Pourquoi les institutions sociales sont-elles ciblées ?

Un EMS, un foyer ou une structure d'accueil traite au quotidien des données de santé et des informations personnelles sur des résidents souvent vulnérables. Ce type de donnée a une forte valeur, et la pression pour rétablir le service au plus vite en cas d'incident est énorme : contrairement à une entreprise qui peut parfois ralentir son activité quelques jours, une institution sociale ne peut pas interrompre les soins.

À cela s'ajoute une réalité fréquente : peu ou pas de service informatique dédié, et un personnel soignant concentré sur sa mission première, le soin aux résidents, pas sur la vigilance numérique. C'est exactement le profil que recherchent les attaquants : une cible à forte valeur, mais peu défendue.

Les scénarios les plus fréquents

Dans la pratique, les tentatives ne ressemblent presque jamais à un film de piratage informatique. Ce sont des situations simples, qui misent sur la confiance et l'urgence :

  • Une demande urgente de virement, présentée comme venant de la direction, souvent en dehors des horaires habituels.
  • Un appel demandant des informations médicales ou personnelles sur un résident, sans vérification réelle de l'identité de l'appelant.
  • Un email ou SMS imitant un fournisseur, une caisse de compensation ou une administration.
  • Une clé USB « oubliée » dans le hall d'accueil, qui n'attend qu'à être branchée par curiosité.
  • Un mot de passe partagé entre collègues pour accéder plus vite au dossier d'un résident.

Ce qu'un incident coûte concrètement

Au-delà de l'aspect financier, un incident touche directement la mission de l'institution : interruption de service, retard dans l'organisation des soins, atteinte à la confidentialité de données médicales (avec les obligations qui en découlent au titre de la nLPD), et une perte de confiance des familles qui est difficile à regagner.

Réduire le risque sans devenir un service informatique

Aucune de ces mesures ne demande de compétence technique particulière. Elles reposent sur des réflexes simples, répétés :

  • Un seul geste à retenir en cas de doute sur un email : le transférer pour vérification plutôt que de décider seul.
  • Ne jamais transmettre d'information sur un résident par téléphone sans avoir vérifié l'identité de l'appelant, par exemple en rappelant sur un numéro déjà connu.
  • Sensibiliser par de courtes mises en situation régulières plutôt qu'une session de formation longue une fois par an, vite oubliée.
  • Centraliser le suivi de la sécurité au niveau de la direction, avec une vision d'ensemble, plutôt que de laisser chaque collaborateur décider seul face à un doute.

Ce que Cybeco apporte aux institutions sociales

Cybeco part du principe que vos équipes n'ont pas à devenir des expertes en cybersécurité : un mail suspect se transfère à Cybeco, qui l'analyse et renvoie un verdict clair en quelques minutes. Les mises en situation sont courtes, réalistes, et pensées pour le quotidien d'une institution sociale, sans jamais exposer les résultats individuels de vos collaborateurs.