« Encore une vulnérabilité liée à la supply chain qui offre une porte d’entrée à de potentiels attaquants, et qui rappelle une fois de plus la fragilité des services essentiels. Ce cas est d’autant plus insidieux que des professionnels de santé indépendants et de petits centres médicaux, entièrement dépendants de leur solution SaaS médicale et pas nécessairement équipés de défenses de cybersécurité, en sont les victimes indirectes. Beaucoup n’ont même pas d’équipe sécurité, de RSSI ou de service dédié au sein de leur organisation.
Quand on parle de vulnérabilités cyber au sein de petites structures, on pense généralement à des entreprises ou à des organisations, mais cet exemple démontre que les victimes peuvent être bien plus dispersées. Il s’agit ici d’un ensemble de praticiens, comme on pourrait en trouver chez les avocats ou les notaires. Pourtant, l’impact est comparable à celui d’une attaque contre un grand hôpital, avec des milliers de professionnels touchés. Des patients se retrouvent soudain dans l’incapacité d’être pris en charge, y compris des personnes vulnérables ou atteintes de pathologies lourdes, pour lesquelles un accès aux antécédents peut être vital. Les conséquences humaines sont directes et potentiellement graves, bien loin du simple désagrément de rater son avion, comme on a pu l’observer avec les récentes perturbations dans les aéroports.
Cet épisode rappelle à quel point les prestataires technologiques jouent un rôle essentiel dans des secteurs comme la santé. Lorsqu’un acteur tiers est touché, c’est l’ensemble de la chaîne de soins qui peut être paralysée. Cela illustre également l’importance de la directive NIS2 et de sa transposition en France. La résilience des fournisseurs tiers est un enjeu majeur pour garantir la continuité des services médicaux. »
