MtoM Mag - Le journal de l'MtoM.

Alors que les hôpitaux renforcent leurs défenses, les cybercriminels ciblent désormais les fournisseurs technologiques, laboratoires, plateformes de télémédecine et prestataires de services

Selon la dernière étude de Flare, spécialiste du Cyber Threat Intelligence (CTI), consacrée aux attaques par ransomware dans le secteur de la santé en Europe, les groupes criminels privilégient désormais les fournisseurs et partenaires technologiques comme porte d’entrée vers les établissements de santé. L’ensemble de l’écosystème devient une cible stratégique, avec des conséquences opérationnelles et financières qui dépassent largement le paiement d’une rançon. Les attaquants cherchent désormais à monétiser durablement les données volées, les accès compromis et les identifiants dérobés, bien au-delà de la phase d’extorsion.

Basée sur l’analyse des activités de groupes de ransomware entre 2024 et 2026, l’étude montre que les attaques touchent désormais les laboratoires, éditeurs de logiciels médicaux, fournisseurs d’équipements, plateformes de télémédecine, sociétés de recrutement ou encore organismes publics de santé. Flare a détecté 14 groupes spécialisés dans le ransomware ou l’extorsion ciblant spécifiquement cet écosystème dont Qilin, LockBit 3.0, DragonForce, Everest Ransom ou encore Kazu.

Une nouvelle logique : compromettre un fournisseur pour perturber tout un écosystème

Les fournisseurs deviennent des points d’entrée privilégiés vers des infrastructures hospitalières souvent mieux protégées. En compromettant un prestataire technologique ou un fournisseur de services, un groupe criminel peut créer un effet domino affectant plusieurs établissements simultanément, tout en maximisant son pouvoir de pression.

La donnée devient plus rentable que la rançon

Par ailleurs, les cybercriminels ne misent plus uniquement sur le chiffrement des systèmes, les campagnes analysées par Flare montrent l’émergence d’attaques à double extorsion, où le vol massif de données devient un actif économique à part entière. Les informations dérobées sont ainsi revendues ou réutilisées dans des fraudes secondaires bien après l’incident. Dans de nombreux cas, les attaquants privilégient même la revente d’accès compromis, de bases de données ou d’identifiants sur le darknet plutôt que de réclamer une rançon.

Plusieurs cas illustrent cette évolution :

 Spire Healthcare (Royaume-Uni) : 1,8 To de données exfiltrées ;

 NRS Healthcare (Royaume-Uni) : 578 Go de données ;

 Genie Healthcare : 110 Go de données liées aux ressources humaines et aux patients.

 En France, THT Bio-Science, entreprise spécialisée dans les sciences de la vie, a subi une attaque de NightSpire en décembre 2025

Le véritable coût d’une attaque est l’interruption des soins

Le rapport rappelle que les coûts les plus importants sont liés à l’arrêt de l’activité, aux investigations techniques, à la restauration des systèmes et aux obligations réglementaires. Selon les données compilées par Flare, une violation majeure dans la santé représente en moyenne 10,3 millions d’euros ; l’interruption d’activité peut atteindre 1,75 million d’euros par jour et les opérations de remédiation mobilisent en moyenne 2,4 millions d’euros par incident.

Dans ce contexte, la Banque centrale européenne et le Parlement européen considèrent désormais les attaques contre les infrastructures de santé comme un enjeu de résilience économique et stratégique, les pertes opérationnelles dépassant très largement le coût des rançons elles-mêmes.

Cette évolution impose donc aux entreprises et acteurs de santé de dépasser la protection de leur seul système d’information. La surveillance continue des fournisseurs, des partenaires, des identifiants compromis, des places de marché clandestines et des sites de fuite devient indispensable pour détecter les premiers signes d’une attaque avant qu’elle ne se propage à l’ensemble de la chaîne de soins.