C’est arrivé tôt jeudi matin. Les systèmes informatiques de l’Hôpital universitaire de Düsseldorf sont en panne. Plus rien ne fonctionnait. Entre-temps, les autorités ont confirmé que l’incident était une attaque de hackers. Isabel Pfeiffer-Poensgen, ministre de la Culture et de la Science de Rhénanie-du-Nord-Westphalie, a expliqué au parlement de l’État qu’une lettre de chantage avait été envoyée, qui avait cependant été retirée après l’intervention de la police. L’hôpital universitaire de Düsseldorf est l’un des plus grands hôpitaux de Rhénanie-du-Nord-Westphalie et traite jusqu’à 350 000 patients chaque année.

En raison de l’attaque de hackers, les opérations normales à l’hôpital ne sont pas possibles. Le service d’ambulance vers les urgences a dû être arrêté, les personnes dans le besoin sont invitées à ne pas se rendre à l’hôpital pour le moment et les rendez-vous de traitement à venir ont été annulés ou reportés.

Ce n’est pas la première fois que l’informatique d’un hôpital est contournée par une attaque de hackers. Il arrive sans cesse que des hôpitaux, cabinets ou instituts de recherche soient ciblés par des cybercriminels. À l’été 2019, la société sponsor South-West of the German Red Croix-Rouge a été victime d’une attaque par ransomware. 13 hôpitaux ont été touchés. Pire pourrait être évité par une réaction rapide et l’arrêt des systèmes informatiques. Néanmoins, les médecins et le personnel infirmier ne pouvaient travailler que plusieurs jours avec du papier et du stylo. En décembre 2019, le malware Emotet s’est propagé dans un hôpital de Fürth, en Bavière. De plus, le Handelsblatt a rapporté que depuis le début de 2020 – et donc depuis le début de la propagation du coronavirus en Allemagne – le risque de cyberattaques contre les hôpitaux n’a cessé d’augmenter. Par exemple, des cybercriminels appartenant au groupe d’extrême droite « Orchestre du Coup d’État » ont profité de la situation tendue pour envoyer une lettre de chantage au ministre de la Santé, Jens Spahn. Il contenait une demande de transfert de 25 millions d’euros vers un compte Bitcoin afin d’empêcher des attaques informatiques à grande échelle contre des hôpitaux allemands. Cependant, on ne sait pas comment l’incident s’est terminé.

Pourquoi les hôpitaux sont-ils plus susceptibles d’être victimes de cyberattaques ?

L’incident survenu à l’hôpital universitaire de Düsseldorf illustre que les cyberattaques ont un impact massif sur les hôpitaux. Les soins aux patients sont limités, les rendez-vous de traitement et les opérations doivent être annulés dans les cas extrêmes, et les données très sensibles peuvent tomber entre de mauvaises mains. Cela permet aux hackers d’exercer une pression massive. Cela fait des hôpitaux une cible lucrative pour les cybercriminels.

Parallèlement, les hôpitaux sont potentiellement très vulnérables aux cyberattaques, car de nombreuses personnes ont accès à ces systèmes informatiques complexes et en réseau. Cela nécessite un haut niveau de sécurité informatique. D’une part, cela fait référence à un personnel suffisamment formé qui assure la sécurité des serveurs et des systèmes informatiques 24h/24. En revanche, les employés hospitaliers doivent également être sensibilisés aux risques cybernétiques et suffisamment formés. Il y a souvent un manque de ressources pour ce niveau élevé de mesures, qu’il s’agisse de coûts, de temps ou même de personnel, ce qui conduit finalement à une augmentation du risque de cyberattaque.

Les types d’attaques les plus courants incluent la propagation de logiciels malveillants et de ransomwares. De plus, les attaques DDoS deviennent plus fréquentes. Cela conduit à une surcharge ciblée des serveurs, ce qui rend finalement impossible les opérations normales des hôpitaux et les soins de santé associés.

À quel point le système de santé allemand est-il cybersécurisé ?

Une enquête représentative de la population menée par PWC sur le thème de la « sécurité des données dans les cliniques et les cabinets médicaux » de 2019 montre que 28 % des répondants classent les pannes informatiques comme un risque majeur en termes de complications potentielles pendant un séjour à l’hôpital. Les répondants évaluent la situation en médecine générale encore plus sérieusement. Ici, 45 % estiment ne pas être du tout ou du moins pas suffisamment préparés aux cybermenaces.

Depuis 2019, la réglementation KRITIS est en vigueur au sein de l’Office fédéral de la sécurité de l’information (BSI), qui classe certains secteurs comme pertinents pour les attaques et dignes de protection en raison de leur importance et de leur importance pour l’ensemble de la population allemande. Parmi eux, les hôpitaux pouvant accueillir plus de 30 000 patients hospitalisés. Ces institutions doivent fournir des preuves spéciales et répondre aux exigences de sécurité informatique. De plus, ils sont soumis à l’obligation de signaler s’ils ont été victimes d’une cyberattaque. Cependant, cette réglementation BSI ne s’applique pas aux petits hôpitaux et cabinets médicaux. Ils sont indépendants responsables de leur sécurité informatique. Selon l’étude de PWC, cependant, 51 % des répondants estiment que les petits hôpitaux, et surtout les ruraux, sont mal ou très mal préparés aux cyberattaques.

Comment les hôpitaux peuvent-ils se protéger contre les cyberattaques ?

Comme dans de nombreux autres secteurs, une sensibilisation globale des employés est importante. Les répondants à l’étude PWC le voient également ainsi. 87 % ont déclaré que l’éducation et la formation sont des mesures appropriées pour minimiser les cyberattaques dans les cliniques et cabinets.

Richard Renner, directeur général chez Perseus, déclare :

« Un haut degré de conscience, des tests réguliers et des formations peuvent aider les employés à rester alertes et attentifs, même dans des situations stressantes. Cela évitera un mauvais clic ou un téléchargement. Si les hackers réussissent néanmoins leur attaque, une gestion rapide des urgences est essentielle. Lors d’une cyberattaque, chaque minute compte pour éviter pire. »

Dans le cas des hôpitaux, des tests d’intrusion intensifs et réguliers peuvent également aider. Les systèmes informatiques sont largement testés par des experts informatiques et les lacunes de sécurité sont détectées très tôt. Les lacunes peuvent alors être comblées immédiatement par les experts avant qu’un hacker ne puisse les utiliser comme passerelle.