Paris. Une cyberattaque ciblée contre l'infrastructure frigorifique de l'Établissement français du sang (EFS) début novembre 2026 a mis en évidence les vulnérabilités des technologies de gestion technique du bâtiment (GTB) au sein d'infrastructures de santé critiques. Les auteurs de l'attaque ont accédé aux systèmes de maintenance à distance via un prestataire de services frigorifiques externe et ont manipulé massivement les températures cibles des congélateurs à plasma sanguin. Bien que l'incident n'ait eu aucun impact négatif sur la santé, cette vulnérabilité technique révèle des faiblesses systémiques à l'interface entre les technologies médicales, la gestion technique du bâtiment et les connexions avec les prestataires de services externes.
Vecteur d'attaque : Maintenance à distance comme point d'entrée
D'après plusieurs médias européens et les autorités sanitaires françaises, l'attaque a ciblé les systèmes d'accès à distance du fournisseur d'équipements frigorifiques Coolworld, qui permettaient de contrôler les systèmes de surveillance des chambres froides de trois sites régionaux de l'EFS (Service national de transfusion sanguine). Les auteurs de l'attaque ont reprogrammé les congélateurs, conçus pour une température de -30 °C, afin de cibler des températures allant jusqu'à 110 °C. L'écart entre la température cible et la température réelle a été détecté par le système de surveillance existant ; un technicien de garde a ainsi pu constater à temps la hausse de température pendant la nuit et prendre les mesures nécessaires. L'EFS a confirmé qu'aucun produit sanguin ni échantillon n'avait été endommagé et que les opérations de don et de distribution de sang se sont poursuivies sans interruption.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le ministère de la Santé ont ouvert une enquête. Cet incident s’inscrit dans une série d’attaques visant des systèmes de réfrigération commerciale dans plusieurs pays européens, où les températures ont également été manipulées à distance.
Vulnérabilités spécifiques des systèmes informatiques des banques de sang
L'analyse technique de l'incident révèle plusieurs catégories de vulnérabilités interconnectées, caractéristiques de la sécurité informatique des banques de sang et des établissements de médecine transfusionnelle associés.
Premièrement, on observe la convergence des technologies opérationnelles (TO) et des technologies de l'information (TI). L'automatisation des bâtiments et le contrôle des systèmes de réfrigération sont des systèmes de TO classiques, historiquement considérés comme isolés. La connectivité croissante, via les portails de maintenance à distance et les plateformes de surveillance dans le cloud, élimine cette séparation physique. La littérature sur la cybersécurité de l'approvisionnement en sang identifie précisément cette convergence comme un risque majeur : plus la révolution technologique en médecine transfusionnelle progresse, plus la surface d'attaque pour la manipulation de la chaîne d'approvisionnement et des conditions de stockage s'élargit. Les auteurs de l'article de synthèse paru dans l'American Journal of Hematology (DOI : 10.1002/ajh.27479) soulignent que les banques de sang doivent adapter leur architecture de sécurité à cette connectivité accrue sans compromettre la disponibilité des produits.
Deuxièmement, il y a la dépendance à la chaîne d'approvisionnement. L'attaque ne visait pas l'infrastructure EFS elle-même, mais plutôt les systèmes d'un prestataire de services frigorifiques externe. Ce mode de compromission via des tiers est fréquent dans le secteur de la santé et particulièrement grave, car les banques de sang dépendent souvent de fournisseurs spécialisés en technologies de réfrigération, en automatisation de laboratoire et en logiciels de transfusion. Une analyse de l'ANSM (Agence nationale de sécurité des médicaments) sur les incidents de la chaîne transfusionnelle montre que la configuration des systèmes logiciels centraux desservant plusieurs établissements constitue un facteur de risque en soi ; des erreurs de configuration ou des modifications non autorisées des paramètres peuvent avoir de graves conséquences sur la qualité des produits.
Troisièmement, la détection par alarme constitue le dernier rempart. Si l'attaque n'a causé aucun dommage, c'est grâce au bon fonctionnement du système de surveillance de la température et à la réactivité humaine. Ceci met en évidence une dépendance critique : la capacité de détection suppose que la chaîne d'alarmes soit intacte et que le personnel interprète correctement les signaux. Dans un autre contexte – l'analyse d'un incident de médecine transfusionnelle impliquant un appareil d'aphérèse – l'ANSM a explicitement souligné le danger de « banaliser les signaux d'alarme » ; des notifications d'alarme non bloquantes pour les paramètres critiques risquent de faire passer à côté d'écarts importants. En matière de sécurité informatique, cela signifie que le système de détection lui-même est une cible de manipulation : toute personne compromettant la télémétrie peut soit supprimer les alarmes, soit simuler de fausses valeurs normales.
Situation de la recherche et contre-mesures
La littérature scientifique sur la sécurisation de la chaîne du froid dans les banques de sang est actuellement limitée, mais en développement. Une prépublication parue en 2026 (Europe PMC, DOI : 10.21203/rs.3.rs-8756732/v1) propose un cadre de détection d'anomalies multicouche pour les chaînes du froid des banques de sang basées sur l'IoT. Ce cadre vise à détecter non seulement les valeurs aberrantes statistiques, mais aussi les manipulations ciblées de la télémétrie telles que l'usurpation d'identité, la relecture et la suppression de données. L'approche intègre des détecteurs temporels par capteur et une validation croisée entre les capteurs et les scores de vulnérabilité des dispositifs. Les auteurs affirment que les méthodes conventionnelles, telles que les forêts d'isolation ou les modèles de risque basés sur le CVSS, ne permettent pas de distinguer de manière fiable la manipulation malveillante des données des anomalies opérationnelles. Cette recherche comble précisément la lacune que l'incident français a mise en évidence : la manipulation des valeurs cibles était une anomalie délibérée et non statistique qui n'a pu être détectée que par des vérifications de plausibilité contextuelle ou l'expertise d'une intervention humaine.
Au niveau organisationnel, le service de santé des armées a déjà simulé, lors de l'exercice DEFNET 2025, un scénario de défaillance du système central de qualification des produits sanguins HEMATOS. Cet exercice a démontré la faisabilité du passage à des modes de fonctionnement dégradés, avec documentation manuelle et double vérification, mais a engendré des contraintes importantes en termes de personnel et de procédures. Pour l'EFS (Office fédéral de l'acquisition de matériel de défense), l'incident actuel présente un défi similaire, à une échelle moindre : la chaîne du froid est restée intacte, mais la sécurité d'accès pour la maintenance à distance et la protection contractuelle des prestataires de services seront des points essentiels.
Classification et questions ouvertes
L'attaque contre les systèmes de réfrigération d'EFS n'est pas un incident isolé, mais s'inscrit dans une vague plus large d'attaques OT visant les systèmes de réfrigération des secteurs du commerce de détail et de la santé en Europe. La particularité de cette attaque réside dans la sensibilité de la cible : le plasma sanguin est une ressource rare, urgente et critique, et un stockage inadéquat représente un risque immédiat pour les patients. Si la falsification a été détectée avant tout dommage, c'est grâce à l'interaction entre la surveillance technique et la vigilance humaine – une ligne de défense qu'il ne faut jamais négliger.
Les questions en suspens concernent la configuration précise des points d'accès pour la maintenance à distance chez Coolworld et EFS, l'étendue de la compromission et l'éventuelle implication d'autres sites EFS. L'enquête de l'ANSSI devra apporter des réponses. Quel que soit le résultat, cet incident révèle une lacune structurelle : les stratégies de cybersécurité des banques de sang se concentrent traditionnellement sur les logiciels de laboratoire et de transfusion, ainsi que sur l'intégrité des données des donneurs. L'automatisation des bâtiments et les technologies de réfrigération, pourtant essentielles à la qualité des produits, sont souvent négligées, alors même qu'elles sont accessibles via les points d'accès pour la maintenance à distance et donc vulnérables. Une stratégie de résilience robuste pour les banques de sang doit impérativement intégrer cette couche OT, réduire la surface d'attaque par la segmentation du réseau et des contrôles d'accès restrictifs pour les prestataires de services, et renforcer la chaîne d'alerte face aux tentatives de manipulation.
Note sur les sources : Les informations les plus détaillées concernant cet incident proviennent de rapports publiés notamment par la SRF, la BR et Deutschlandfunk. Aucune publication scientifique de référence sur cette attaque spécifique n’est disponible au moment de l’analyse ; la littérature citée sur la cybersécurité des chaînes d’approvisionnement en sang et l’Internet des objets (IoT) fournit le cadre théorique, et non les données empiriques propres à ce cas. Les rapports de l’exercice DEFNET du ministère français des Armées sont pertinents en tant que documents de contexte pour la planification de la résilience du système français d’approvisionnement en sang, et non en tant que rapports sur l’incident actuel.
