Rançongiciel dans un cabinet de santé : que se passe-t-il pendant les 72 premières heures ?
Les premières heures servent à arrêter la propagation, pas à réparer : on coupe internet et on débranche les appareils touchés sans les éteindre, on alerte son prestataire informatique ou 17Cyber, et on passe le cabinet en mode papier. Dans les 72 heures, il faut porter plainte (sinon l'assurance cyber peut refuser d'indemniser), notifier la violation de données à la CNIL et vérifier que les sauvegardes sont saines, sans payer la rançon. La remise en état complète vient ensuite, à partir de sauvegardes saines.
Le scénario en bref
Exemple, inventé pour illustrer. Un lundi, 7 h 50. La secrétaire d'un cabinet de quatre masseurs-kinésithérapeutes allume le PC de l'accueil. L'agenda ne s'ouvre pas. Sur le bureau, tous les fichiers portent une extension inconnue, et un document explique qu'il faut payer pour les récupérer. Le premier patient arrive à 8 h.
C'est un rançongiciel (en anglais, *ransomware*) : un programme malveillant qui chiffre vos fichiers, c'est-à-dire qui les rend illisibles sans une clé que seuls les criminels possèdent. Souvent, il a aussi copié des données avant de les bloquer, pour menacer de les publier.
Le secteur de la santé connaît bien ce scénario. Selon l'Observatoire 2025 du CERT Santé, 764 incidents de sécurité ont été déclarés en 2025 par les établissements de santé et médico-sociaux. Les attaques par rançongiciel ont reculé de 30 % en un an, mais 38 % des signalements concernaient des incidents qui ont entraîné un fonctionnement dégradé ou une interruption de la prise en charge. Voici, étape par étape, ce qui se passe et ce que vous faites.
Heure 0 à 1 : couper sans éteindre
Le réflexe naturel est d'éteindre l'ordinateur. Ce n'est pas le bon. La fiche réflexe de Cybermalveillance.gouv.fr demande de ne pas éteindre les machines touchées, pour conserver les traces présentes en mémoire. Il faut les isoler, pas les arrêter. Seule exception : si le chiffrement est visiblement encore en cours, une mise en veille prolongée est préférable à un arrêt brutal.
- Coupez la connexion internet du réseau attaqué, au besoin en éteignant la box.
- Débranchez le câble réseau des ordinateurs touchés et coupez leur Wi-Fi. Laissez-les allumés, écran tel quel, et photographiez la demande de rançon.
- Débranchez le disque de sauvegarde s'il est relié au réseau ou à un PC, pour qu'il ne soit pas détruit à son tour.
- N'allumez pas les appareils encore éteints : ils n'ont peut-être pas été touchés.
- Ouvrez un journal de bord (ce que l'ANSSI appelle une main courante, à ne pas confondre avec celle du commissariat) : c'est son premier réflexe recommandé. Pour chaque action ou événement, l'heure, la date, le nom de la personne et ce qui s'est passé.
Alertez ensuite votre prestataire informatique, par téléphone. Si vous n'en avez pas, le service 17Cyber, proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, vous guide pas à pas et vous oriente vers les forces de l'ordre. Pour trouver un professionnel, Cybermalveillance.gouv.fr propose de demander l'assistance d'un professionnel spécialisé.
Heures 1 à 6 : qui prévenir, et comment
Dans un petit cabinet, la « cellule de crise » se résume souvent à deux personnes : le titulaire et le prestataire informatique. L'important est que chacun sache qui appelle qui.
| Qui | Pourquoi | Comment |
|---|---|---|
| Votre prestataire informatique | Isoler le réseau, préserver les traces, mesurer l'ampleur | Par téléphone, numéro noté sur papier |
| 17Cyber | Être guidé si vous n'avez pas de prestataire, être orienté vers les forces de l'ordre | 17cyber.gouv.fr, ou le 17 en cas d'urgence |
| Votre assureur | Déclarer le sinistre, savoir ce qui est pris en charge | Numéro de contrat sous la main |
| Police ou gendarmerie | Porter plainte, condition de l'indemnisation par l'assurance | Commissariat, brigade ou courrier au procureur de la République |
| L'équipe du cabinet | Une seule version des faits, aucun bricolage | Dix minutes debout, consignes écrites |
Si votre structure est un établissement de santé ou médico-social, elle peut aussi déclarer l'incident au CERT Santé de l'Agence du numérique en santé, sur le portail signalement.social-sante.gouv.fr (jours ouvrés, 9 h - 18 h) ou au 09 72 43 91 25 pour un incident majeur. Ce service d'appui à distance s'adresse aux établissements ; un cabinet libéral passe d'abord par son prestataire ou par 17Cyber.
La plainte, à faire dans les 72 heures
C'est le point que beaucoup de cabinets ignorent. Depuis 2023, l'article L. 12-10-1 du code des assurances subordonne l'indemnisation d'une cyberattaque au dépôt d'une plainte dans les 72 heures après la découverte de l'attaque. La FAQ de la direction générale du Trésor précise que l'obligation vaut pour les professionnels, y compris les indépendants.
La plainte se dépose au commissariat, à la brigade de gendarmerie, ou par courrier au procureur de la République. Dans ce dernier cas, la lettre recommandée avec accusé de réception est à privilégier : elle date le dépôt. Cybermalveillance.gouv.fr ajoute un détail important : porter plainte avant de réinstaller les appareils touchés.
Heures 6 à 24 : mesurer les dégâts et continuer à soigner
Ne vous précipitez pas sur la réinstallation. Il faut d'abord savoir ce qui a été chiffré et ce qui a pu être copié. Votre prestataire va chercher à répondre à quatre questions.
- Quels appareils sont touchés ? Le PC de l'accueil seul, ou aussi le serveur qui contient les dossiers patients ?
- Quelles données s'y trouvaient ? Agenda, dossiers médicaux, comptabilité, copies de cartes Vitale ou de pièces d'identité.
- Des données sont-elles sorties ? Les criminels copient souvent avant de chiffrer, pour faire pression.
- Les sauvegardes sont-elles intactes ? C'est la question qui décide de tout le reste.
Sur ce dernier point, l'ANSSI prévient que les cybercriminels s'en prennent de plus en plus aux sauvegardes, justement pour pousser la victime à payer. D'où sa recommandation : garder les sauvegardes les plus critiques déconnectées du réseau, par exemple sur un disque externe rangé à part.
Le cabinet en mode papier
Pendant ce temps, les patients arrivent. Passez en mode dégradé : liste des rendez-vous du jour reconstituée à partir des rappels envoyés ou des téléphones, fiches papier pour les notes de séance, report de ce qui n'est pas urgent. Si votre logiciel de dossier patient est hébergé en ligne et n'est pas touché, ne vous y connectez que depuis un appareil que votre prestataire a déclaré sain.
Prévenez l'équipe, puis les patients concernés, avec un message court et factuel : ce que vous savez, ce que vous faites, quand vous donnerez des nouvelles. L'ANSSI recommande de « communiquer au juste niveau » : ni silence, ni détails techniques inutiles.
Heures 24 à 72 : les obligations légales
Un rançongiciel dans un cabinet est presque toujours une violation de données personnelles au sens du RGPD : des données de patients sont devenues indisponibles, et parfois ont été copiées.
| Obligation | Délai | Où |
|---|---|---|
| Porter plainte | Dans les 72 heures après la découverte, pour être indemnisé par l'assurance | Police, gendarmerie ou procureur |
| Notifier la violation à la CNIL | Dans les meilleurs délais, au plus tard 72 heures après en avoir pris connaissance si possible | Téléservice de notification de la CNIL |
| Informer les patients concernés | Dans les meilleurs délais, si le risque pour eux est élevé | Courrier ou message, en mots simples |
| Documenter l'incident en interne | Toujours, même sans notification | Registre des violations du cabinet |
| Déclarer le sinistre à l'assureur | Selon votre contrat | Avec le récépissé de plainte |
La notification à la CNIL peut se faire en deux temps : une notification initiale dans les 72 heures avec ce que vous savez, puis une notification complémentaire dès que vous disposez des informations manquantes. La démarche est expliquée sur la page de la CNIL consacrée aux violations de données. En cas de dépassement du délai, il faut justifier le retard.
Et la rançon ?
La réponse officielle est nette : ne payez pas. L'ANSSI explique que le paiement ne garantit pas d'obtenir un moyen de déchiffrement, qu'il encourage les criminels à continuer, et qu'il n'empêchera pas votre cabinet d'être visé à nouveau. Cybermalveillance.gouv.fr ajoute que payer ne garantit pas non plus que les données copiées ne seront pas publiées.
Gardez une copie de quelques fichiers chiffrés et de la demande de rançon : un outil de déchiffrement gratuit existe parfois, ou apparaît plus tard. Le site No More Ransom, cité par Cybermalveillance.gouv.fr, en publie régulièrement. La plainte compte aussi : selon l'ANSSI, elle permet une enquête et une « chasse aux clés » qui peut aboutir à un déchiffrement.
Après 72 heures : reconstruire sans se réinfecter
Une fois l'ampleur connue, la plainte déposée et les sauvegardes vérifiées, la remise en route suit un ordre précis.
- Changer les mots de passe des équipements touchés et des comptes compromis, en commençant par les comptes administrateurs, et activer la double authentification : un code reçu sur le téléphone en plus du mot de passe.
- Réinstaller entièrement les appareils touchés, plutôt que d'essayer de les « nettoyer ».
- Restaurer les données à partir d'une sauvegarde antérieure à l'attaque, après avoir vérifié qu'elle n'est pas elle-même infectée.
- Rouvrir l'accès à internet progressivement, d'abord pour les postes indispensables à la reprise.
- Comprendre par où l'attaquant est entré (mail piégé, accès à distance mal protégé, logiciel pas à jour) et fermer cette porte avant de tourner la page.
Si vous cherchez un prestataire pour vous accompagner, Cybermalveillance.gouv.fr permet de demander l'assistance d'un professionnel spécialisé, et propose aux professionnels le service Mon ExpertCyber pour sécuriser leur informatique.
Ce que vous pouvez préparer dès lundi
Les 72 premières heures se passent bien mieux quand on les a préparées. Cinq gestes, qui ne demandent presque rien :
- Une fiche d'urgence papier rangée à l'accueil : numéros du prestataire et de l'assureur, numéro de contrat, commissariat ou brigade, adresse de 17Cyber et du téléservice de la CNIL.
- Un test de restauration : demandez à votre prestataire de récupérer devant vous un dossier patient d'il y a un mois.
- Au moins une copie de sauvegarde déconnectée du réseau, hors de portée d'un intrus qui aurait pris la main sur vos ordinateurs.
- Un mode papier prêt : fiches de séance vierges, et l'agenda du lendemain exporté chaque soir et rangé sous clé.
- Votre contrat d'assurance relu : ce qu'il couvre en cas de cyberattaque, et le numéro à appeler. La plainte sous 72 heures, elle, est imposée par la loi.
Pour aller plus loin, le guide de l'ANSSI « Attaques par rançongiciels, tous concernés » détaille la prévention et la réaction, et la fiche réflexe de Cybermalveillance.gouv.fr tient sur une page à imprimer.
Préparer votre cabinet à un rançongiciel→
Questions fréquentes
Faut-il éteindre l'ordinateur en cas de rançongiciel ?
Non. Cybermalveillance.gouv.fr recommande de ne pas éteindre les machines touchées, pour conserver les traces en mémoire, mais de les isoler : couper internet, débrancher le câble réseau et le Wi-Fi. Si le chiffrement est encore en cours, une mise en veille prolongée est préférable à un arrêt brutal. N'allumez pas les appareils restés éteints.
Faut-il porter plainte dans les 72 heures après une cyberattaque ?
Oui, si vous voulez être indemnisé par votre assurance. L'article L. 12-10-1 du code des assurances subordonne l'indemnisation d'une cyberattaque au dépôt d'une plainte dans les 72 heures après sa découverte. L'obligation concerne les professionnels, y compris les indépendants. La plainte se dépose au commissariat, à la gendarmerie, ou par lettre recommandée au procureur de la République.
Faut-il payer la rançon ?
Non. L'ANSSI et Cybermalveillance.gouv.fr recommandent de ne jamais payer : le paiement ne garantit ni le déchiffrement ni la non-publication des données copiées, il finance les criminels et ne vous protège pas d'une nouvelle attaque. Si vous avez une sauvegarde saine, restaurez à partir d'elle. Gardez une copie des fichiers chiffrés : un outil de déchiffrement gratuit peut exister.
Un rançongiciel est-il une violation de données à notifier à la CNIL ?
En principe, oui, dès que des données personnelles ont été rendues indisponibles, modifiées, détruites ou copiées. La notification se fait sur le téléservice de la CNIL, dans les meilleurs délais et si possible dans les 72 heures, éventuellement en deux temps. Si le risque pour les patients est élevé, ils doivent aussi être informés.
Un cabinet libéral doit-il signaler l'incident au CERT Santé ?
Le service d'appui du CERT Santé s'adresse aux établissements de santé et médico-sociaux, qui déclarent sur signalement.social-sante.gouv.fr. Un cabinet libéral se tourne d'abord vers son prestataire informatique ou vers 17Cyber, porte plainte, et notifie la CNIL si des données de patients sont touchées.
Combien de temps faut-il pour se remettre d'un rançongiciel ?
Les 72 premières heures servent à isoler, prévenir, porter plainte et remplir les obligations légales. La reconstruction vient ensuite : réinstallation des appareils, restauration à partir de sauvegardes saines, changement des mots de passe. La durée dépend surtout d'une question : avez-vous une sauvegarde saine, déconnectée du réseau ? Sans elle, la reprise devient longue et incertaine.