Ransomware au cabinet médical : plan d'urgence en 4 phases

Lundi matin, 8h00. Les premiers patients patientent en salle d'attente de votre cabinet ou de votre Maison de Santé Pluriprofessionnelle (MSP). À l'accueil, la secrétaire tente d'ouvrir le logiciel de gestion de cabinet. Un écran noir apparaît, barré d'un message exigeant le paiement d'une rançon en cryptomonnaie pour débloquer l'accès aux dossiers médicaux.

C'est le scénario cauchemar de tout praticien et de tout coordinateur de MSP : l'attaque par ransomware (rançongiciel).

En 2026, les cyberattaques ciblant les établissements de santé se multiplient. Les cabinets de groupe et les MSP, qui centralisent les données de milliers de patients sans disposer des budgets cybersécurité d'un CHU, sont des cibles de choix. La question n'est plus de savoir si votre structure sera visée, mais quand — et si vous saurez réagir.

Voici le Plan de Continuité d'Activité (PCA) en 4 phases pour réagir immédiatement, continuer à soigner et éviter la fermeture.

Phase 1 — L'isolation immédiate (les 15 premières minutes)

Dès la découverte de l'écran de rançon ou du blocage généralisé, la priorité absolue est de stopper la propagation sur le réseau.

Déconnectez physiquement les câbles réseau (Ethernet) de tous les ordinateurs, serveurs locaux et imprimantes partagées.
Désactivez le Wi-Fi sur tous les postes et les box internet.
Ne payez jamais la rançon. C'est la règle d'or de l' ANSSI : payer ne garantit en rien la récupération des données et finance la criminalité.
Ne redémarrez pas les serveurs infectés. Une extinction brutale peut détruire des preuves numériques indispensables à l'investigation, ou corrompre définitivement les fichiers chiffrés.

Phase 2 — L'alerte et l'assistance technique (heure 1)

Réseau isolé, vous mobilisez maintenant votre cellule de crise.

Contactez votre prestataire informatique spécialisé santé. Les experts Med-Support prennent le relais à distance, y compris le soir et le week-end, pour évaluer l'étendue des dégâts et lancer la remédiation.
Informez tous les praticiens de la structure des consignes de sécurité : aucune clé USB personnelle, aucune reconnexion au réseau.
Déclarez l'incident sur cybermalveillance.gouv.fr et déposez plainte auprès de la gendarmerie ou de la police nationale.

Phase 3 — Le mode « dégradé » pour assurer les soins (jour 1)

L'objectif d'un PCA n'est pas de sauver l'informatique : c'est de maintenir la continuité des soins sans elle.

Basculez sur les dossiers papier d'urgence : fiches de consultation vierges et ordonnanciers papier préparés à l'avance.
Utilisez les smartphones en 4G/5G — jamais en Wi-Fi — pour accéder aux outils hébergés dans un cloud sécurisé. C'est l'un des avantages structurels d'un agenda cloud souverain comme Panacée Agenda (hébergé chez OVH Cloud en France, certifié HDS) : votre planning reste accessible même si tout le réseau local du cabinet est compromis.
Communiquez avec les patients : un affichage en salle d'attente expliquant la panne informatique majeure suffit à désamorcer les tensions liées à l'allongement des consultations.

Phase 4 — La restauration et les obligations légales (jours suivants)

C'est ici que la qualité de votre prestataire et de vos sauvegardes fait toute la différence.

Restauration des sauvegardes. Nettoyage complet du parc informatique, puis restauration à partir de sauvegardes externalisées et déconnectées (sauvegardes « froides »). Sans sauvegarde hors ligne, il n'y a pas de restauration — c'est le point à vérifier aujourd'hui.
Notification à la CNIL. En cas de violation de données de santé (accès illégitime ou perte de disponibilité), le RGPD impose une notification à la CNIL sous 72 heures.
Information des patients. Si des données médicales ont été exfiltrées, vous avez l'obligation légale d'en informer les patients concernés.

La prévention : le meilleur des PCA

Un plan d'urgence intervient quand le mal est fait. La véritable protection se joue avant : mises à jour de sécurité, vérification régulière des sauvegardes, audits, sensibilisation de l'équipe au phishing — et choix d'outils souverains dont les données ne dépendent pas de votre réseau local.

En confiant l'infogérance de votre cabinet ou de votre MSP à Med-Support, vous bénéficiez d'une maintenance préventive mensuelle rigoureuse. Et en optant pour l'écosystème Panacée, vos données d'agenda sont hébergées en France, certifiées HDS, à l'abri des failles du réseau du cabinet.

FAQ — Questions fréquentes

Que faire en premier lors d'une cyberattaque au cabinet médical ?

Isoler immédiatement le réseau : débrancher les câbles Ethernet et couper le Wi-Fi de tous les postes. Ne pas éteindre les serveurs infectés, ne pas payer la rançon, puis contacter un prestataire informatique spécialisé santé.

Faut-il payer la rançon d'un ransomware ?

Non, jamais. C'est la recommandation constante de l'ANSSI : le paiement ne garantit pas la récupération des données, fait de vous une cible récurrente et finance la criminalité organisée.

Un cabinet médical doit-il déclarer une cyberattaque à la CNIL ?

Oui. Toute violation de données de santé (vol, chiffrement, perte de disponibilité) doit être notifiée à la CNIL dans un délai de 72 heures, conformément au RGPD. Si des données ont été exfiltrées, les patients concernés doivent aussi être informés.

Comment continuer à soigner pendant une panne informatique totale ?

En basculant sur le mode dégradé prévu par le PCA : dossiers papier d'urgence, ordonnanciers papier, et accès aux outils cloud (agenda, messagerie sécurisée) depuis un smartphone en 4G/5G — jamais via le Wi-Fi du cabinet potentiellement compromis.

Pourquoi les MSP sont-elles des cibles privilégiées des ransomwares ?

Elles centralisent les données de milliers de patients sur un réseau partagé entre de nombreux utilisateurs, avec des budgets cybersécurité limités. Plus de postes connectés = plus de portes d'entrée pour les attaquants.

Votre cabinet est-il vraiment prêt face à une cyberattaque ?
👉 Faites le test en 3 minutes avec notre quiz cybersécurité et recevez vos recommandations personnalisées Med-Support.