En bref

  • Le groupe Anubis revendique le vol de 2 To de données à Signature Healthcare (Massachusetts).
  • Incident détecté le 6 avril 2026, urgences déroutées, DME hors ligne pendant deux semaines.
  • Anubis dispose d'un mode "wipe" qui efface définitivement les fichiers si la rançon n'est pas payée.

Les faits

Points clés à retenir

  • Les faits
  • Impact et exposition
  • Recommandations

Signature Healthcare, opérateur du Brockton Hospital dans le Massachusetts, a détecté un incident de sécurité le 6 avril 2026. Trois jours plus tard, le groupe Anubis, actif sous un modèle de ransomware-as-a-service, revendiquait l'attaque sur son site de fuites et affirmait détenir près de 2 téraoctets de données exfiltrées, dont des dossiers patients et des informations administratives sensibles. L'affaire du ransomware Anubis Signature Healthcare présente une particularité : les attaquants déclarent ne pas avoir chiffré les systèmes et s'appuient uniquement sur la menace de divulgation pour faire pression sur l'établissement. Cette stratégie d'extorsion sans chiffrement, de plus en plus fréquente dans le secteur de la santé, réduit la visibilité de l'intrusion tout en maintenant un risque majeur pour la confidentialité des données. À ce stade, Signature Healthcare n'a pas confirmé publiquement le volume ni la nature exacte des informations concernées.

Les urgences ont été placées en "divert" pendant plusieurs jours, les ambulances réorientées vers d'autres établissements. Le dossier médical électronique a été déconnecté, les perfusions de chimiothérapie au Greene Cancer Center annulées le 7 avril, le portail patient rendu indisponible et la délivrance de prescriptions interrompue. Signature Healthcare annonce que les procédures de fonctionnement dégradé se poursuivront au moins deux semaines.

Impact et exposition

Anubis est actif depuis décembre 2024 et a été qualifié par Trend Micro en juin 2025 de "groupe RaaS émergent ajoutant une dimension destructrice au modèle de double extorsion classique". Sa particularité : un mode optionnel "wipe" qui efface définitivement les fichiers si la victime ne paie pas. Cette capacité transforme le calcul de risque : il ne s'agit plus seulement de fuite de données, mais d'une menace de destruction irréversible. Les établissements de santé américains restent la cible prioritaire en 2026 du fait de la tolérance faible à l'arrêt opérationnel et des données patient monétisables sur les marchés clandestins.

Recommandations

  • Auditer l'exposition externe : VPN SSL, RDP ouvert, interfaces de gestion de l'EHR accessibles depuis Internet.
  • Segmenter strictement les systèmes hospitaliers critiques (DME, PACS, monitoring) du réseau bureautique.
  • Sauvegarder en 3-2-1 avec copies immuables hors-ligne, tester mensuellement la restauration.
  • Déployer un EDR avec détection comportementale sur les postes administratifs et les serveurs de fichiers.
  • Préparer un plan de continuité "mode dégradé papier" avec exercices semestriels sur les services critiques.

Alerte critique

Le mode wipe d'Anubis rend les sauvegardes immuables non négociables. Une restauration en 48 heures depuis des backups hors-ligne est aujourd'hui le seul rempart crédible contre la destruction définitive.

Comment Anubis se distingue-t-il des autres opérations RaaS ?

Contrairement aux opérations classiques de double extorsion qui chiffrent les données pour forcer la négociation, Anubis propose à ses affiliés un mode wipe qui efface définitivement les fichiers. Cette option transforme l'attaque en menace existentielle pour la victime, qui ne peut plus espérer récupérer ses données même via outil de déchiffrement ou clé récupérée.

Que faire si mon établissement de santé est compromis par Anubis ?

Activer immédiatement le plan de continuité mode papier, isoler les segments réseau non touchés, préserver les logs (ne pas redémarrer), contacter le CERT Santé et les forces de l'ordre. Ne pas payer tant que les sauvegardes hors-ligne n'ont pas été vérifiées intégralement. Engager un spécialiste DFIR habitué au RaaS santé pour coordonner la réponse.

Voir aussi notre article sur les premières 24 heures critiques d'une réponse à ransomware, ainsi que notre analyse du risque systémique des SaaS santé.

  • Déployer un EDR avec détection comportementale sur les postes cliniques et serveurs applicatifs (EHR, PACS, laboratoire), et non uniquement sur le périmètre bureautique.
  • Préparer un plan de continuité "papier" pour les urgences et la pharmacie, testé au moins une fois par an en conditions réelles.
  • Contractualiser un accès prioritaire à une équipe de réponse à incident (CERT) avant la crise, pas pendant.

Comment Anubis se distingue-t-il des autres opérations RaaS ?

La plupart des groupes de ransomware-as-a-service actifs en 2026 — LockBit, Akira, Qilin — reposent sur un modèle de double extorsion classique : chiffrement des systèmes puis menace de publication des données volées. Anubis introduit une variante plus radicale via son option de destruction irréversible des fichiers, activable indépendamment du chiffrement. Concrètement, l'affilié peut choisir de ne pas chiffrer (ce qui limite la détection par les outils anti-ransomware classiques, souvent calibrés sur les patterns de chiffrement massif) tout en conservant un levier de pression équivalent, voire supérieur : la victime sait que ses données originales peuvent disparaître définitivement, sans possibilité de restauration même en payant. Trend Micro note que ce choix architectural complique la réponse à incident, car les indicateurs de compromission (IOC) associés au wiper diffèrent sensiblement de ceux d'un ransomware chiffrant traditionnel. Pour le secteur santé, où la donnée patient a une valeur légale et clinique propre (traçabilité des soins, obligations réglementaires de conservation), la perspective d'une perte de données non récupérable — plutôt qu'un simple chiffrement réversible par clé — change fondamentalement le calcul risque/coût pour les établissements ciblés.

Que faire si mon établissement de santé est compromis par Anubis ?

La réponse à incident doit démarrer par l'isolement immédiat des segments réseau exposés, sans attendre la confirmation du vecteur d'entrée. L'expérience de Signature Healthcare illustre l'ordre de priorité opérationnel : sécuriser d'abord les fonctions vitales (urgences, chimiothérapie, prescriptions), puis engager l'investigation forensique. Il est fortement déconseillé de négocier directement avec le groupe sans l'appui d'un CERT ou d'un courtier en cyber-rançon expérimenté, notamment parce que la présence d'un module wiper rend incertaine la fiabilité d'un éventuel paiement. Les obligations de notification doivent être anticipées : aux États-Unis, la réglementation HIPAA impose une notification sous 60 jours en cas de violation de données de santé ; en France et en Europe, le RGPD et la directive NIS 2 imposent des délais bien plus courts (72 heures pour la CNIL). Un établissement de santé européen visé par un scénario équivalent devrait notifier simultanément son autorité de contrôle et, selon son statut d'opérateur de services essentiels, l'ANSSI.

Votre établissement de santé est-il prêt ?

Au-delà des mesures techniques, la résilience face à un acteur comme Anubis dépend de la capacité à maintenir les soins en mode dégradé pendant plusieurs semaines — le scénario observé à Brockton. Un audit de maturité cyber couplé à un exercice de crise "sans système d'information" permet d'identifier les dépendances critiques (accès aux dossiers patients, chaîne d'approvisionnement pharmaceutique, communication interservices) avant qu'un incident réel ne les révèle.

Sources et références (2)

Votre établissement de santé est-il prêt ?

Ayi NEDJIMI accompagne les hôpitaux et cliniques dans l'évaluation de leur exposition ransomware et la préparation de plans de continuité réalistes en mode dégradé.

Demander un audit

Sources et références