Rhysida frappe Cookeville : 337 917 patients touchés

Les faits

Le 16 avril 2026, le Cookeville Regional Medical Center (CRMC), établissement hospitalier du Tennessee, a officiellement notifié 337 917 patients que leurs données personnelles et médicales avaient été exposées lors d'une cyberattaque survenue en juillet 2025. Les équipes informatiques avaient détecté une activité suspecte sur le réseau le 14 juillet 2025, et l'investigation forensique menée par la suite a confirmé un accès non autorisé aux systèmes entre le 11 et le 14 juillet. Revendiquée par le groupe Rhysida, cette attaque figure parmi les compromissions les plus massives ayant frappé un établissement de santé américain cette année-là. L'affaire Rhysida ransomware Cookeville illustre le délai considérable — près de neuf mois — séparant la découverte de l'incident de l'information des victimes, un décalage devenu récurrent dans le secteur hospitalier et lourd de conséquences pour les patients concernés.

CRMC dessert environ 250 000 patients par an répartis sur 14 comtés de la région Upper Cumberland. Selon Infosecurity Magazine et SecurityAffairs, l'incident se classe comme la huitième plus importante fuite ransomware du secteur santé américain pour l'exercice 2025 par nombre d'enregistrements compromis. L'écart de neuf mois entre la détection et la notification illustre la difficulté des établissements de santé à mener une investigation forensique complète tout en assurant la continuité des soins.

Impact et exposition

Les données exposées varient selon les patients : noms, adresses postales, dates de naissance, numéros de sécurité sociale, numéros de permis de conduire, informations financières, dossiers médicaux et données d'assurance. Cette combinaison expose les victimes à un risque très élevé d'usurpation d'identité et de fraude médicale. CRMC offre 12 mois de protection identitaire gratuite via Experian, une mesure standard mais largement insuffisante au regard de la sensibilité des données. Pour les hôpitaux européens, l'incident illustre l'écart persistant entre obligations RGPD et délais de notification réels constatés dans le secteur santé.

Recommandations

• Pour les patients potentiellement concernés : surveiller les comptes bancaires et activer une alerte de fraude auprès des bureaux de crédit (Experian, Equifax, TransUnion).
• Pour les établissements de santé : auditer les contrats fournisseurs de gestion d'identité et imposer des SLA de notification incident inférieurs à 72 heures.
• Vérifier la segmentation entre systèmes administratifs (facturation, dossiers patients) et systèmes biomédicaux ; isoler les sauvegardes hors-ligne.
• Tester un scénario de rançongiciel en exercice annuel, incluant la coordination avec le CERT et les autorités locales.

Pourquoi CRMC a-t-il attendu neuf mois pour notifier les patients ?

Le délai entre la détection (juillet 2025) et la notification officielle (avril 2026) s'explique par la conjonction de plusieurs facteurs classiques du secteur santé américain. L'investigation forensique sur un volume de 500 Go de données exfiltrées nécessite un travail méthodique de qualification patient par patient, requis par la réglementation HIPAA avant toute notification individuelle. CRMC a dû faire appel à des cabinets externes spécialisés pour reconstituer précisément quelles catégories de données avaient été compromises pour chacun des 337 917 dossiers concernés, un exercice qui prend souvent plusieurs mois lorsque les systèmes touchés couvrent des années d'archives médicales et administratives. À cela s'ajoute la nécessité de maintenir la continuité des soins pendant la remédiation, un impératif qui limite les ressources IT disponibles pour l'analyse. Le HHS Office for Civil Rights impose un délai maximal de 60 jours après la découverte d'une violation avérée, mais ce chronomètre ne démarre qu'une fois l'ampleur de la fuite confirmée — et non à la date de l'intrusion initiale. Ce mécanisme explique pourquoi la majorité des grandes violations de données de santé aux États-Unis sont notifiées entre six et douze mois après l'incident technique.

Le groupe Rhysida est-il actif contre des cibles européennes ?

Actif depuis mai 2023, Rhysida a initialement ciblé des institutions nord-américaines et britanniques avant d'étendre ses opérations en Europe continentale. Le groupe a notamment revendiqué des attaques contre des établissements de santé et des collectivités en France, en Allemagne, au Portugal et en Italie, ainsi que des institutions culturelles comme la British Library en 2023. Son mode opératoire repose sur un modèle de ransomware-as-a-service (RaaS) combinant exfiltration massive et chiffrement, avec revente aux enchères des données sur son site de fuite lorsque la rançon n'est pas versée. Les autorités américaines (CISA, FBI) et européennes classent Rhysida parmi les groupes prioritaires ciblant le secteur santé, en raison de la valeur élevée des dossiers médicaux sur les marchés clandestins — jusqu'à dix fois supérieure à celle d'un numéro de carte bancaire volé.

Votre établissement est-il prêt à un incident ransomware ?

Les établissements de santé européens soumis au RGPD disposent d'un délai de notification bien plus contraignant que leurs homologues américains : 72 heures auprès de la CNIL (ou autorité équivalente) dès la connaissance de la violation, contre plusieurs mois de tolérance de facto outre-Atlantique. Ce cas illustre l'importance d'un plan de réponse à incident testé, incluant une cellule de crise capable de qualifier rapidement le périmètre des données touchées sans attendre une investigation exhaustive. La directive NIS 2, applicable aux opérateurs de santé critiques, renforce ces obligations avec des exigences de notification précoce sous 24 heures pour les incidents significatifs.