Attaque contre Synnovis (2024)

Synnovis est une coentreprise qui assure les analyses de biologie médicale pour plusieurs établissements du service national de santé britannique dans le sud-est de Londres. Le 3 juin 2024, un groupe rançongiciel chiffre ses systèmes. Les hôpitaux concernés ne peuvent plus obtenir rapidement de résultats d'analyses sanguines ni vérifier la compatibilité des groupes sanguins : plus de dix mille rendez-vous et plus d'un millier d'interventions sont reportés dans les semaines suivantes, et un appel national aux donneurs de sang de groupe universel est lancé pour pallier l'impossibilité de tester. Les attaquants publient ensuite des données de patients. Une analyse publiée ultérieurement a relevé qu'un décès de patient avait été en partie lié aux retards d'analyses. Pour l'assurance, l'affaire est instructive à trois titres. Elle montre qu'une attaque contre un sous-traitant produit ses effets les plus graves chez ses clients, qui ne sont pas les assurés du sous-traitant. Elle illustre le passage du dommage immatériel au dommage corporel : l'assurance cyber, qui exclut souvent les dommages corporels, et la responsabilité médicale, qui ne vise pas l'attaque informatique, se renvoient la question. Et elle rappelle que les données de santé, dont la fuite déclenche notifications et contentieux, sont parmi les plus sensibles.