante directe de la sécurité des patients.
Les scénarios qui fonctionnent, et pourquoi
| Scénario | Prétexte utilisé | Population visée | Pourquoi il passe |
|---|---|---|---|
| Faux message de la DSI | Migration de messagerie, quota dépassé | Tous les agents | Les changements d'outils sont fréquents et mal annoncés |
| Résultat d'examen à consulter | Lien vers un « portail de résultats » | Soignants, secrétariats médicaux | Le flux légitime ressemble au flux frauduleux |
| Fournisseur biomédical | Facture ou avoir en attente | Achats, comptabilité | Chaîne fournisseur dense, interlocuteurs changeants |
| Convocation RH ou planning | Modification de garde, avenant | Personnel en rotation | La pression sur les plannings crée un réflexe d'ouverture |
| Coopération territoriale | Partage de dossier entre établissements | Cadres, praticiens | Les échanges inter-établissements sont légitimes et nombreux |
Le point commun : chacun de ces scénarios imite un flux réel. La sensibilisation qui dit « méfiez-vous des messages inattendus » ne fonctionne donc pas, parce que ces messages ne sont pas inattendus.
Ajoutez la mécanique moderne du phishing : une page relais qui transmet en direct l'échange d'authentification au vrai service. Le soignant saisit son identifiant, puis son code, l'attaquant récupère le cookie de session émis après une authentification pourtant réussie. La MFA n'a pas été cassée, elle a été traversée.
Le cadre réglementaire applicable
La directive NIS2 ((UE) 2022/2555) couvre le secteur de la santé et cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues. L'établissement doit pouvoir démontrer non seulement qu'un dispositif existe, mais qu'il est adapté aux accès concernés.
Le RGPD s'applique avec une exigence renforcée : les données de santé relèvent des catégories particulières, et une compromission déclenche l'analyse d'une violation de données à caractère personnel, avec notification et, selon le risque, information des personnes concernées.
L'ISO/IEC 27001 reste le cadre de référence pour structurer la démarche, et la qualification SecNumCloud de l'ANSSI un critère utile lors du choix d'un hébergeur pour les briques les plus sensibles.
Des parades compatibles avec la réalité du soin
La contrainte est simple : toute mesure qui ralentit un geste clinique sera contournée. Les parades doivent donc être asymétriques — fortes là où l'enjeu est fort, invisibles ailleurs.
- Séparer les usages. L'accès au dossier patient depuis un poste de service et l'accès à la messagerie ou à Internet n'appellent pas le même niveau de contrôle. Cloisonner évite d'imposer partout la contrainte du périmètre le plus sensible.
- Protéger d'abord les fonctions support et les comptes à privilèges. Ce sont elles qui déclenchent les paiements et administrent les annuaires. Une méthode liée à l'origine (FIDO2/WebAuthn) y est réaliste, car ces postes sont fixes et nominatifs.
- Sortir le SMS-OTP des parcours sensibles. Le NIST SP 800-63B le classe « restricted ». Sur un site hospitalier, s'y ajoute un problème pratique : la couverture réseau dans les bâtiments techniques.
- Valider l'acte, pas seulement la connexion. Modifier des coordonnées bancaires fournisseur, exporter un fichier de patients, ouvrir un accès à distance : ces gestes méritent une preuve d'intention explicite au moment où ils sont réalisés.
- Raccourcir la vie des sessions sur les périmètres administratifs et savoir les révoquer. Après un hameçonnage, changer le mot de passe ne suffit jamais.
- Adapter la sensibilisation au rythme du service. Un message de trois lignes affiché au moment du changement d'équipe est plus efficace qu'un module annuel de quarante minutes.
L'objectif n'est pas d'obtenir un personnel infaillible. C'est de faire en sorte qu'une erreur individuelle, statistiquement inévitable, ne se transforme pas en accès durable au système d'information.
FAQ
Comment protéger des postes partagés entre plusieurs soignants ?
En dissociant l'identification de l'authentification : identification rapide pour l'accès courant, preuve forte pour les actions sensibles. Une session doit aussi expirer sur inactivité courte, avec une reprise rapide, sinon les soignants la maintiennent ouverte en permanence.
La MFA est-elle applicable au personnel de nuit et aux remplaçants ?
Oui, à condition d'anticiper l'enrôlement et la récupération. Le point de rupture n'est presque jamais la connexion quotidienne, c'est le vacataire qui arrive un dimanche sans dispositif enrôlé. Prévoir ce parcours évite les dérogations permanentes.
Que faire immédiatement après un hameçonnage avéré ?
Révoquer les sessions actives du compte, vérifier les règles de redirection de messagerie créées récemment, contrôler les changements de coordonnées bancaires effectués depuis la compromission et rechercher les accès au dossier patient sortant du périmètre habituel de l'agent.
La sensibilisation sert-elle encore à quelque chose ?
Elle réduit le volume, pas le risque résiduel. Un agent formé devient surtout un capteur utile s'il sait qu'on ne lui demandera jamais d'approuver une authentification qu'il n'a pas déclenchée, et s'il dispose d'un canal de signalement immédiat.
Aller plus loin : authentification cognitive : le principe · ce qui rend une MFA résistante au phishing · NIS2 dans la santé · RGPD et données de santé