Paralysé par une cyberattaque, le Centre hospitalier de Corbeil-Essonnes ne versera pas de rançon

Dans la nuit de samedi à dimanche, le Centre hospitalier sud-francilien a été frappé par une cyberattaque, et les pirates demandent une rançon de dix millions de dollars pour rétablir les outils et les logiciels. Du côté de la direction, on a choisi de ne pas céder au chantage, même si ce type d’attaque devrait finalement coûter plusieurs millions d’euros à l’État.

Dix millions de dollars. C’est la somme que réclament des pirates à la direction du Centre hospitalier sud francilien (CHSF), situé à Corbeil-Essonnes. Depuis dimanche, tout le réseau informatique est paralysé par un ransomware et, dans les colonnes du journal Le Parisien, Medhy Zeghouf, président du conseil de surveillance du CHSF, prévient qu’il ne mettra pas la main à la poche.

« Une procédure a aussitôt été mise en place par l’Agence régionale de santé (ARS). Ce n’est pas le premier établissement de santé attaqué de la sorte. Nous allons donc pouvoir nous appuyer sur ce qui a été déjà été fait. Dans tous les cas, il serait contre-productif de payer cette rançon. » C’était déjà le choix effectué par les villes d’Annecy et La Rochelle.

Le choix de ne pas céder au chantage des hackers va évidemment compliquer la remise en service du système informatique. Cela peut prendre plusieurs semaines, et actuellement, cette attaque rend inaccessibles tous les logiciels métiers de l’hôpital, les systèmes de stockage (notamment d’imagerie médicale) et le système d’information ayant trait aux admissions de la patientèle. Globalement, c’est tout le plateau technique qui est indisponible, explique-t-on dans un communiqué, et il faut en revenir au stylo et à la fiche papier pour les admissions.

L’exemple de l’hôpital de Dax

En conséquence, les patients dont les soins nécessitent l’accès au plateau technique sont transférés vers d’autres établissements du réseau des hôpitaux publics d’Ile-de-France. Concernant les personnes déjà hospitalisées dans l’établissement, la cellule de crise a mis en place les mesures nécessaires à leur prise en charge. L’objectif est évidemment qu’aucun patient ne décède à cause de cette paralysie des services d’informations.

Sur le plan comptable, et même sans le versement de rançon, cette cyberattaque va coûter très cher. Ainsi, l’attaque informatique contre l’hôpital de Dax en 2021 avait occasionné des frais estimés à 2,3 millions d’euros. En février 2021, la direction du centre hospitalier avait aussi fait le choix de ne pas payer de rançon, et TIC Santé avait détaillé les frais engendrés par une telle attaque.

Pris en charge par l’ARS Nouvelle Aquitaine, il fallait compter sur 174.000 euros d’investissements matériels pour reconstruire le réseau, 546.000 euros pour les prestations en cybersécurité et les réinstallations, mais aussi et surtout 1,48 million d’euros sur le plan humain avec les renforts et les heures supplémentaires engendrés par les dysfonctionnements.

De plus en plus de cyberattaques en France

À l’époque, il avait fallu « des mois » pour que le service refonctionne normalement… Malheureusement, l’avenir reste sombre puisque le dernier rapport en date d’Avast fait état d’une augmentation de 42 % des attaques par ransomware en France. Fin 2021, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) révélait aussi que le nombre de cyberattaques avait été multiplié par quatre en un an, et que le système de santé était une cible privilégiée des hackers. Au-delà de la paralysie des systèmes d’informations, il y a le danger de la fuite des données des patients. Et c’est hélas déjà arrivé.