EASM et santé : quand la cybersécurité devient une question de vie
En 2024, une étude américaine a établi un lien direct entre les ransomwares sur les hôpitaux et une augmentation de la mortalité des patients. Le secteur de la santé est la cible n°1 des groupes ransomware depuis 2022. En France, le CHU de Rennes, l'Hôpital de Corbeil-Essonnes, le GHT Savoie, le CH Arras ont tous été touchés.
Pourquoi le secteur santé est si vulnérable
1. Des systèmes legacy omniprésents
Les hôpitaux fonctionnent souvent avec des équipements médicaux utilisant des systèmes d'exploitation obsolètes : Windows XP, Windows 7, parfois connectés directement sur Internet pour la télémédecine ou la maintenance distante.
2. Une surface d'attaque qui s'étend rapidement
- Télémédecine (accélérée post-COVID)
- Objets médicaux connectés (IoMT)
- Applications patients et portails de santé
- Intégrations avec les laboratoires, radios, pharmacies
- Développement des GHT (Groupements Hospitaliers de Territoire)
3. Des données extrêmement précieuses
Les données médicales se vendent 10 à 40x plus cher que les données financières sur le dark web. Un dossier médical complet peut valoir jusqu'à 1 000€.
Les risques spécifiques à détecter avec l'EASM
| Risque | Description | Criticite |
|---|---|---|
| DICOM exposé | Imagerie médicale accessible sans auth | Critique |
| VPN legacy exposé | Accès maintenançants à des systèmes médicaux | Critique |
| RDP sur réseaux médicaux | Accès direct aux postes cliniques | Critique |
| Windows XP/7 exposés | EternalBlue et autres exploits actifs | Critique |
| Portails patients sans MFA | Accès aux dossiers médicaux | Élevé |
Le cadre réglementaire santé en France
- HDS (Hébergeur de Données de Santé) : obligation d'hébergement certifié
- PGSSI-S (Politique Générale de Sécurité des SI de Santé)
- NIS2 : les hôpitaux sont des entités essentielles
- RGPD : données de santé = données sensibles catégorie spéciale
Comment l'EASM protège les organisations de santé
- Inventaire des actifs médicaux exposés : identification de tout système accessible sur Internet
- Détection des systèmes legacy : alertes sur Windows XP/7, logiciels non maintenus
- Surveillance des accès télémédecine : VPN, portails patients, APIs
- Alertes CVE spécifiques santé : CVE sur systèmes médicaux (DICOM, HL7)
Conclusion
Dans le secteur de la santé, une vulnérabilité non traitée peut dépasser le cadre informatique et avoir des conséquences humaines directes. L'EASM n'est pas un outil optionnel pour les organisations de santé — c'est une responsabilité.
Mots-clés : EASM santé hôpital, cybersécurité hôpitaux, ransomware santé France, NIS2 établissements santé, surface attaque CHU hôpital