CHU de Brest : l'attaque déjouée du 9 mars 2023 - l'autopsie

Le 9 mars 2023, vers 21 heures, le téléphone sonne au CHU de Brest : l’ANSSI a repéré des communications suspectes entre un serveur de l’hôpital et une infrastructure d’attaquants. Dans la plupart des dossiers de cette série, ce genre d’appel arrive trop tard — après l’exfiltration, après le chiffrement, après la rançon. Pas cette fois. « Les attaquants n’ont pas exfiltré de données et ne sont pas parvenus à déployer leur charge finale », écrira le CERT-FR six mois plus tard.

Troisième volet de notre série « Autopsies d’attaques » après France Travail et l’ANTS, ce dossier a une particularité : c’est l’histoire d’une attaque déjouée. Et elle s’appuie sur une source unique en son genre — le rapport CERTFR-2023-CTI-007 du 18 septembre 2023, le récit technique public dans lequel le CERT-FR, fait rarissime, nomme la victime française et détaille l’attaque étape par étape : accès initial, outils, échecs de l’attaquant, attribution au mode opératoire FIN12. Nous y ajoutons le témoignage du RSSI du CHU dans la presse spécialisée, le Panorama de la cybermenace 2023 de l’ANSSI et le rapport de la Cour des comptes sur la sécurité informatique des établissements de santé.

Une précision de cadrage, essentielle : cette attaque ne commence pas par un email de phishing. Elle commence par des identifiants volés — probablement par un infostealer, un maliciel voleur de mots de passe. Les deux vecteurs sont cousins, pas jumeaux ; nous y reviendrons, parce que c’est précisément la leçon du dossier.

À retenir

• Le signalement : « Le jeudi 9 mars 2023, l’ANSSI a émis un signalement concernant la compromission de l’un des serveurs du centre hospitalier universitaire (CHU) de Brest. Ce signalement a été rendu possible par des investigations menées par l’ANSSI depuis plusieurs années » (CERT-FR, 18 septembre 2023).
• Le vecteur : « des authentifiants valides d’un professionnel de santé », utilisés sur « un service de bureau à distance exposé et accessible sur Internet ». Le CERT-FR juge « probable » que ces identifiants proviennent « de la compromission par un information stealer du poste utilisateur, dans le cadre d’une campagne de distribution opportuniste ». Ce n’est pas un email de phishing : c’est un vol d’identifiants par maliciel — un vecteur frère, pas identique.
• La riposte : alerte reçue « environ 10 minutes avant 21h », décision de couper Internet prise en « 2h30 », investigations jusqu’à 3h du matin avec l’ANSSI (récit du RSSI, LeMagIT, 27 mars 2023). « La réactivité de l’établissement de santé a permis d’isoler rapidement le système d’information d’Internet et d’entraver la progression du mode opératoire des attaquants » (CERT-FR).
• Le bilan : zéro donnée exfiltrée, zéro poste chiffré, activité de soins « quasiment normale » — au prix de deux semaines de fonctionnement en mode dégradé, sans Internet.
• L’attribution : l’ANSSI associe l’attaque au mode opératoire cybercriminel FIN12 — une désignation d’analystes, pas des individus identifiés — relié « au chiffrement d’une trentaine d’entités entre 2020 et 2023 », avec un ciblage marqué du secteur de la santé (au moins 20 % des victimes selon Mandiant, cité par l’ANSSI). Personne n’a été interpellé.
• La leçon : les identifiants d’un seul professionnel, probablement récoltés sur un poste par un maliciel, ont suffi à ouvrir un CHU. À l’échelle du secteur, la Cour des comptes rappelle que le message électronique malveillant était « la première source d’incidents déclarés au Cert Santé en 2022 » — le facteur humain reste la porte d’entrée, quel que soit l’outil qui l’exploite.

Le dossier en chiffres

9 mars 2023

le signalement de l'ANSSI au CHU de Brest

CERT-FR, CERTFR-2023-CTI-007, 18/09/2023

2h30

entre l'alerte et la décision de couper Internet

RSSI du CHU, interview LeMagIT, 27/03/2023

~30

entités chiffrées reliées au même mode opératoire (2020-2023)

CERT-FR, CERTFR-2023-CTI-007

0

donnée exfiltrée, zéro serveur chiffré : l'attaque déjouée

CERT-FR, CERTFR-2023-CTI-007

Chronologie

Chronologie

Le fil des événements

1. Autour du 20 février 2023

   Des signaux avant-coureurs chez un agent du CHU

   « L'enquête laisse à suspecter l'implication, préalable au début de la cyberattaque, d'un maliciel dérobeur, un infostealer : le collaborateur dont le compte a été compromis a par ailleurs été victime de détournement de comptes de réseaux sociaux autour du 20 février. »

   Source — LeMagIT, récit avec le RSSI du CHU, 27/03/2023

2. 9 mars 2023

   L'ANSSI signale la compromission

   « Le jeudi 9 mars 2023, l'ANSSI a émis un signalement concernant la compromission de l'un des serveurs du centre hospitalier universitaire (CHU) de Brest. Ce signalement a été rendu possible par des investigations menées par l'ANSSI depuis plusieurs années. »

   Source — CERT-FR, CERTFR-2023-CTI-007, 18/09/2023

3. 9 mars 2023, en soirée

   L'alerte arrive aux équipes du CHU

   « Environ 10 minutes avant 21h, les équipes informatiques du CHRU de Brest reçoivent une notification : le système d'information du centre hospitalier est susceptible d'être victime d'une intrusion. » La qualification est rapide : le compte signalé « a bien été utilisé pour accéder frauduleusement au système d'information ».

   Source — LeMagIT, récit avec le RSSI du CHU, 27/03/2023

4. Nuit du 9 au 10 mars 2023

   La déconnexion d'Internet

   « En tout, il nous a fallu 2h30 pour décider que, pour être sereins, être sûrs d'arrêter l'attaque au bon moment et ne pas passer à côté de quelque chose, il fallait couper Internet », raconte Jean-Sylvain Chavanne, RSSI du CHU. Les investigations se poursuivent jusqu'à 3h du matin avec le soutien de l'ANSSI.

   Source — LeMagIT, propos du RSSI, 27/03/2023

5. 10 mars 2023

   Le soulagement : pas d'élévation de privilèges

   Un prestataire de réponse à incident est à pied d'œuvre à 8h. « À la mi-journée, la bonne nouvelle tombe : l'attaquant n'est pas parvenu à élever ses privilèges. » Ses capacités de nuisance restent « bien en deçà de ce dont il aurait eu besoin pour réussir à déployer largement un rançongiciel ».

   Source — LeMagIT, récit avec le RSSI du CHU, 27/03/2023

6. 24 mars 2023

   Le début de la reconnexion

   Lors d'un point presse, la direction du CHU explique que la reconnexion à Internet a commencé, « après deux semaines de fonctionnement en mode dégradé ». Le dossier patient informatisé « était toujours disponible » : consultations, urgences et maternité ont été maintenues.

   Source — LeMagIT, 27/03/2023

7. 21 juin 2023

   Le contre-exemple : le CHU de Rennes

   « Le 21 juin 2023, le Centre hospitalier universitaire (CHU) de Rennes a détecté des actions malveillantes sur son système d'information et en a informé l'ANSSI. » Les investigations mettent en évidence « une compromission en profondeur du SI ainsi qu'une exfiltration de données effectuée par le groupe cybercriminel BianLian » — mais là aussi, pas de chiffrement : « l'attaque ayant été détectée dans sa phase initiale ».

   Source — ANSSI, Panorama de la cybermenace 2023 (CERTFR-2024-CTI-001), 27/02/2024

8. 18 septembre 2023

   Le CERT-FR publie son autopsie officielle

   L'ANSSI publie le rapport CERTFR-2023-CTI-007, « FIN12 : un groupe cybercriminel aux multiples rançongiciels » : accès initial, outils, tentatives d'exploitation, infrastructure, attribution. Fait rarissime pour un incident français : la victime y est nommée.

   Source — CERT-FR, CERTFR-2023-CTI-007, 18/09/2023

9. 7 novembre 2024

   L'état de la menace sur le secteur santé

   Le CERT-FR publie son état de la menace informatique sur le secteur de la santé : « Un tiers des incidents touchant des établissements de santé observés par l'ANSSI en 2022 et 2023 concerne des compromissions de comptes de messagerie, parfois couplées à des envois de courriels d'hameçonnage. » La part du secteur dans les incidents traités par l'Agence est passée « de 2,87% en 2020, à 11,4% en 2023 ».

   Source — CERT-FR, CERTFR-2024-CTI-010, 07/11/2024

10. 14 octobre 2024

    La Cour des comptes pointe le facteur humain

    Dans ses observations définitives sur la sécurité informatique des établissements de santé (S2024-1456, délibérées le 14 octobre 2024, mises en ligne en janvier 2025), la Cour écrit que « la première source d'incidents déclarés au Cert Santé en 2022, et la deuxième en 2023, est le message électronique malveillant […] aussi qualifié d'hameçonnage ou phishing », et que « la vulnérabilité des SIH trouve donc essentiellement son origine dans le comportement des utilisateurs ».

    Source — Cour des comptes, S2024-1456

Acte 1 : la clé volée — un infostealer, pas un phishing

Tout commence par une phrase que le CERT-FR met en tête de son analyse : « L’accès initial au système d’information a été effectué depuis un service de bureau à distance exposé et accessible sur Internet. Les opérateurs du MOA ont utilisé des authentifiants valides d’un professionnel de santé pour se connecter. »

Relisons-la lentement, parce que tout y est. Pas de faille exotique, pas de zero-day : un service de bureau à distance exposé sur Internet — la porte — et des authentifiants valides — la clé. L’attaquant ne force rien à l’entrée ; il se connecte, comme l’aurait fait le professionnel de santé dont il a volé l’identité numérique.

D’où venait la clé ? Le CERT-FR répond avec la prudence des analystes : « Il est probable que les authentifiants du compte soient issus de la compromission par un information stealer du poste utilisateur, dans le cadre d’une campagne de distribution opportuniste. » Et le rapport définit l’outil en note : « un information stealer est un type de code malveillant utilisé pour collecter des informations d’identification sur une machine compromise ».

Le récit publié par LeMagIT le 27 mars 2023, à partir des propos du RSSI du CHU, Jean-Sylvain Chavanne, apporte un indice troublant : « le collaborateur dont le compte a été compromis a par ailleurs été victime de détournement de comptes de réseaux sociaux autour du 20 février ». Autrement dit, près de trois semaines avant l’attaque, la vie numérique personnelle de cet agent montrait déjà des signes de compromission — la signature typique d’un poste infecté par un voleur d’identifiants, dont le butin (mots de passe professionnels et personnels mélangés) se retrouve en vente sur les places de marché criminelles.

Le CERT-FR en tire une hypothèse structurante : « Deux acteurs pourraient donc être impliqués dans l’incident, un fournisseur d’accès initial et l’attaquant chargé de la latéralisation et du déploiement du rançongiciel. » C’est l’économie du rançongiciel moderne : celui qui vole la clé n’est pas celui qui cambriole. L’ANSSI le confirmait à l’échelle dans son Panorama 2023 : « la démocratisation des outils de vol d’informations (infostealers) » a « facilité l’acquisition d’accès initiaux par des cybercriminels aux compétences techniques limitées ».

Précision de cadrage, une bonne fois : rien, dans les sources publiques, ne dit que cet agent a cliqué sur un email de phishing. L’infostealer arrive typiquement par un téléchargement piégé, un logiciel cracké, une publicité malveillante — une « campagne de distribution opportuniste », dit le CERT-FR, c’est-à-dire une pêche au chalut qui ne visait ni cet agent ni cet hôpital. Confondre vol d’identifiants par maliciel et hameçonnage serait factuellement faux. Ce sont en revanche deux branches du même arbre : des attaques qui passent par l’humain et ses identifiants plutôt que par la technique. L’un infecte la machine pour aspirer les mots de passe ; l’autre fabrique une fausse page pour les faire taper. La défense, elle, est largement commune — nous y venons plus bas.

Acte 2 : la nuit où l’hôpital a gagné

Le signalement de l’ANSSI

La synthèse du CERT-FR date précisément le point de bascule : « Le jeudi 9 mars 2023, l’ANSSI a émis un signalement concernant la compromission de l’un des serveurs du centre hospitalier universitaire (CHU) de Brest. Ce signalement a été rendu possible par des investigations menées par l’ANSSI depuis plusieurs années. »

Cette dernière phrase mérite qu’on s’y arrête : l’hôpital n’a pas détecté l’intrusion tout seul, et il n’a pas eu à le faire. C’est le suivi au long cours d’une infrastructure d’attaquants par l’agence nationale — serveurs de commande et de contrôle, habitudes techniques, indicateurs accumulés — qui a permis de repérer, de l’extérieur, des communications entre le système d’information du CHU et l’attaquant. La connaissance de la menace, capitalisée sur des années, s’est transformée en alerte opérationnelle un jeudi soir.

2h30 pour décider

Côté CHU, le récit publié par LeMagIT restitue la soirée : « Environ 10 minutes avant 21h, les équipes informatiques du CHRU de Brest reçoivent une notification : le système d’information du centre hospitalier est susceptible d’être victime d’une intrusion. » La notification est sommaire — les identifiants d’un compte compromis — mais elle suffit : les journaux de pare-feu confirment des connexions frauduleuses, l’EDR a enregistré des actions de reconnaissance. Le doute est levé : quelqu’un est dans les murs, et il explore.

Vient alors la décision qui fait basculer le dossier, racontée par le RSSI : « En tout, il nous a fallu 2h30 pour décider que, pour être sereins, être sûrs d’arrêter l’attaque au bon moment et ne pas passer à côté de quelque chose, il fallait couper Internet. » Couper un CHU d’Internet n’est pas un geste anodin — le RSSI cite la perte de la géolocalisation des ambulances pour le Samu parmi les effets de bord. C’est pourtant ce confinement volontaire qui étouffe l’attaque : l’assaillant perd son canal de commande, pendant que les investigations se poursuivent « jusqu’à 3h du matin », avec le soutien de l’ANSSI.

Le lendemain, un prestataire de réponse à incident prend le relais dès 8h. À la mi-journée, le verdict : « l’attaquant n’est pas parvenu à élever ses privilèges ». Sans privilèges étendus, pas de déploiement massif de rançongiciel possible. La partie est jouée.

Deux semaines de sas, pas deux mois de ruines

Le prix payé est réel mais contenu : « deux semaines de fonctionnement en mode dégradé », sans Internet, avant le début de la reconnexion annoncé en point presse le 24 mars. Mais l’essentiel a tenu, et le RSSI le résume d’une phrase : « le dossier patient informatisé était toujours disponible. C’est pour cela que l’on a pu conserver les consultations, les urgences, la maternité, notamment ». Pas de plan blanc, pas de déprogrammation massive, pas de retour au papier — tout ce que les hôpitaux chiffrés de Rouen à Corbeil-Essonnes ont subi, Brest l’a évité.

La chaîne d’attaque : ce que documente le CERT-FR

Chaîne d'attaque

Comment l'intrusion s'est déroulée

Reconstitution à visée défensive — chaque maillon compris est un maillon que l’on peut casser.

1. 01

   Des identifiants volés en amont, par un infostealer

   Selon le CERT-FR, il est « probable que les authentifiants du compte soient issus de la compromission par un information stealer du poste utilisateur, dans le cadre d'une campagne de distribution opportuniste » — un maliciel qui collecte les identifiants enregistrés sur une machine infectée. La presse rapporte que l'agent concerné avait vu ses comptes de réseaux sociaux détournés autour du 20 février (LeMagIT, 27/03/2023).

2. 02

   Connexion avec des authentifiants valides sur un accès distant exposé

   « L'accès initial au système d'information a été effectué depuis un service de bureau à distance exposé et accessible sur Internet. Les opérateurs du MOA ont utilisé des authentifiants valides d'un professionnel de santé pour se connecter » (CERT-FR, 18/09/2023). Pas d'exploit, pas d'effraction : une clé volée dans une serrure légitime.

3. 03

   Reconnaissance de l'annuaire et du réseau

   Les attaquants cartographient l'environnement avec des outils publics : Softperfect Network Scanner pour la découverte réseau, PingCastle et BloodHound « afin d'identifier de mauvaises configurations de l'Active Directory » (CERT-FR, 18/09/2023).

4. 04

   Élévation et latéralisation tentées — et ratées

   Tentatives d'exploitation de LocalPotato (CVE-2023-21746) et de la CVE-2022-24521 pour élever les privilèges ; puis, « sans succès », de PrintNightmare, BlueKeep et ZeroLogon pour se latéraliser ; Mimikatz, SharpRoast et AccountRestore pour récupérer des données d'authentification (CERT-FR, 18/09/2023). Aucune de ces tentatives n'aboutit.

5. 05

   Outillage de commande et de contrôle

   Deux portes dérobées sont exécutées depuis l'accès de bureau à distance : Cobalt Strike et SystemBC, déployées à 20 minutes d'intervalle depuis le même répertoire — l'attirail standard des opérations de rançongiciel modernes (CERT-FR, 18/09/2023).

6. 06

   Détection et confinement avant le chiffrement

   Signalement de l'ANSSI le 9 mars, coupure d'Internet décidée en 2h30 : « les attaquants n'ont pas exfiltré de données et ne sont pas parvenus à déployer leur charge finale » (CERT-FR). « La réactivité de l'établissement de santé a permis d'isoler rapidement le système d'information d'Internet et d'entraver la progression du mode opératoire des attaquants. »

Ce qui frappe dans le rapport CERT-FR, c’est le nombre de verbes à l’échec. Les opérateurs ont « tenté, sans succès » de créer un compte « supp » pour persister. Ils ont « tenté d’exploiter » LocalPotato (CVE-2023-21746) et la CVE-2022-24521 pour élever leurs privilèges. Ils ont « tenté, sans succès, d’exploiter les vulnérabilités PrintNightmare (CVE-2021-34527), BlueKeep (CVE-2019-0708), puis ZeroLogon (CVE-2020-1472) » pour se latéraliser. Ils ont déployé l’attirail classique — Cobalt Strike et SystemBC en portes dérobées, Mimikatz, SharpRoast et AccountRestore contre les données d’authentification, BloodHound et PingCastle pour cartographier l’Active Directory — sans jamais atteindre leur objectif. Détail révélateur relevé par l’ANSSI : dans le tableau comparatif des incidents attribués au même mode opératoire, la ligne « 2023-03 CHU de Brest » est la seule où la colonne du chiffreur reste vide.

Une attaque de rançongiciel n’est pas un éclair, c’est une progression : accès, reconnaissance, élévation, latéralisation, puis chiffrement. Chaque étape prend du temps — Mandiant, cité par l’ANSSI, évalue le « Time-To-Ransom » de FIN12 à environ 4 jours. C’est dans cette fenêtre que tout s’est joué : le signalement du 9 mars est arrivé pendant la phase de reconnaissance, et la coupure d’Internet a refermé la fenêtre avant l’irréparable.

FIN12 : à qui le CHU a échappé

Le rapport du CERT-FR ne se contente pas de décrire l’incident : il l’attribue. « La découverte de liens avec un ensemble d’incidents observés sur le périmètre français et rapportés en sources ouvertes a permis à l’ANSSI d’associer cette attaque au MOA cybercriminel FIN12. » Précision importante : FIN12 désigne un mode opératoire d’attaquants (MOA), une signature technique suivie par les analystes — Mandiant l’appelle FIN12, Microsoft PISTACHE TEMPEST (DEV-0237) — et non des personnes identifiées. Personne n’a été interpellé pour cette attaque, et aucune procédure judiciaire visant des suspects n’a été rendue publique.

Le pedigree reconstitué par l’ANSSI donne la mesure de ce à quoi Brest a échappé : « Les analyses de l’ANSSI ont permis d’établir des liens entre l’incident du CHU de Brest et le chiffrement d’une trentaine d’entités entre 2020 et 2023. » Les opérateurs de ce mode opératoire « seraient responsables d’un nombre conséquent d’attaques par rançongiciel sur le territoire français », employant successivement « les rançongiciels Ryuk puis Conti, avant de prendre part aux programmes de Ransomware-as-a-Service (RaaS) des rançongiciels Hive, BlackCat et Nokoyawa », ainsi que Play et Royal.

Deux traits du profil rendent le dossier brestois particulièrement significatif. D’abord le ciblage : selon Mandiant, cité par l’ANSSI, le mode opératoire FIN12 se caractérise par « un ciblage important du secteur de la santé (au moins 20% des victimes du groupe) » — jusqu’à la campagne Ryuk de 2020 contre des hôpitaux américains. Ensuite la méthode : ses opérateurs « semblent privilégier le chiffrement rapide des réseaux compromis au détriment de l’exfiltration des données », avec ce Time-To-Ransom d’environ 4 jours. Face à un adversaire dont la spécialité est la vitesse, c’est la vitesse de la défense qui a fait la différence.

Trois mois plus tard, le scénario a failli se rejouer à 250 kilomètres de là : le 21 juin 2023, « le Centre hospitalier universitaire (CHU) de Rennes a détecté des actions malveillantes sur son système d’information et en a informé l’ANSSI », écrit le Panorama 2023. Le bilan y est plus lourd — « une compromission en profondeur du SI ainsi qu’une exfiltration de données effectuée par le groupe cybercriminel BianLian » — mais là encore, pas de chiffrement : « la réactivité des équipes a toutefois permis d’éviter des conséquences plus lourdes, l’attaque ayant été détectée dans sa phase initiale ». Brest puis Rennes, à trois mois d’intervalle, dessinent la même morale : on ne choisit pas d’être ciblé, on choisit d’être prêt à détecter.

Le secteur : pourquoi les hôpitaux, pourquoi les identifiants

Le dossier brestois n’est pas une anomalie, c’est un échantillon. Le CERT-FR, dans son état de la menace sur le secteur de la santé (novembre 2024), mesure la pression : la part du secteur dans les incidents et signalements traités par l’Agence est passée « de 2,87% en 2020, à 11,4% en 2023 ». Et il précise le mécanisme dominant : « Un tiers des incidents touchant des établissements de santé observés par l’ANSSI en 2022 et 2023 concerne des compromissions de comptes de messagerie, parfois couplées à des envois de courriels d’hameçonnage. » Des comptes, encore des comptes.

La Cour des comptes, dans ses observations définitives sur la sécurité informatique des établissements de santé (S2024-1456, délibérées le 14 octobre 2024), enfonce le clou côté facteur humain : « la première source d’incidents déclarés au Cert Santé en 2022, et la deuxième en 2023, est le message électronique malveillant, attaque lancée au hasard sur internet, sans cible définie, aussi qualifié d’hameçonnage ou phishing ». Et d’en tirer la conclusion qui fâche : « La vulnérabilité des SIH trouve donc essentiellement son origine dans le comportement des utilisateurs, quelles que soient les fonctions exercées et le niveau de leurs responsabilités. »

Le même rapport documente l’autre versant : le sous-investissement. Les établissements de santé consacrent au numérique « 1,7 % du budget d’exploitation en moyenne contre 9 % dans la banque et 2 % dans l’industrie des biens de consommation », avec plus de 20 % d’équipements obsolètes. Un système d’information hospitalier, ce sont des milliers d’utilisateurs — près de 8 000 au CHU de Brest, pour 350 serveurs, selon le récit de LeMagIT —, des centaines d’applications, des équipements biomédicaux impossibles à mettre à jour. Dans cet environnement, l’identifiant d’un seul professionnel est souvent le chemin le plus court vers tout le reste. C’est pourquoi les données de santé restent la cible numéro un des attaquants — et pourquoi le vol d’identifiants, par maliciel ou par hameçonnage, est devenu l’économie d’amont de toutes les attaques par rançongiciel.

Ce qu’une PME (ou un hôpital) doit en retenir

1. Vos identifiants sont votre périmètre

L’attaque de Brest n’a exploité aucune vulnérabilité pour entrer : elle a utilisé un login et un mot de passe authentiques sur un service d’accès distant exposé. Le CERT-FR note d’ailleurs qu’à l’échelle du mode opératoire FIN12, « le vecteur d’infection privilégié semble être le recours à des authentifiants valides ». Conséquence directe : tout accès distant exposé sur Internet sans authentification multifacteur est une porte qui n’attend que sa clé volée. Inventoriez ces services, supprimez ceux qui peuvent l’être, et imposez le MFA sur le reste — notre guide de déploiement du MFA en entreprise donne la marche à suivre, en priorisant précisément ces accès.

2. Le poste personnel de vos collaborateurs vous concerne

L’indice du détournement de comptes de réseaux sociaux trois semaines avant l’attaque raconte une réalité inconfortable : la frontière entre vie numérique personnelle et identifiants professionnels n’existe plus pour un infostealer. Un mot de passe professionnel enregistré dans le navigateur d’une machine personnelle infectée finit dans les mêmes « logs » revendus que les comptes Netflix. Règles minimales : gestionnaire de mots de passe d’entreprise, interdiction de réutiliser les mots de passe professionnels ailleurs, et sensibilisation explicite aux téléchargements piégés — pas seulement aux emails suspects.

3. Infostealer et phishing : deux visages du même risque, une même défense

Ce dossier n’est pas une histoire de phishing, et nous ne le tordrons pas pour qu’il en devienne une. Mais la défense contre les deux vecteurs est largement commune : MFA (qui dévalue l’identifiant volé, quelle qu’en soit l’origine), hygiène des mots de passe, culture du signalement, et entraînement des équipes à reconnaître les pièges. Le facteur humain est impliqué dans 62 % des violations de données (Verizon DBIR 2026 — voir nos statistiques du phishing en France), et dans le secteur santé, le message électronique malveillant était la première source d’incidents CERT Santé en 2022 selon la Cour des comptes. Entraîner ses équipes contre le phishing, c’est renforcer exactement le maillon que l’infostealer attaque par un autre chemin.

4. La détection précoce change la fin de l’histoire

Brest et Rennes ont subi des intrusions ; ni l’un ni l’autre n’a été chiffré, parce que l’attaque a été « détectée dans sa phase initiale ». Les ingrédients sont reproductibles à toute échelle : des journaux qu’on peut interroger vite (le CHU a qualifié l’alerte dans la soirée grâce à ses logs de pare-feu et son EDR), un canal pour recevoir les signalements externes — ANSSI, CERT Santé, chercheurs —, et surtout une décision de confinement préparée à l’avance. Couper Internet en 2h30, un jeudi soir, en pesant l’impact sur le Samu : cela ne s’improvise pas, cela se répète. Votre plan de réponse doit désigner qui a le droit de débrancher, sur quels critères, et ce qui doit continuer à fonctionner débranché.

5. La transparence est un multiplicateur de défense

Ce dossier n’existe que parce que deux acteurs ont choisi de raconter : le CERT-FR, en publiant un rapport technique qui nomme la victime — une exception dans sa production —, et le CHU, dont le RSSI a détaillé la gestion de crise dans la presse. Résultat : des indicateurs de compromission partagés, des TTP documentées, et un cas d’école dont tout le secteur a pu apprendre. Une attaque déjouée qui reste secrète ne protège que sa victime ; une attaque déjouée racontée protège tout le monde. Retrouvez cet incident et plus de 100 autres dans notre base de données des cyberattaques en France.

Verdict

L’affaire du CHU de Brest restera comme le contre-exemple français : la démonstration, sourcée ligne à ligne par un rapport public de l’ANSSI, qu’une attaque de rançongiciel menée par un mode opératoire aguerri — une trentaine d’entités chiffrées à son actif, la santé pour terrain de chasse — peut être arrêtée entre l’intrusion et le chiffrement. Il aura fallu pour cela l’addition de deux vigilances : celle d’une agence nationale qui surveillait l’infrastructure adverse depuis des années, et celle d’un hôpital capable de qualifier une alerte un jeudi soir et de se couper d’Internet en 2h30.

Mais le dossier dit aussi autre chose : la porte d’entrée n’était ni une faille, ni un exploit — les exploits, l’attaquant les a tous ratés une fois à l’intérieur. C’était la clé d’un professionnel de santé, probablement aspirée sur un poste par un maliciel voleur d’identifiants, revendue puis utilisée sur un accès distant exposé. Vol d’identifiants par infostealer, hameçonnage massif pointé par la Cour des comptes, compromissions de messagerie relevées par le CERT-FR : les chemins diffèrent, la cible est la même — l’humain et ses comptes. Brest a gagné la course de vitesse. La meilleure course reste celle qu’on n’a pas à courir : celle où la clé n’a jamais été volée.

FAQ

Comment les attaquants sont-ils entrés au CHU de Brest ? Par « un service de bureau à distance exposé et accessible sur Internet », avec « des authentifiants valides d’un professionnel de santé », probablement volés par un infostealer « dans le cadre d’une campagne de distribution opportuniste » (CERT-FR, CERTFR-2023-CTI-007, 18 septembre 2023). Aucun exploit n’a servi à entrer.

Qu’est-ce qu’un infostealer ? « Un type de code malveillant utilisé pour collecter des informations d’identification sur une machine compromise » (CERT-FR). Il aspire mots de passe et cookies, revendus ensuite sur les forums criminels à des fournisseurs d’accès initial.

Pourquoi l’attaque a-t-elle échoué ? Signalement de l’ANSSI le 9 mars 2023, alerte qualifiée dans la soirée, Internet coupé en 2h30 : « les attaquants n’ont pas exfiltré de données et ne sont pas parvenus à déployer leur charge finale », et toutes leurs tentatives d’élévation de privilèges et de latéralisation ont échoué (CERT-FR ; LeMagIT, 27 mars 2023).

Le phishing joue-t-il un rôle ? Pas directement dans ce dossier : le vecteur documenté est un vol d’identifiants par maliciel. Mais phishing et infostealers sont des vecteurs frères — même maillon humain, mêmes identifiants — et à l’échelle du secteur, le message électronique malveillant était la première source d’incidents CERT Santé en 2022 (Cour des comptes, S2024-1456).

Qui est FIN12 ? La désignation, par les analystes de Mandiant, d’un mode opératoire d’attaquants que l’ANSSI a relié « au chiffrement d’une trentaine d’entités entre 2020 et 2023 » — Ryuk, Conti, puis Hive, BlackCat, Nokoyawa, Play et Royal. Ce n’est pas un groupe de personnes identifiées : personne n’a été interpellé pour l’attaque de Brest.

Des données de patients ont-elles été volées ? Non : « lors de l’incident, les attaquants n’ont pas exfiltré de données et ne sont pas parvenus à déployer leur charge finale » (CERT-FR, 18 septembre 2023).

---

Sources :

• CERT-FR / ANSSI, « FIN12 : un groupe cybercriminel aux multiples rançongiciels », rapport CERTFR-2023-CTI-007, 18 septembre 2023 : cert.ssi.gouv.fr — PDF — version archivée (consultés le 05/09/2026)
• LeMagIT, « Cyberattaque contre le CHRU Brest : ce qu’il s’est passé », récit avec Jean-Sylvain Chavanne, RSSI du CHRU de Brest, 27 mars 2023 : lemagit.fr — version archivée (consultés le 05/09/2026). Les détails horaires (alerte vers 21h, décision en 2h30, investigations jusqu’à 3h) proviennent de ce récit de presse et des propos du RSSI, non du rapport CERT-FR.
• ANSSI, « Panorama de la cybermenace 2023 », CERTFR-2024-CTI-001, 27 février 2024 : cert.ssi.gouv.fr — version archivée (consultés le 05/09/2026)
• CERT-FR / ANSSI, « Secteur de la santé — état de la menace informatique », CERTFR-2024-CTI-010, 7 novembre 2024 : cert.ssi.gouv.fr — version archivée (consultés le 05/09/2026)
• Cour des comptes, « La sécurité informatique des établissements de santé », observations définitives S2024-1456, délibérées le 14 octobre 2024, mises en ligne en janvier 2025 : ccomptes.fr (PDF) — version archivée (consultés le 05/09/2026)
• Verizon, Data Breach Investigations Report 2026 : verizon.com (consulté le 05/09/2026)

Note : FIN12 (comme PISTACHE TEMPEST chez Microsoft) est une désignation de mode opératoire utilisée par les analystes en menaces ; elle ne vise aucune personne identifiée, et nul n’a été interpellé ni poursuivi publiquement pour cette attaque à la date de publication. Les éléments techniques cités (outils, vulnérabilités tentées) proviennent exclusivement du rapport public CERTFR-2023-CTI-007 et sont reproduits à des fins descriptives et défensives. Cet article ne comporte aucun élément permettant d’identifier le professionnel de santé dont le compte a été compromis — qui est une victime, pas un fautif.