L'assurance cyber pour les médecins et cabinets médicaux

Pourquoi les cabinets médicaux sont une cible

L’imaginaire collectif place les cyberattaques côté grandes entreprises et banques. La réalité belge est différente : les groupes criminels organisent leurs campagnes comme des chaînes de production.

Ils ne cherchent plus une « grosse prise » par an, ils cherchent des dizaines de petites structures qui paient vite. Dans cette catégorie, les cabinets médicaux cochent toutes les cases.

La valeur des données de santé

Un dossier patient complet, identité, numéro de registre national, mutuelle, antécédents, traitements, se revend bien plus cher sur les marchés noirs qu’un email ou une carte bancaire.

Ces données ne se changent pas comme un mot de passe. Elles intéressent les fraudeurs à l’assurance, les escrocs au faux médicament, et tout un écosystème de chantage personnel.

La pression à la reprise

Un cabinet qui ne peut plus consulter perd de la marge brute chaque heure, mais surtout met en risque le suivi de pathologies chroniques, le renouvellement de prescriptions, la coordination avec les hôpitaux.

Cette pression clinique est très bien comprise par les attaquants. C’est exactement le levier qu’ils exploitent.

Le niveau de maturité IT

La majorité des cabinets ne sont pas équipés comme des hôpitaux. Pas de RSSI, pas de SOC, souvent un seul prestataire externe qui gère poste, sauvegardes, accès eHealth et Wi-Fi.

Les bonnes pratiques de base, MFA sur le logiciel métier, sauvegardes testées, mises à jour, comptes administrateurs séparés, ne sont pas toujours en place. Pas par négligence : parce que la priorité du quotidien est ailleurs, voir les patients.

Le maillage avec l’écosystème de soin

Un cabinet n’est jamais isolé techniquement. Vous échangez via eHealthBox avec des confrères, déposez des prescriptions sur Recip-e, consultez le Sumehr d’un patient, communiquez avec un laboratoire ou un hôpital.

Chaque flux est un canal légitime. C’est aussi un canal qu’un attaquant qui a pris le contrôle de votre cabinet peut utiliser pour rebondir, ou piéger des destinataires de confiance avec des emails signés en votre nom.

Les attaques qu’on voit le plus chez les médecins belges

Le ransomware qui chiffre vos dossiers patients

C’est le scénario le plus visible : le logiciel de cabinet refuse de s’ouvrir, une fenêtre annonce que les fichiers sont chiffrés, un délai est donné pour payer.

Le point d’entrée typique est un email de phishing ouvert par le secrétariat, ou une connexion distante (RDP, VPN sans MFA) compromise. Une fois à l’intérieur, les attaquants se déplacent vers le serveur où tournent HealthOne, MediBank ou un autre logiciel métier, puis chiffrent ce qu’ils trouvent, y compris les sauvegardes locales mal isolées.

Le bon réflexe n’est pas de payer. C’est d’appeler immédiatement l’assistance 24/7 pour mobiliser un expert IT qui évalue si une restauration propre est possible. Aucune négociation directe : ce sont des avis techniques, pas un service de négociation de rançon.

La fuite de données patients (RGPD article 9)

Ici, l’attaquant ne se contente pas de chiffrer, il exfiltre. Il copie une partie de la base patients avant de chiffrer, puis ajoute une seconde menace : si vous ne payez pas, les données seront publiées. C’est la « double extorsion », devenue standard.

Pour un cabinet médical, les conséquences dépassent la perte de marge brute :

• notifier l’APD dans 72h (article 33 RGPD)
• en cas de risque élevé, informer individuellement les patients concernés (article 34 RGPD)
• gérer les plaintes, les réclamations et l’éventuelle sanction APD

La qualité de cette notification, son timing, sa précision, les mesures proposées, joue énormément sur la suite.

Le faux email « INAMI » ou « Ordre »

Les fraudes ciblées exploitent la confiance institutionnelle.

• email imité de l’INAMI demandant la mise à jour d’un IBAN
• email signé « Ordre des médecins » exigeant le paiement d’une cotisation fictive
• email d’un faux confrère demandant un avis sur un dossier en pièce jointe, pièce piégée

Ces attaques visent souvent le secrétariat plutôt que le médecin. Elles passent rarement par de la haute technicité : elles passent par de l’ingénierie sociale bien faite. La sous-limite cyber-fraude du contrat est de 50 000 €, à condition d’avoir déposé plainte dans les 24 heures.

La compromission d’un accès distant

Depuis la généralisation de la télé-consultation, beaucoup de cabinets ont ajouté des outils : plateforme de visio, accès à distance au logiciel métier depuis le domicile, smartphones avec accès aux agendas.

Chaque accès distant est une porte d’entrée si l’authentification se limite à un identifiant et un mot de passe. Quand un identifiant fuite sur le dark web, parce que le médecin l’avait réutilisé sur un autre service, l’attaquant entre sans bruit, lit, exfiltre, parfois modifie.

La mise en place de la MFA sur eHealth, le logiciel métier et la messagerie réduit drastiquement ce risque. C’est aussi un point que tout assureur cyber regarde aujourd’hui.

Comment Inqase intervient si ça vous arrive

Le réflexe quand un cabinet est touché, c’est d’appeler le prestataire IT habituel. C’est utile, mais ça ne suffit pas.

Un incident sur des données de santé déclenche en parallèle :

• une horloge juridique de 72 heures (notification APD)
• une obligation déontologique (information patient, secret médical)
• un risque de réputation qui se joue en quelques jours

Trois métiers mobilisables en parallèle

L’assistance 24/7 réunit trois compétences, dans la limite globale de 15 000 € par année :

• Expert IT pour contenir l’attaque et restaurer ce qui peut l’être (jusqu’à 1 000 € de réparation immédiate)
• Avocat spécialisé RGPD pour la notification APD et la coordination déontologique
• Conseil en communication de crise pour les patients, les confrères, parfois la presse

L’objectif est concret : que vous puissiez continuer à voir vos patients pendant que la crise est traitée.

Le secret médical respecté à chaque étape

Les analyses techniques portent sur les logs et les flux, pas sur le contenu clinique. L’avocat vous assiste sur la procédure sans accéder aux dossiers patients.

Si une consultation technique de données médicales s’avère strictement indispensable, elle est encadrée et tracée.

Perte d’exploitation calculée sur la marge brute

L’indemnisation tient compte de votre marge brute, pas du chiffre d’affaires. La franchise temporelle dépend de la formule choisie : elle n’est pas universelle, elle est précisée à la souscription.

Combien ça coûte et délai

Le coût dépend de quelques variables simples :

• votre chiffre d’affaires annuel
• le nombre de patients actifs
• le logiciel métier utilisé
• l’état de vos mesures de sécurité de base (MFA, sauvegardes testées, mises à jour)

Pour un médecin solo, l’ordre de grandeur reste modeste par rapport à la valeur protégée : un seul incident sérieux dépasse largement plusieurs années de prime. Pour un cabinet de 2 à 5 médecins, le coût se mutualise.

Côté délai : Inqase travaille en 24 à 48 heures à partir d’un premier échange. Pas de questionnaire fleuve, pas d’audit invasif. L’objectif est un devis lisible, qui distingue clairement ce qui est couvert, les sous-limites, et les conditions de mise en jeu.