L’environnement de menaces auquel les établissements de santé et leurs fournisseurs de services gérés (MSP) sont confrontés en 2026 devient de plus en plus dangereux.
Les entreprises et prestataires de services dans le secteur sont des cibles de plus en plus convoitées par les attaquants. Le périmètre d'attaque des établissements de santé s'étend rapidement au-delà des menaces internes contre des tiers, en particulier les MSP.
Dans le même temps, les attaquants multiplient les tentatives de violation, augmentant ainsi le risque d'exposition réglementaire pour les organismes de santé et les MSP qui leur fournissent des services. Les chiffres confirment le risque accru. Selon le cabinet d'études Comparitech, Les attaques de ransomware contre les entreprises de soins de santé ont augmenté de 35 % au premier trimestre 2026 par rapport au quatrième trimestre 2025.
Le rapport Verizon Data Breach Investigations Report 2026 (DBIR) a révélé une augmentation de 60 % des violations impliquant des tiers, y compris des fournisseurs de services, par rapport au rapport 2025. BakerHostetler a également signalé dans le rapport 2026 sur la réponse aux incidents de sécurité des données que les fournisseurs tiers étaient responsables de 25 % de tous les incidents de cybersécurité.
Alors que les menaces augmentent constamment en nombre et en gravité, les MSP du secteur de la santé doivent élaborer leurs plans de gestion des risques autour de cinq menaces clés : attaques de la chaîne d'approvisionnement ciblant les infrastructures MSP, campagnes de ransomware-as-a-service contre les soins de santé, exploitation des appareils Internet des objets médicaux (IoMT), vol d'informations d'identification via l'ingénierie sociale et menaces internes.
Comment les attaques de la chaîne d'approvisionnement ciblent l'infrastructure MSP
En 2025, l’un des changements les plus importants pour le cybersécurité Dans le secteur de la santé, les attaquants s'intéressent de plus en plus aux MSP, et non plus seulement aux organisations de santé individuelles.
En compromettant un fournisseur, les attaquants peuvent exploiter les outils de surveillance et de gestion à distance, tels que les plateformes de surveillance et de gestion à distance (RMM), pour se déplacer entre plusieurs environnements clients, déployer des ransomwares et exfiltrer des données.
Le principal risque est qu’une seule vulnérabilité ou lacune opérationnelle transforme un outil fiable en un canal permettant de véhiculer des attaques vers tous les clients servis par le même MSP. La protection de RMM, de Professional Services Automation (PSA) et des outils d’accès à distance est donc une priorité absolue.
L'atténuation nécessite une approche architecturale : séparer l'environnement du MSP de celui des clients, segmenter les plans de gestion, protéger les informations d'identification de chaque client, appliquer des outils d'authentification multifacteur (MFA) anti-hameçonnage sur toutes les connexions à distance et maintenir tous les outils utilisés constamment à jour.
Quels groupes de ransomware-as-a-service ciblent le secteur de la santé ?
En 2025, le secteur de la santé a été parmi les plus durement touchés par les ransomwares. Selon Comparitech, au cours des trois premiers trimestres de l'année, il y a eu 293 attaques contre des prestataires de soins de santé et 130 contre des entreprises de soins de santé, notamment des vendeurs, des sociétés de facturation et des fournisseurs de technologies, soit une augmentation de 30 % d'une année sur l'autre pour ces dernières.
Le modèle du ransomware-as-a-service est avant tout à l’origine du volume des attaques. Après la disparition du site de fuite RansomHub en avril 2025, de nombreux affiliés ont déménagé vers Qilin, qui a connu une forte croissance des réclamations. Entre le premier et le troisième trimestre 2025, les variantes de ransomware les plus actives ciblant les soins de santé étaient Qilin, INC Ransom, RansomHub, SafePay et Medusa.
Pour les MSP, l’exigence clé n’est pas seulement de restaurer les systèmes, mais aussi d’assurer une récupération sans malware. Restaurer une sauvegarde apparemment propre, mais qui contient toujours la charge utile d'origine, risque de réactiver l'attaque.
Acronis Safe Recovery analyse chaque image de sauvegarde à la recherche de logiciels malveillants et de vulnérabilités avant de permettre sa restauration sur le réseau de production, réduisant ainsi le risque de réinfection que les solutions de sauvegarde uniquement peuvent laisser ouvertes.
Pour les MSP qui gèrent les efforts de récupération des ransomwares pour les clients du secteur de la santé, cela peut faire la différence entre une récupération rapide et un cycle de réinfection beaucoup plus long et complexe. Les fonctionnalités Acronis Endpoint Detection and Response (EDR) et Extended Detection and Response (XDR) ajoutent également une couche de protection supplémentaire à votre sauvegarde, vous permettant de détecter les mouvements latéraux sur les points finaux gérés, de corréler les activités suspectes dans différents environnements clients et d'identifier les étapes de préparation d'une attaque de ransomware avant le début du chiffrement.
Quelles tactiques de vol d’identifiants et d’ingénierie sociale ciblent le secteur de la santé ?
Les identifiants constituent désormais le nouveau périmètre d’attaque du secteur de la santé. Selon le DBIR Verizon 2026, l’abus d’identifiants reste le principal vecteur d’attaque initial, présent dans 36 % des violations. Le rapport IBM sur le coût des violations de données 2025 souligne également le poids du phishing, suivi des compromissions des fournisseurs et de la chaîne d'approvisionnement et de l'utilisation d'identifiants volés.
En 2025, plusieurs campagnes ont montré à quel point le risque est réel. Raccoon0365, une opération de phishing en tant que service visant à récupérer les identifiants Microsoft 365, a volé environ 5 000 identifiants dans 94 pays et compromis au moins 20 hôpitaux américains avant d'être démantelé par Microsoft avec le soutien de Health-ISAC.
Les campagnes de vishing contre les services d'assistance sont également devenues une menace importante : les attaquants se font passer pour des employés, souvent issus du secteur financier, et demandent la réinitialisation ou la réactivation de l'authentification multifacteur sur les appareils sous leur contrôle, en utilisant des informations personnelles authentiques pour paraître crédibles.
À cela s’ajoutent les attaques de fatigue MFA, dans lesquelles la victime est bombardée de demandes d’authentification jusqu’à ce qu’elle en approuve une par erreur ou par épuisement. Pour les MSP, l’essentiel est que le service d’assistance constitue désormais la principale surface d’attaque. La vérification de l'identité pour les réinitialisations de mots de passe et les modifications MFA ne peut plus reposer sur de simples questions d'enquête.
Pour les comptes privilégiés, notamment ceux accédant aux environnements de santé, la MFA basée sur les notifications push ne suffit plus : FIDO2 ou les jetons matériels devraient représenter la norme minimale. La sécurité des e-mails reste également cruciale pour intercepter les campagnes de phishing avant qu'elles ne puissent collecter des informations d'identification valides.
La pertinence des menaces internes
Les menaces internes restent l’un des risques les plus sous-estimés en matière de cybersécurité des soins de santé. Selon le Verizon DBIR 2026, Près de 20 % des violations confirmées dans le secteur de la santé impliquaient des acteurs internestandis que le rapport mondial 2026 sur le coût des risques du Ponemon Institute estime un coût annualisé moyen de 28,8 millions de dollars pour les soins de santé et les produits pharmaceutiques liés aux violations internes. Dans la plupart des cas, il ne s’agit cependant pas d’actions malveillantes, mais d’erreurs ou de comportements négligents.
Le secteur de la santé est en effet parmi les plus touchés par les erreurs des employés, telles que l'accès inapproprié aux dossiers médicaux, l'envoi accidentel de données par courrier électronique ou le partage informel d'informations d'identification entre le personnel clinique. Pour les MSP, cela signifie que la protection ne peut pas être limitée au périmètre extérieur.
Les solutions de prévention des pertes de données (DLP) font désormais partie intégrante de la pile de sécurité des soins de santé : Acronis DLP, disponible en tant que module complémentaire, surveille le mouvement des PHI entre les points finaux et les e-mails, aidant ainsi à intercepter les incidents négligents avant qu'ils ne se transforment en violations à notifier. L’analyse comportementale est également essentielle, alors que la formation annuelle ne doit être considérée qu’un point de départ.
Comment les MSP devraient-ils prioriser leur plan de défense des soins de santé en 2026 ?
À court terme, les MSP devraient commencer par disposer de leur propre infrastructure : mettre à jour RMM, PSA et les outils d'accès à distance, appliquer une MFA anti-hameçonnage à tous les comptes ayant accès aux environnements clients et introduire des vérifications d'identité du service d'assistance qui ne sont pas uniquement basées sur des questions d'enquête.
Au cours du trimestre suivant, la priorité est d'adopter une récupération consciente du risque de malware, en évitant de restaurer des sauvegardes contenant encore l'infection d'origine. Acronis Safe Recovery contribue à combler cette lacune, tandis que EDR et XDR renforcent la détection sur les points finaux cliniques, même lorsque les performances locales constituent une contrainte. Tout au long de 2026, les MSP devraient renforcer la segmentation autour des appareils IoMT, mettre en œuvre des solutions DLP pour les clients traitant de gros volumes de données de santé protégées et assurer une formation continue en matière de sécurité.
Le fil conducteur reste le même : une meilleure visibilité sur la surface d’attaque et la possibilité de restaurer proprement les systèmes lorsque la prévention ne suffit pas.
Voir l’article original en italien
