Cybersécurité santé : le CERT dévoile les coulisses de la chasse aux failles

Les pompiers numériques de la santé sortent de l’ombre

Imaginez qu’un chercheur en sécurité découvre qu’un logiciel de gestion des dossiers patients utilisé dans des centaines d’hôpitaux français contient une faille permettant d’accéder à des millions de données médicales confidentielles. Que se passe-t-il ensuite ? C’est précisément ce processus opaque que le CERT Santé et le CERT-FR ont décidé d’éclairer avec leur publication du 2 octobre 2026, référencée CERTFR-2026-CTI-007.

Ces deux équipes d’experts constituent les Computer Emergency Response Teams (CERT) — véritables pompiers numériques — chargés de gérer les incidents de cybersécurité. Le CERT-FR, rattaché à l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), assure la coordination nationale, tandis que le CERT Santé, créé en 2020, se concentre spécifiquement sur les enjeux du secteur médical. Une spécialisation pionnière en Europe qui reflète la criticité particulière de ce domaine.

Quand une faille informatique peut coûter des vies

Le secteur de la santé présente une particularité redoutable : contrairement à une banque qui peut fermer ses systèmes le temps d’une maintenance, un hôpital ne s’arrête jamais. Les équipements médicaux connectés — scanners IRM, respirateurs, pompes à perfusion — fonctionnent 24 heures sur 24, 7 jours sur 7. Une vulnérabilité non corrigée peut directement menacer la vie des patients, créant un dilemme éthique unique : faut-il arrêter un système vulnérable au risque d’interrompre des soins vitaux, ou le maintenir en service au risque d’une cyberattaque ?

Les chiffres parlent d’eux-mêmes : entre 2020 et 2026, les attaques contre les établissements de santé français ont explosé de 350%. Ces agressions ont des conséquences concrètes et dramatiques — reports d’opérations chirurgicales, transferts d’urgence de patients, paralysie des systèmes de radiologie ou de biologie. Le retour d’expérience publié vise justement à professionnaliser la gestion des vulnérabilités avant qu’elles ne soient exploitées par des cybercriminels.

Divulgation coordonnée : la diplomatie de la cybersécurité

Le document dévoile les rouages de ce qu’on appelle la divulgation coordonnée (ou responsable). Lorsqu’un chercheur découvre une faille dans un logiciel médical, il ne la publie pas immédiatement sur Internet — ce qui donnerait aux pirates un mode d’emploi pour l’exploiter. Il la signale d’abord confidentiellement au CERT Santé ou au CERT-FR.

S’engage alors un processus méticuleux en plusieurs étapes :

• Réception et analyse : les experts du CERT évaluent la criticité de la vulnérabilité et identifient les produits et établissements affectés
• Notification confidentielle : l’éditeur du logiciel est alerté en privé et accompagné dans la conception d’un plan d’action
• Développement du correctif : l’éditeur crée une mise à jour (patch) qui corrige la faille, un processus qui peut prendre de quelques jours à plusieurs mois selon la complexité
• Communication coordonnée : une fois le correctif disponible, les établissements de santé sont alertés pour déployer rapidement la mise à jour, puis l’information devient publique

Cette approche diplomatique permet de gagner du temps face aux attaquants. Selon les pratiques internationales, les éditeurs disposent généralement de 90 jours pour corriger une vulnérabilité avant sa divulgation publique. Dans le secteur santé, ces délais peuvent être ajustés selon la criticité et la complexité du correctif.

Les défis techniques qui corsent la partie

Si le processus semble bien huilé sur le papier, la réalité du terrain est autrement plus complexe. Le secteur santé accumule les particularités qui compliquent la correction des vulnérabilités.

Premier obstacle : l’obsolescence des équipements. De nombreux hôpitaux utilisent encore des scanners IRM ou des systèmes d’imagerie médicale vieux de 10 à 15 ans. Ces équipements, qui ont coûté des centaines de milliers d’euros, fonctionnent parfaitement sur le plan médical mais tournent sur des systèmes d’exploitation obsolètes (Windows XP, par exemple) que leurs fabricants ne supportent plus. Comment corriger une vulnérabilité sur un système que l’éditeur a abandonné ?

Deuxième casse-tête : les fenêtres de maintenance limitées. Contrairement à une entreprise classique qui peut déployer des correctifs la nuit ou le week-end, un hôpital fonctionne en continu. Installer une mise à jour sur un système critique nécessite de planifier une interruption de service, ce qui peut prendre des semaines de coordination entre services informatiques et médicaux.

Troisième complication : la validation réglementaire. Les dispositifs médicaux sont soumis à des certifications strictes. Modifier le logiciel d’un équipement médical, même pour corriger une faille de sécurité, peut nécessiter une nouvelle validation par l’ANSM (Agence Nationale de Sécurité du Médicament), rallongeant considérablement les délais.

Quatrième difficulté : la fragmentation des éditeurs. Le marché français des logiciels de santé compte des centaines d’éditeurs, souvent des PME qui n’ont pas les ressources d’un géant technologique pour maintenir des équipes de sécurité dédiées. Cette atomisation complique la coordination et peut ralentir le développement des correctifs.

Un cas d’école : les dispositifs médicaux implantables

Les vulnérabilités dans les dispositifs médicaux connectés — pacemakers, pompes à insuline, neurostimulateurs — illustrent parfaitement les défis inédits du secteur. Des chercheurs ont démontré à plusieurs reprises qu’il était techniquement possible de pirater ces appareils à distance pour modifier leurs paramètres, avec des conséquences potentiellement mortelles.

Le problème ? On ne peut pas simplement « redémarrer » un pacemaker implanté chez un patient pour installer un correctif. Ces dispositifs nécessitent des architectures de sécurité pensées dès la conception (security by design) et des mécanismes de mise à jour sécurisée à distance extrêmement robustes. Les régulateurs — l’ANSM en France, la FDA aux États-Unis — ont durci leurs exigences, imposant désormais des évaluations de cybersécurité dès la phase de développement. Un bouleversement pour une industrie médicale habituée à des cycles de développement longs et à une culture de sécurité centrée sur la fiabilité mécanique plutôt que numérique.

Transparence ou opacité : l’équilibre délicat

La publication de ce retour d’expérience marque une évolution notable vers plus de transparence. Jusqu’ici, de nombreux établissements de santé se plaignaient d’être tenus à l’écart du processus de divulgation coordonnée, découvrant les vulnérabilités affectant leurs systèmes seulement après publication publique. Cette frustration est compréhensible : comment se protéger efficacement si l’on n’est pas informé des menaces pesant sur ses propres infrastructures ?

Le CERT Santé et le CERT-FR naviguent sur une ligne de crête délicate. D’un côté, la confidentialité est nécessaire pour éviter que des attaquants n’exploitent les vulnérabilités avant qu’elles ne soient corrigées. De l’autre, la transparence est indispensable pour que les établissements puissent évaluer leurs risques et prioriser le déploiement des correctifs. Le document publié pourrait annoncer une évolution vers une communication plus proactive auprès des établissements directement concernés, sans compromettre la sécurité globale du processus.

Les implications concrètes pour les acteurs du secteur

Pour les directeurs des systèmes d’information (DSI) et responsables de la sécurité (RSSI) des établissements de santé, ce retour d’expérience impose une professionnalisation accrue. Il devient indispensable de :

• S’abonner aux bulletins du CERT Santé et du CERT-FR pour recevoir les alertes en temps réel
• Cartographier exhaustivement tous les logiciels et équipements connectés pour identifier les surfaces d’attaque
• Établir un processus interne de gestion des correctifs avec priorisation selon la criticité
• Négocier avec les éditeurs des clauses contractuelles garantissant des délais de correction rapides
• Tester régulièrement les plans de continuité d’activité en cas de cyberattaque

Pour les éditeurs de logiciels médicaux, la pression s’intensifie. Les exigences de réactivité et de transparence augmentent, tout comme les coûts de sécurisation. Les petits éditeurs qui ne peuvent assumer ces investissements risquent d’être progressivement évincés du marché, accélérant une consolidation déjà en cours. Le risque réputationnel et juridique en cas de vulnérabilité exploitée devient majeur, avec une jurisprudence en construction sur la responsabilité des éditeurs.

Pour les patients, cette coordination invisible les protège quotidiennement de multiples risques : vol de dossiers médicaux (utilisables pour usurpation d’identité ou chantage), modification malveillante de prescriptions, interruption de soins. Ils peuvent toutefois constater occasionnellement des ralentissements ou indisponibilités temporaires de services (prise de rendez-vous en ligne, accès au dossier patient) lors de l’installation de correctifs urgents — un désagrément mineur au regard de la protection apportée.

Vers une harmonisation internationale ?

La France fait figure de pionnière avec son CERT Santé dédié, mais cette spécialisation crée paradoxalement une fragmentation. Un éditeur de logiciel médical international doit potentiellement gérer des signalements de multiples CERT — CERT-FR, CERT Santé, CERT européen (ENISA), FDA américaine — avec des processus et délais différents. Cette multiplication des interlocuteurs peut ralentir la correction des vulnérabilités au lieu de l’accélérer.

Une harmonisation internationale des processus de divulgation pour le secteur santé devient urgente. L’Union européenne avance dans cette direction avec la directive NIS2 (2023) qui impose des standards communs. Mais les différences réglementaires entre pays — notamment sur la responsabilité juridique des éditeurs et les sanctions applicables — compliquent encore la convergence.

Les questions qui restent en suspens

Si la publication du CERT Santé et du CERT-FR apporte un éclairage bienvenu, de nombreuses zones d’ombre persistent. Le document ne précise pas :

• Combien de vulnérabilités critiques ont été traitées depuis la création du CERT Santé en 2020 ?
• Quels sont les délais moyens de correction dans le secteur santé, comparés à d’autres secteurs critiques comme la finance ou l’énergie ?
• Quel pourcentage d’établissements applique effectivement les correctifs dans les délais recommandés ?
• Existe-t-il des vulnérabilités « zero-day » (inconnues des éditeurs) actuellement exploitées dans le secteur santé français ?
• Quelle responsabilité juridique en cas d’incident patient lié à une vulnérabilité connue mais non corrigée ?

Ces interrogations soulignent la nécessité d’un dialogue continu entre autorités, éditeurs et établissements de santé. La cybersécurité médicale ne peut se construire dans l’opacité, mais nécessite un équilibre subtil entre transparence opérationnelle et discrétion stratégique.

Conclusion : la cybersécurité, condition de la continuité des soins

La publication de ce retour d’expérience marque une étape importante dans la maturation de la cybersécurité du secteur santé français. En levant le voile sur leurs méthodes, le CERT Santé et le CERT-FR envoient un double message : d’une part, que la protection des systèmes médicaux est une priorité nationale nécessitant une coordination professionnelle ; d’autre part, que cette protection ne peut être efficace sans la collaboration active de tous les acteurs — éditeurs, établissements, chercheurs en sécurité.

Dans un contexte où les cyberattaques contre les hôpitaux se multiplient et se sophistiquent, la gestion rigoureuse des vulnérabilités devient une condition sine qua non de la continuité des soins. Chaque faille corrigée avant son exploitation, c’est potentiellement des dizaines d’opérations qui ne seront pas reportées, des milliers de dossiers patients qui ne seront pas dérobés, des vies qui ne seront pas mises en danger.

Reste à savoir si cette transparence accrue s’accompagnera de moyens renforcés — humains, techniques, réglementaires — pour accélérer la correction des vulnérabilités. Car dans la course entre attaquants et défenseurs, chaque jour compte. Et dans le secteur de la santé plus qu’ailleurs, le temps, c’est littéralement la vie.