Cyberattaque d'un service essentiel : que faire

Quand une cyberattaque paralyse un hôpital, une collectivité ou un opérateur, la sécurité de votre ordinateur n’est pas le sujet : le service lui-même s’arrête, parfois pendant des semaines. Le bon réflexe est de suivre les consignes officielles, d’appeler le 15 en cas d’urgence plutôt que de vous présenter dans un hôpital touché, et de vous méfier des messages qui exploitent l’attaque. Se préparer consiste surtout à garder sur papier ce qui n’existe d’habitude que dans les systèmes informatiques des autres.

Comment se passe une cyberattaque ?

La plupart des cyberattaques contre les services essentiels sont des rançongiciels : un logiciel malveillant chiffre les données et bloque les ordinateurs, puis les attaquants réclament une rançon. Pour éviter la propagation, l’organisme coupe lui-même ses réseaux. Il fonctionne ensuite en « mode dégradé » : papier, téléphone, activité réduite.

Le guide « Tous responsables » du SGDSN range la cybermalveillance parmi les menaces auxquelles chacun doit se préparer, et renvoie vers cybermalveillance.gouv.fr et le 17Cyber.

Corbeil-Essonnes, août 2022

Dans la nuit du samedi 20 au dimanche 21 août 2022, le centre hospitalier Sud-Francilien (CHSF) de Corbeil-Essonnes a été victime d’un rançongiciel. Selon le communiqué de l’établissement relayé par Allodocteurs, les logiciels métiers, le stockage de l’imagerie médicale et le système d’admission des patients sont devenus inaccessibles. L’hôpital a déclenché son plan blanc dès le dimanche. Les patients dont les soins nécessitaient le plateau technique ont été orientés vers d’autres hôpitaux publics d’Île-de-France ; les personnes venues spontanément aux urgences étaient évaluées, puis pouvaient être adressées à la maison médicale de garde. L’activité du bloc opératoire était touchée, les soins ambulatoires maintenus. Une rançon de 10 millions de dollars a été réclamée.

Le retour d’expérience publié par l’ARS Île-de-France décrit la suite : câbles débranchés, site coupé de l’extérieur, cellule de crise avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI), pancartes et formulaires papier dans les services. Aucune rançon n’a été versée.

Versailles, décembre 2022

Le samedi 3 décembre 2022, l’hôpital André-Mignot de Versailles a été attaqué à son tour. Selon l’ARS, il a déclenché son plan blanc et partiellement déprogrammé les activités du bloc opératoire. Le ministre de la Santé a fait état de six transferts de patients, trois en réanimation et trois en néonatologie. Le ministre délégué au numérique a demandé aux habitants de la région qui devaient aller aux urgences d’appeler le 15. Le Samu, lui, n’était pas touché.

Selon l’ARS Île-de-France, quatre à dix mois après ces attaques, les deux établissements se relevaient encore difficilement.

Les collectivités et les opérateurs

Les hôpitaux ne sont pas seuls visés. Selon le ministère de l’Intérieur, 55 collectivités ont été victimes d’attaques par rançongiciel en 2023, contre 37 en 2022. Les conséquences dépendent des services touchés : suivez les informations de votre mairie sur ses canaux officiels (affichage, site, réseaux sociaux).

Pour un opérateur de télécoms, une mutuelle ou une administration, le risque le plus fréquent pour vous n’est pas la panne mais la fuite de données, suivie de messages frauduleux. Si c’est un réseau qui tombe, voir notre page panne du réseau téléphone et internet.

Ce que le foyer peut préparer

L’idée est simple : pendant une cyberattaque, l’hôpital, la pharmacie ou la mairie n’ont parfois plus accès à votre dossier. Ce que vous avez sur papier devient la seule copie disponible. Les éléments ci-dessous sont nos recommandations pratiques ; le kit d’urgence officiel de Géorisques prévoit déjà des photocopies des documents essentiels et des ordonnances dans une pochette étanche.

Le dossier santé papier

• Les ordonnances en cours, en copie, pour chaque personne qui suit un traitement.
• Une fiche par personne : traitements et posologies, allergies, antécédents importants, coordonnées du médecin traitant et des spécialistes.
• Les comptes rendus qui comptent : dernière hospitalisation, résultats récents si vous êtes suivi pour une maladie chronique, carnet de vaccination des enfants.
• Quelques jours de traitement d’avance, en accord avec votre médecin et votre pharmacien, si un traitement ne peut pas être interrompu.

Rangez ce dossier avec le kit d’urgence et mettez-le à jour à chaque changement de traitement. En cas d’hospitalisation pendant une attaque, il permet aux équipes de travailler sans votre dossier informatique.

Le reste, sur papier aussi

• Un carnet de contacts : numéros du médecin, de la pharmacie, des proches, de l’école, de la banque et de l’assurance. Un téléphone déchargé ou bloqué ne vous les rendra pas.
• Les copies des documents administratifs : pièces d’identité, carte Vitale, attestation d’assurance, avis d’imposition récent.
• Un peu d’argent liquide, au cas où les paiements seraient aussi perturbés. Voir notre page panne de carte bancaire.

Le contenu complet du kit officiel est détaillé dans notre page kit de survie du gouvernement. Pour une liste adaptée à votre foyer et à votre adresse, utilisez notre configurateur de kit.

Les escroqueries qui suivent les cyberattaques

Après une attaque ou une fuite de données, les escrocs exploitent l’actualité. Selon la CNIL, l’hameçonnage ciblé s’appuie sur les données volées pour envoyer un courriel ou un SMS frauduleux qui paraîtra réaliste, par exemple au nom de la sécurité sociale, de votre banque ou d’un service de livraison. Cybermalveillance.gouv.fr définit l’hameçonnage comme le fait de se faire passer pour un tiers de confiance (banque, opérateur, administration) pour voler des données personnelles, bancaires ou des mots de passe.

Les réflexes recommandés par la CNIL et Cybermalveillance.gouv.fr :

• ne cliquez pas sur les liens et n’ouvrez pas les pièces jointes d’un message inattendu ; tapez vous-même l’adresse officielle du service ;
• contactez l’organisme par ses canaux habituels en cas de doute, jamais avec les coordonnées du message ;
• ne communiquez jamais vos données bancaires ou vos mots de passe : aucune administration ni société sérieuse ne vous les demandera ;
• changez les mots de passe concernés, en commençant par votre messagerie, et activez la double authentification ;
• prévenez vos proches, en particulier les personnes âgées ou peu à l’aise avec internet.

À qui signaler une arnaque ?

Si vous êtes victime d’une arnaque ou d’une attaque en ligne, le 17Cyber, sur 17cyber.gouv.fr, vous oriente 24 h/24. En cas de débit frauduleux ou de données bancaires communiquées, prévenez immédiatement votre banque pour faire opposition.

Situation	Où s’adresser
Vous êtes victime d’une arnaque ou d’une attaque en ligne	17Cyber, sur 17cyber.gouv.fr (24 h/24, tchat avec un policier ou un gendarme si nécessaire)
SMS ou MMS suspect	Transfert gratuit au 33700
Courriel suspect	Signal Spam
Faux site	Phishing Initiative
Besoin de conseils pour vos démarches	Info Escroqueries, 0 805 805 817 (gratuit, du lundi au vendredi de 9 h à 18 h 30)
Débit frauduleux ou données bancaires communiquées	Votre banque, immédiatement, pour faire opposition

Conservez les preuves (messages, captures d’écran) et déposez plainte au commissariat ou à la gendarmerie. La CNIL conseille aussi, en cas de doute sur une usurpation d’identité, de vérifier auprès de l’administration fiscale si des comptes bancaires ont été ouverts à votre nom (fichier FICOBA).