Alors que les Assises de la Cybersécurité battent leur plein à Monaco, Proofpoint, publie son rapport annuel sur l’insécurité dans le secteur de la santé, réalisé en collaboration avec le Ponemon Institute. La quatrième édition de ce rapport annuel révèle que les cybermenaces persistantes constituent des risques cliniques, les attaques continuant de compromettre la sécurité des patients et coûtant des millions.
Tribune – Intitulée « Cyber Insecurity in Healthcare: The Cost and Impact on Patient Safety and Care 2025 », cette quatrième édition, qui a interrogé 677 professionnels IT aux États-Unis dans le secteur de la santé, révèle une réalité plus préoccupante encore que l’année dernière.
Près de trois organisations de santé sur quatre signalent une perturbation des soins aux patients due aux cyberattaques, selon un nouveau rapport de Proofpoint et du Ponemon Institute.
Le rapport révèle que 72 % des organisations de santé ayant subi des cyberattaques courantes – rançongiciels, compromission du cloud, attaques de la chaîne d’approvisionnement et compromission de la messagerie professionnelle (BEC) – ont connu une perturbation des soins aux patients, contre 69 % l’année dernière. Ces attaques ne sont pas de simples désagréments opérationnels : 54 % des organisations touchées ont signalé une augmentation des complications lors des procédures médicales, 53 % ont fait état de séjours hospitaliers plus longs, et 29 % ont déclaré une hausse des taux de mortalité directement imputable à ces attaques.
« La sécurité des patients est indissociable de la cybersécurité », a déclaré Ryan Witt, vice-président des solutions sectorielles chez Proofpoint. « Le rapport de cette année met en lumière une dure réalité : les cybermenaces ne sont pas seulement des problèmes informatiques, ce sont des risques cliniques. Lorsque les soins sont retardés, perturbés ou compromis en raison d’une cyberattaque, les résultats pour les patients sont affectés et des vies sont potentiellement mises en danger. Ce rapport souligne le besoin urgent pour les organisations de santé d’adopter une approche de cybersécurité centrée sur l’humain – une approche qui non seulement protège les systèmes et les données, mais préserve également la continuité et la qualité des soins. »
Les cyberattaques mettent des vies en danger et alourdissent les opérations
Le rapport de cette année, qui a interrogé 677 professionnels de l’informatique et de la cybersécurité basés aux États-Unis dans le secteur de la santé, met en lumière le coût opérationnel, clinique et financier des cybermenaces dans un secteur où des vies humaines sont en jeu :
- 93 % des organisations ont subi au moins une cyberattaque au cours de l’année écoulée, avec une moyenne de 43 attaques par organisation, contre 40 en 2024.
- Bien que le coût moyen de l’attaque la plus significative ait diminué à 3,9 millions de dollars (contre 4,7 millions de dollars en 2024), les cyberattaques restent un fardeau financier majeur, entraîné par les temps d’arrêt, la perte de productivité du personnel et la remédiation.
- Les attaques par rançongiciel restent répandues et de plus en plus coûteuses. 33 % des victimes ont payé les rançons exigées, mais le paiement moyen a augmenté à 1,2 million de dollars, contre 1,1 million de dollars en 2024, soit une augmentation stupéfiante de 60 % par rapport à 2022.
Les attaques de la chaîne d’approvisionnement, BEC et du cloud menacent la sécurité et les soins des patients
Parmi les quatre principaux types d’attaques analysés, les attaques de la chaîne d’approvisionnement étaient les plus susceptibles d’avoir un impact sur les soins aux patients. Bien que moins d’organisations aient subi une attaque de la chaîne d’approvisionnement en 2025 (44 % contre 68 % en 2024), 87 % de celles qui ont été touchées ont signalé une perturbation des soins, une augmentation par rapport aux 82 % de l’année dernière. De plus :
- Les attaques BEC étaient les plus susceptibles de provoquer des retards dans les procédures et les tests, entraînant de mauvais résultats (65 %).
- Les rançongiciels étaient le type d’attaque le plus susceptible d’entraîner des séjours hospitaliers plus longs (67 %) et une augmentation du nombre de patients déroutés ou transférés vers d’autres établissements (50 %).
- Les compromissions du cloud/des comptes, le vecteur de menace le plus répandu et persistant, ont été subies par 72 % des organisations. 61 % ont signalé une augmentation des complications lors des procédures et 36 % ont fait état d’une mortalité plus élevée, soulignant l’urgence de traiter les risques de compromission du cloud/des comptes compte tenu de l’impact potentiel sur les soins aux patients et la continuité des services.
Le risque humain et la perte de données menacent la sécurité des patients
Le risque interne et la négligence des employés restent des défis persistants :
- 96 % des organisations ont connu au moins deux incidents de perte ou d’exfiltration de données impliquant des données de santé sensibles et confidentielles au cours des deux dernières années.
- En moyenne, 18 incidents de ce type se sont produits par organisation. 55 % des répondants ont déclaré que ces incidents perturbaient les soins aux patients ; parmi eux, 54 % ont constaté une augmentation des taux de mortalité, et 36 % ont déclaré que cela entraînait des retards dans les procédures et les tests, avec de mauvais résultats.
- Les principales causes de perte de données comprenaient : le non-respect des politiques par les employés (35 %), l’abus d’accès privilégiés (25 %) et l’envoi involontaire par les employés d’informations personnelles identifiables (PII) ou d’informations de santé protégées (PHI) au mauvais destinataire par e-mail (25 %).
- Malgré ces risques, des signes de maturité croissante sont visibles : 76 % des organisations prennent des mesures pour faire face au manque de sensibilisation des employés aux menaces de cybersécurité (contre 71 % en 2024). Parmi elles, 63 % mènent des programmes réguliers de formation et de sensibilisation et 47 % utilisent des simulations de phishing pour améliorer la résilience des employés.
Migration vers le cloud et risques liés aux applications mobiles en hausse
Le rapport 2025 capture également les tendances autour de la transformation numérique du secteur de la santé, avec une accélération du passage aux systèmes cliniques hébergés dans le cloud.
- 30 % des organisations de santé ont déjà migré des applications cliniques vers le cloud, et 32 % prévoient de le faire dans les deux ans.
- Les outils de collaboration les plus fréquemment ciblés restent la messagerie texte (59 %), la vidéoconférence (54 %) et l’email (45 %), soulignant les risques associés aux plateformes de collaboration basées sur le cloud dans les environnements de santé.
- Parallèlement, les applications mobiles non sécurisées (eSanté) restent la principale préoccupation en matière de cybermenaces (55 %), suivies par les appareils mobiles personnels des employés (49 %) et la compromission du cloud/des comptes (49 %).
L’IA émerge comme une ligne de défense clé – et un risque
L’intelligence artificielle joue un rôle croissant dans la stratégie de sécurité du secteur de la santé :
- 57 % des organisations ont intégré l’IA soit dans la cybersécurité (30 %), soit à la fois dans la cybersécurité et les soins aux patients (27 %).
- 55 % estiment que l’IA est très efficace pour améliorer leur posture de cybersécurité, et 40 % utilisent l’IA/ML pour comprendre le comportement humain, notamment en ce qui concerne la protection des e-mails.
- La prévention de la perte de données (DLP) basée sur l’IA gagne du terrain : 23 % des organisations l’utilisent actuellement, et 29 % prévoient de l’adopter d’ici un an.
- Pourtant, des défis subsistent : 60 % des organisations ont du mal à protéger les données sensibles utilisées par les systèmes d’IA, et l’interopérabilité et la précision des données sont des obstacles clés à l’adoption. 38 % ont identifié les outils d’IA générative comme une préoccupation en matière de cybermenaces, une nouvelle catégorie dans l’enquête de cette année.
Les appels à un leadership et une expertise accrus se font plus pressants
Un nombre significatif de répondants citent le manque d’expertise interne (43 %) et l’absence de leadership clair (40 %) comme les principaux obstacles à une posture de cybersécurité efficace. Cependant, les préoccupations budgétaires diminuent : seulement 37 % les considèrent comme un obstacle, contre 40 % l’année dernière. Le budget informatique moyen déclaré était de 65 millions de dollars, dont 21 % alloués à la sécurité de l’information.
« Les conclusions de cette année sont un signal d’alarme pour le secteur de la santé ; la cause profonde de nombreux incidents réside dans les facteurs humains – négligence, risque interne et lacunes en matière de sensibilisation à la cybersécurité », a déclaré le Dr Larry Ponemon, président et fondateur du Ponemon Institute. « Les cyberattaques affectent désormais régulièrement la sécurité des patients, et bien que les dépenses de sécurité augmentent, de nombreuses organisations manquent encore d’un leadership clair et d’une expertise interne pour relever le défi. »
