Ransomware Gentlemen : AnMed, 83 sites fermés, 6 To volés

Les faits

Le week-end du 26 juillet 2026, AnMed — système de santé à but non lucratif servant la Caroline du Sud et le nord-est de la Géorgie — a subi une attaque ransomware dévastatrice. L'incident a forcé la fermeture temporaire de 83 de ses 106 établissements : cabinets médicaux, centres de consultation, cliniques ambulatoires et services administratifs mis à l'arrêt, plongeant des dizaines de milliers de patients dans l'impossibilité d'accéder à leurs soins ou de joindre leur équipe soignante.

Le groupe responsable s'appelle « Gentlemen ». C'est une organisation ransomware-as-a-service (RaaS) dont les affiliés et opérateurs proviendraient d'autres groupes criminels plus anciens. Ce modèle — développeurs fournissant une infrastructure de chiffrement et d'extorsion contre une part des rançons — permet à des acteurs de capacité variable de mener des attaques de grande ampleur sans développer leurs propres outils.

Dès les premières heures, AnMed a coupé ses systèmes d'information. Le portail patient MyChart, la messagerie interne, les lignes téléphoniques et les accès aux dossiers médicaux électroniques ont tous été mis hors ligne. Pour les patients nécessitant des soins urgents, le personnel a basculé sur des procédures papier d'urgence — un retour en arrière qui révèle la fragilité de la résilience opérationnelle des établissements de santé face aux cyberattaques majeures.

Une semaine après l'attaque, 10 établissements restaient encore fermés selon Healthcare Dive. Le PDG d'AnMed, William Kinley, a confirmé publiquement que des données de santé avaient été compromises. Le groupe Gentlemen a revendiqué l'exfiltration de 6 téraoctets de données en détaillant leur nature pour maximiser la pression : dossiers liés à des agressions sexuelles, dossiers psychiatriques et de santé mentale, dossiers d'IVG, et dossiers de plaintes pour harcèlement sexuel au sein de l'organisation.

La tactique d'extorsion de Gentlemen dans cette attaque sort des pratiques habituelles. En plus des exigences financières avec un ultimatum de 72 heures, le groupe a piraté la page Facebook officielle d'AnMed et l'a utilisée comme canal de diffusion pendant la crise. Plutôt que de publier les données sur leur propre site Tor, Gentlemen a détourné la présence sociale de la victime elle-même — amplifiant la confusion parmi les patients, générant une visibilité médiatique maximale, et renforçant la pression sur la direction.

Cette technique de hijacking de réseaux sociaux lors d'un incident ransomware est encore rare mais son apparition ici est un signal. Elle traduit une sophistication croissante dans les stratégies d'extorsion : les groupes modernes ne se contentent plus de chiffrer et d'attendre — ils orchestrent des campagnes de pression multi-canaux combinant la menace de publication de données, le détournement des canaux de communication officiels, et parfois des contacts directs avec des clients ou des journalistes.

L'attaque contre AnMed s'inscrit dans une tendance de fond : en 2026, le secteur de la santé est le plus ciblé par les ransomwares aux États-Unis, devant les collectivités locales et l'enseignement. La valeur des données médicales sur les marchés clandestins est élevée — un dossier médical complet se négocie plusieurs fois le prix d'un numéro de carte bancaire — et la pression exercée sur les établissements est maximale, car une interruption prolongée peut mettre des vies en danger.

Du côté réglementaire, la confirmation de la violation déclenche les obligations strictes de notification HIPAA. AnMed doit notifier les patients concernés dans des délais légaux précis, informer le Department of Health and Human Services (HHS), et potentiellement faire face à une investigation de l'Office for Civil Rights du HHS. Les amendes HIPAA pour manquement peuvent atteindre plusieurs dizaines de millions de dollars pour les violations de grande ampleur.

Impact et exposition

Les patients d'AnMed en Caroline du Sud et en Géorgie sont directement concernés par la potentielle exposition de leurs données. La nature ultra-sensible des informations revendiquées expose les victimes à des risques de chantage, de discrimination professionnelle ou d'usurpation d'identité médicale. Pour les organisations de santé régionales similaires, cet incident illustre la vulnérabilité structurelle des systèmes qui ne disposent pas des ressources des grandes structures pour mettre en place une défense en profondeur.

Recommandations

• Résilience opérationnelle : tester régulièrement les procédures de continuité sans SI — vos équipes doivent pouvoir fonctionner en mode dégradé sans formation à chaud pendant une crise
• Segmentation réseau : isoler les systèmes cliniques des systèmes administratifs pour limiter la propagation latérale d'un ransomware
• Sauvegardes hors ligne : maintenir des sauvegardes offline ou air-gapped, testées mensuellement, inaccessibles depuis le réseau de production
• Gestion des accès externes : les portails patients (MyChart, Epic) et accès partenaires sont des vecteurs d'entrée privilégiés — MFA obligatoire sur tous ces points
• Plan de communication de crise : inclure explicitement la gestion des réseaux sociaux dans le plan de réponse aux incidents, avec procédures de récupération de comptes pré-définies