Dans la soirée de mercredi, le Centre Hospitalier Universitaire de Rennes a informé être la victime d'une cyberattaque, en précisant dans la foulée qu'il n'y avait pas d'incidence sur la prise en charge des patients. L'Agence régionale de santé Bretagne fait aujourd'hui un point sur la situation.
Dès le signalement de la cyberattaque et conformément aux pratiques d'usage lors de ce type d'incident, des mesures de confinement ont été prises dans le but d'isoler le système d'information d'internet et éviter - ou du moins limiter - une propagation de l'attaque.
En interne, la disponibilité des applications médicales n'a pas été impactée. Une cellule de crise a été activée et une plainte a été déposée au commissariat de Rennes. En lien avec l'Agence nationale de la sécurité des systèmes d'information (Anssi) et le CERT Santé, des investigations techniques sont en cours.
Il y a eu une exfiltration de données
Pour les échanges du CHU avec les patients et ses partenaires, la coupure internet affecte la communication par email. Par ailleurs, les consultations d'imagerie médicale à distance sont à l'arrêt, de même que la téléconsultation.
En dépit de ce confinement, la cyberattaque a eu le temps d'exfiltrer des données, dont la quantité et la teneur ne sont pas précisées à ce stade. Des analyses ont débuté et le CHU de Rennes a signalé l'incident à la Commission nationale de l'informatique et des libertés (Cnil). Le cas échéant, les personnes concernées par cette exfiltration de données seront prévenues.
Il n'est pas fait mention d'un chiffrement de données par un ransomware qui aurait pu suivre l'exfiltration des données, comme c'est généralement le cas dans les cyberattaques par ransomware. A priori et sauf information ultérieure à ce sujet, il est possible que la réaction ait été suffisamment rapide pour éviter la double peine.
Le pire a été évité ?
Avec l'espoir d'un retour à la normale dans les plus brefs délais… même si c'est malheureusement rarement le cas, le CHU de Rennes enjoint les patients à téléphoner aux services de soins pour prendre rendez-vous et se munir d'une version papier de leurs résultats. Par ailleurs, le paiement par carte bancaire n'est plus possible.
" La prise en charge des patients est assurée. L'accueil des urgences et le SAMU fonctionnent normalement, toutes les activités médicales et tous les rendez-vous physiques sont maintenus ", souligne l'ARS Bretagne.
