En bref

  • Krybit ransomware revendique 114 Go de données médicales exfiltrées chez ProHealth Medical Group (Singapour) — dossiers patients, données RH, données financières
  • Deuxième attaque Krybit dans la santé en moins de 30 jours : le Delhi Heart and Lung Institute (Inde) également compromis — stratégie sectorielle délibérée
  • Parallèlement, Helix ransomware frappe Morguard (immobilier canadien, 17 Md$) le 7 août 2026 — intensification toutes cibles confondues

Les faits

Le 2 août 2026, le groupe ransomware Krybit a revendiqué une cyberattaque contre ProHealth Medical Group Pte Ltd, l'un des plus importants réseaux de cliniques privées de Singapour, opérant plus de 40 cliniques spécialisées. Selon la revendication publiée sur le site de fuite darkweb de Krybit, les attaquants affirment avoir exfiltré 114 Go de données comprenant des dossiers médicaux de patients, des informations d'assurance, des données RH du personnel médical et des données financières de l'organisation.

La compromission de ce volume de données de santé représente un risque majeur pour les patients concernés : antécédents médicaux détaillés, ordonnances, résultats d'examens, et potentiellement des informations de paiement. Les menaces de publication des données par Krybit — présentées comme une suite à l'échec des négociations — rendent la situation particulièrement critique pour les individus exposés.

Krybit est apparu fin 2025 et s'est rapidement spécialisé dans les attaques contre le secteur de la santé en Asie — région où la numérisation des dossiers médicaux a progressé rapidement mais où les budgets cybersécurité restent insuffisants face aux standards européens ou américains. La spécialisation sectorielle est délibérée : les établissements de santé opèrent sous pression permanente, ne peuvent tolérer une paralysie prolongée de leurs systèmes, et sont donc plus enclins à négocier rapidement sous la double contrainte du chiffrement et de la menace d'exposition des données patients.

Moins d'un mois après ProHealth, Krybit a revendiqué une seconde attaque dans le domaine médical : le Delhi Heart and Lung Institute (Inde), établissement spécialisé en cardiologie et pneumologie. Le pattern est clair : ciblage méthodique des établissements de santé privés d'Asie du Sud et du Sud-Est, où la régulation cybersécurité est moins mature et les sanctions moins dissuasives qu'en Europe.

En parallèle, le 7 août 2026, le groupe ransomware Helix revendiquait l'attaque de Morguard Corporation, l'un des plus grands gestionnaires d'actifs immobiliers du Canada avec plus de 17 milliards de dollars d'actifs sous gestion. Helix affirme avoir exfiltré des données sensibles sur les propriétaires, locataires et opérations internes, et menaçait une publication après l'échec des négociations. Ces deux incidents illustrent la diversification sectorielle et l'intensification des groupes ransomware en août 2026.

Le modèle opératoire de Krybit suit le schéma classique de la double extorsion : chiffrement des systèmes pour paralyser les opérations, couplé à l'exfiltration préalable des données pour disposer d'un levier de négociation supplémentaire. Dans le contexte hospitalier et clinique, la pression est maximale — une paralysie peut directement affecter la prise en charge des patients et engager la responsabilité pénale et civile de l'établissement.

Selon les données compilées par UpGuard dans son rapport de juillet 2026 sur les violations dans la santé, le secteur médical mondial a subi en 2025 plus de 700 incidents significatifs, exposant plus de 500 millions de dossiers patients. Le coût moyen d'une violation dans ce secteur atteint désormais 11 millions de dollars selon le rapport IBM Cost of a Data Breach 2026 — record absolu tous secteurs confondus pour la seizième année consécutive.

En France, le secteur de la santé est une cible réelle et documentée. Depuis le Centre Hospitalier de Corbeil-Essonnes (2022) jusqu'aux incidents touchant plusieurs GHT (Groupements Hospitaliers de Territoire) en 2024-2025, la menace ransomware visant les infrastructures sanitaires françaises est active. L'obligation NIS2, transposée en France fin 2024, impose désormais aux entités de santé classées essentielles ou importantes des exigences de notification d'incident (72 heures à la CNIL), de gestion des risques et de résilience opérationnelle.

La Cyber Security Agency of Singapore (CSA) a confirmé avoir été notifiée de l'incident ProHealth. La Personal Data Protection Commission (PDPC) singapourienne pourrait sanctionner l'établissement en cas de manquements à la Personal Data Protection Act (PDPA) — amendes pouvant atteindre 1 million de dollars singapouriens ou 10% du chiffre d'affaires annuel local.

Impact et exposition

Les 114 Go de données exfiltrées représentent potentiellement des dizaines de milliers de dossiers patients exposés. Pour les individus : risque d'usurpation d'identité médicale, fraude à l'assurance, et exposition d'informations de santé hautement sensibles. Pour l'établissement : risque opérationnel, réputationnel, et réglementaire PDPA/NIS2. Le pattern de spécialisation sectorielle santé de Krybit suggère d'autres cibles à venir. Les établissements de santé privés en France sont directement concernés par cette menace.

Recommandations

  • Plan de réponse ransomware : documenter et tester les procédures de reprise d'activité en mode dégradé — notamment pour les systèmes critiques de prise en charge (DMP, prescriptions, imagerie)
  • Segmentation réseau : isoler les systèmes de dossiers médicaux électroniques (DME/EMR) du reste du réseau pour limiter la propagation latérale
  • Sauvegardes hors ligne testées : maintenir des sauvegardes régulières déconnectées du réseau, avec des tests de restauration planifiés au minimum trimestriellement
  • Surveillance de l'exfiltration (DLP) : déployer des solutions de prévention des fuites de données et surveiller les transferts anormaux en volume ou destination
  • Vérifier la conformité NIS2 et mettre en place les procédures de notification d'incident à la CNIL dans le délai légal de 72 heures

Quelle est la première action d'un directeur d'établissement de santé face à une compromission ransomware ?

Trois actions immédiates dans les premières heures : (1) Isoler les systèmes compromis du réseau sans les éteindre — la mémoire volatile contient des indices forensiques précieux. (2) Notifier simultanément RSSI, DPO et direction juridique — la notification à la CNIL est obligatoire dans les 72 heures. (3) Contacter l'ANSSI ou un prestataire PRIS qualifié ANSSI. Ne communiquez pas publiquement avant d'avoir une vision claire du périmètre exact de la compromission.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit