Ransomware ChipSoft : chaos dans les hôpitaux néerlandais

Les faits

Le 7 avril 2026, ChipSoft, principal fournisseur de systèmes de dossiers médicaux électroniques (DME) aux Pays-Bas, a confirmé avoir été victime d'une attaque par rançongiciel. L'éditeur a immédiatement déconnecté son site web ainsi que plusieurs services numériques destinés aux patients comme aux professionnels de santé, afin de contenir la propagation. L'incident prend une dimension systémique : ChipSoft développe la plateforme HiX, déployée dans environ 70 % des hôpitaux néerlandais, où elle centralise dossiers patients, prescriptions et planification des soins. Le cas ChipSoft ransomware hôpitaux illustre la dépendance critique du secteur de la santé à un très petit nombre de fournisseurs logiciels. Si les établissements ont d'abord signalé des perturbations limitées, la mise hors ligne prolongée des services connexes a rapidement contraint plusieurs d'entre eux à activer leurs procédures dégradées, avec reports de consultations et retours au papier.

Par mesure de précaution, ChipSoft a désactivé les connexions à plusieurs de ses plateformes, notamment le Zorgportaal (portail de soins), HiX Mobile et le Zorgplatform. Des perturbations ont été confirmées dans plusieurs établissements : le Sint Jans Gasthuis à Weert, le Laurentius à Roermond, le VieCuri à Venlo et le Flevo Hospital à Almere. Le Z-CERT, centre néerlandais de cybersécurité pour le secteur de la santé, a indiqué que les perturbations restent pour l'instant d'ordre logistique. Cette attaque s'inscrit dans une tendance lourde de ciblage du secteur de la santé par les groupes de ransomware.

Impact et exposition

La concentration du marché hospitalier néerlandais autour d'un fournisseur unique amplifie considérablement l'impact de cet incident. Avec 70 % des hôpitaux dépendant de HiX, une indisponibilité prolongée pourrait affecter la continuité des soins à l'échelle nationale. Les portails patients désactivés empêchent l'accès aux résultats d'analyses, aux ordonnances et à la prise de rendez-vous en ligne. Les pharmacies connectées au système sont dans l'incapacité de traiter certaines prescriptions. Le Z-CERT précise qu'aucun processus de soins critique n'a été interrompu à ce stade, mais la restauration progressive des systèmes et l'émission de nouveaux identifiants pour les utilisateurs prendra du temps. Les établissements de santé français utilisant des solutions similaires centralisées devraient considérer cet incident comme un signal d'alerte sur leur propre conformité HDS et résilience.

Recommandations

• Les établissements dépendant de ChipSoft/HiX doivent activer immédiatement leurs procédures de continuité d'activité en mode dégradé et former le personnel aux workflows papier
• Surveiller les communications officielles de ChipSoft et du Z-CERT pour les indicateurs de compromission (IoC) et les instructions de restauration
• Renouveler tous les identifiants d'accès aux plateformes ChipSoft dès la restauration confirmée, comme le recommande le fournisseur
• Pour les DSI hospitaliers : réévaluer le risque de dépendance à un fournisseur unique de DME et prévoir des mécanismes de résilience face aux ransomwares

Un secteur de santé sous pression constante

L'attaque contre ChipSoft s'inscrit dans une trajectoire déjà documentée par plusieurs incidents majeurs touchant les infrastructures de santé numériques. En 2017, l'attaque WannaCry avait paralysé le NHS britannique, entraînant l'annulation de près de 19 000 rendez-vous médicaux. Plus récemment, en février 2024, l'attaque contre Change Healthcare aux États-Unis — un intermédiaire technique traitant environ 15 milliards de transactions médicales par an — avait provoqué une paralysie du système de facturation santé américain pendant plusieurs semaines, avec un coût estimé à plus de 2,3 milliards de dollars pour UnitedHealth Group. Le point commun de ces incidents est structurel : la concentration extrême du marché des DME autour d'un nombre restreint de fournisseurs transforme chaque éditeur en point de défaillance unique pour un pan entier du système de santé national. Aux Pays-Bas, cette dépendance à 70 % sur HiX reproduit exactement ce schéma de risque systémique.

Le secteur de la santé reste, selon les données sectorielles compilées par l'ENISA et le FBI IC3, l'une des cibles privilégiées des groupes de ransomware, motivés par la valeur élevée des données médicales sur les marchés clandestins et par la pression opérationnelle qui pousse les établissements à payer rapidement une rançon pour restaurer la continuité des soins. Le Z-CERT néerlandais, organisme équivalent d'un CERT sectoriel dédié à la santé, joue ici un rôle de coordination similaire à celui du CERT Santé en France, chargé de centraliser les alertes et d'accompagner les établissements victimes. L'absence de revendication par un groupe identifié, plusieurs jours après la découverte de l'incident, est également un schéma récurrent : les opérateurs de ransomware modernes privilégient souvent une phase de négociation silencieuse avant toute publication sur leur site de fuite, le temps d'évaluer le rapport de force avec la victime.

Chiffres clés du ransomware dans le secteur santé

• Le secteur santé figure parmi le top 3 des secteurs les plus ciblés par ransomware selon les rapports annuels ENISA
• Le coût moyen de récupération après une attaque ransomware dans le secteur santé dépasse 2 millions de dollars selon Sophos
• Le temps moyen de restauration complète des systèmes après incident majeur oscille entre 2 et 4 semaines