Rançongiciel dans un cabinet de santé : que se passe-t-il pendant les 72 premières heures ?
Les premières heures servent à arrêter la propagation, pas à réparer : on débranche du réseau les appareils touchés sans les éteindre, on appelle son prestataire informatique et on passe le cabinet en mode papier. Dans les 72 heures, il faut en principe notifier la violation de données à l'Autorité de protection des données. Il faut aussi porter plainte au plus tôt et vérifier que les sauvegardes sont saines, sans payer la rançon. La remise en état complète vient ensuite, à partir de sauvegardes saines.
Le scénario en bref
Exemple, inventé pour illustrer. Un lundi, 7 h 50. La secrétaire d'un cabinet de quatre kinésithérapeutes allume le PC de l'accueil. L'agenda ne s'ouvre pas. Sur le bureau, tous les fichiers portent une extension inconnue, et un document explique qu'il faut payer pour les récupérer. Le premier patient arrive à 8 h.
C'est un rançongiciel (en anglais, *ransomware*) : un programme malveillant qui chiffre vos fichiers, c'est-à-dire qui les rend illisibles sans une clé que seuls les criminels possèdent. Souvent, il a aussi copié des données avant de les bloquer, pour menacer de les publier.
Se remettre complètement d'une telle attaque prend du temps. Mais ce qui se décide dans les premières heures pèse lourd. Voici, étape par étape, ce qui se passe et ce que vous faites.
Heure 0 à 1 : couper sans éteindre
Le réflexe naturel est d'éteindre l'ordinateur. C'est une erreur. Il ne faut pas éteindre les appareils touchés : l'arrêt peut effacer des traces présentes en mémoire, utiles pour comprendre l'attaque. Il faut les isoler, pas les arrêter.
- Débranchez le câble réseau des ordinateurs touchés et coupez leur Wi-Fi. Au moindre doute sur l'étendue, débranchez la box internet du cabinet.
- Laissez-les allumés, écran tel quel. Prenez la demande de rançon en photo avec un téléphone.
- Débranchez le disque de sauvegarde s'il est encore relié à un PC ou au réseau, pour qu'il ne soit pas chiffré à son tour.
- N'allumez pas les appareils encore éteints (portable, PC d'une salle de soins) : ils sont peut-être intacts.
- Ouvrez un journal papier : l'heure, qui a fait quoi, ce qu'on a vu. Il servira pour la plainte, l'assureur et l'Autorité de protection des données.
Appelez ensuite votre prestataire informatique, par téléphone plutôt que par mail. Considérez la messagerie du cabinet comme potentiellement compromise et échangez sur un canal séparé, par exemple un groupe dans une application de messagerie chiffrée, sur les téléphones.
Heures 1 à 6 : qui prévenir, et comment
Dans un petit cabinet, la « cellule de crise » se résume souvent à deux personnes : le titulaire et le prestataire informatique. L'important est que chacun sache qui appelle qui. Votre premier interlocuteur, c'est votre prestataire.
| Qui | Pourquoi | Comment |
|---|---|---|
| Votre prestataire informatique | Isoler le réseau, préserver les traces, mesurer l'ampleur | Par téléphone, numéro noté sur papier |
| Votre assureur | Savoir ce que le contrat couvre avant d'engager des frais | Numéro de contrat sous la main |
| La police locale | Porter plainte : l'attaque est une infraction | Au commissariat, avec photos et journal |
| L'équipe du cabinet | Une seule version des faits, aucun bricolage | Dix minutes debout, consignes écrites |
Sachez à quoi vous attendre : selon sa page de signalement, l'adresse [email protected] est réservée aux organisations victimes et la réponse d'un opérateur n'est pas garantie : elle dépend de la gravité de l'incident. Le numéro d'urgence est réservé aux entités soumises à la directive NIS2 (la loi européenne qui impose des règles de cybersécurité aux secteurs essentiels, dont certains acteurs de santé). Votre premier interlocuteur, c'est votre prestataire.
Côté assurance, vérifiez si la réponse aux incidents fait partie de votre contrat. Appelez avant de signer un devis d'intervention : c'est le contrat qui dit ce qui sera pris en charge, et à quelles conditions.
Heures 6 à 24 : mesurer les dégâts et continuer à soigner
La reconstruction n'est pas la première étape. Il faut d'abord savoir ce qui a été chiffré et ce qui a pu être copié. Votre prestataire va chercher à répondre à quatre questions.
- Quels appareils sont touchés ? Le PC de l'accueil seul, ou aussi le serveur qui contient les dossiers patients ?
- Quelles données s'y trouvaient ? Agenda, dossiers médicaux, comptabilité, copies de cartes d'identité.
- Des données sont-elles sorties ? Les criminels copient souvent avant de chiffrer, pour faire pression.
- Les sauvegardes sont-elles intactes ? C'est la question qui décide de tout le reste.
Sur ce dernier point, tout se joue sur une copie indépendante et vérifiée de vos données, que l'attaquant n'a pas pu atteindre : si elle existe, c'est à partir d'elle que l'on restaure. D'où l'intérêt des sauvegardes dites immuables, c'est-à-dire impossibles à modifier ou à effacer pendant une durée fixée à l'avance.
Le cabinet en mode papier
Pendant ce temps, les patients arrivent. Passez en mode dégradé : liste des rendez-vous du jour reconstituée à partir des rappels envoyés ou des téléphones, fiches papier pour les notes de séance, report de ce qui n'est pas urgent. Si votre logiciel de dossier patient est hébergé en ligne et n'est pas touché, ne vous y connectez que depuis un appareil que votre prestataire a déclaré sain.
Communiquez tôt, en commençant par l'équipe, puis les partenaires et les patients concernés, avec un message court : ce que vous savez, ce que vous faites, quand vous donnerez des nouvelles.
Heures 24 à 72 : les obligations légales
Un rançongiciel dans un cabinet est presque toujours une violation de données au sens du RGPD. Le Comité européen de la protection des données range explicitement dans cette catégorie les données rendues indisponibles par le chiffrement d'un rançongiciel, même si rien n'a été volé.
| Obligation | Délai | Où |
|---|---|---|
| Notifier la violation à l'Autorité de protection des données (APD) | Dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance, sauf risque improbable pour les personnes | Portail de l'APD (une notification par mail n'est pas traitée) |
| Informer les patients concernés | Dans les meilleurs délais, si le risque pour eux est élevé | Courrier ou message, en mots simples |
| Documenter l'incident en interne | Toujours, même sans notification | Registre des violations du cabinet |
| Porter plainte | Le plus tôt possible | Police locale |
La notification peut se faire en plusieurs temps : le RGPD (article 33) permet de communiquer les informations de manière échelonnée. Une première déclaration avec ce que vous savez, puis des compléments. La procédure est décrite sur la page de l'APD consacrée aux violations de données.
Et la rançon ?
Ne payez pas. Comme le rappelle le site No More Ransom, rien ne garantit que vous obtiendrez la clé de déchiffrement, et payer confirme aux criminels que leur méthode fonctionne. Payer n'efface pas non plus vos obligations envers l'APD et vos patients.
Gardez une copie des fichiers chiffrés : un outil de déchiffrement gratuit peut apparaître plus tard pour votre rançongiciel. No More Ransom en publie régulièrement.
Après 72 heures : reconstruire sans se réinfecter
Une fois l'ampleur connue et les sauvegardes vérifiées, la remise en route suit un ordre précis.
- Changer tous les mots de passe, en commençant par les comptes administrateurs, et activer la double authentification : un code reçu sur le téléphone en plus du mot de passe.
- Réinstaller entièrement les appareils touchés, mises à jour comprises, plutôt que d'essayer de les « nettoyer ».
- Restaurer d'abord le serveur, puis les postes, à partir d'une sauvegarde antérieure à l'attaque et vérifiée saine. Jamais d'une sauvegarde proche ou postérieure, qui pourrait contenir l'intrus.
- Rouvrir l'accès à internet progressivement, d'abord pour les postes indispensables à la reprise.
- Comprendre par où l'attaquant est entré (mail piégé, accès à distance mal protégé, logiciel pas à jour) et fermer cette porte avant de tourner la page.
Ce que vous pouvez préparer dès lundi
Les 72 premières heures se passent bien mieux quand on les a préparées. Cinq gestes, qui ne demandent presque rien :
- Une fiche d'urgence papier rangée à l'accueil : numéros du prestataire et de l'assureur, numéro de contrat, commissariat, adresse du portail de l'APD.
- Un test de restauration : demandez à votre prestataire de récupérer devant vous un dossier patient d'il y a un mois.
- Au moins une copie de sauvegarde hors ligne ou immuable, hors de portée d'un intrus qui aurait pris la main sur le réseau.
- Un mode papier prêt : fiches de séance vierges, et l'agenda du lendemain exporté chaque soir et rangé sous clé.
- Un exercice de trente minutes avec l'équipe : « l'écran affiche une rançon, que fait-on ? ».
Pour aller plus loin sur les obligations, le guide pour les petites entreprises du Comité européen de la protection des données explique en termes simples ce qu'est une violation de données et quand la notifier.
Préparer votre cabinet à un rançongiciel→
Questions fréquentes
Faut-il éteindre l'ordinateur en cas de rançongiciel ?
Non. Éteindre peut effacer des traces présentes en mémoire, utiles pour comprendre l'attaque. Il faut isoler les appareils touchés : débrancher le câble réseau et couper le Wi-Fi, puis appeler votre prestataire informatique.
Faut-il payer la rançon ?
Non. Rien ne garantit que vous recevrez une clé qui fonctionne, et payer confirme aux criminels que leur méthode marche. Si vous avez une sauvegarde indépendante et vérifiée, restaurez à partir d'elle. Gardez une copie des fichiers chiffrés : un outil de déchiffrement gratuit peut apparaître plus tard, par exemple sur le site No More Ransom.
Un rançongiciel est-il une fuite de données à déclarer à l'APD ?
En principe, oui. Des données rendues indisponibles par un chiffrement sont une violation de données au sens du RGPD, même sans vol. Elle se notifie à l'Autorité de protection des données via son portail, dans les meilleurs délais et si possible dans les 72 heures, sauf si le risque pour les personnes est improbable. Dans tous les cas, l'incident se documente en interne.
Faut-il prévenir les patients ?
Oui, si la violation est susceptible d'engendrer un risque élevé pour eux, par exemple si des dossiers médicaux ont pu être copiés. Ils doivent être informés dans les meilleurs délais, en mots simples : ce qui s'est passé, les données concernées, ce que vous faites et ce qu'ils peuvent faire.
Combien de temps faut-il pour se remettre d'un rançongiciel ?
Les 72 premières heures servent à isoler, prévenir, mesurer les dégâts et remplir les obligations légales. La reconstruction vient ensuite, à partir de sauvegardes saines. Sa durée dépend surtout d'une question : avez-vous une sauvegarde saine, hors de portée de l'attaquant ? Sans elle, la reprise devient longue et incertaine.
Qui prévenir après une attaque par rançongiciel en Belgique ?
D'abord votre prestataire informatique, puis votre assureur. Portez plainte auprès de la police, et notifiez la violation de données à l'Autorité de protection des données, via son portail, si des données personnelles sont touchées.