DMARC pour la santé : un secteur très usurpé, souvent mal protégé

Ce que montrent les données

Là encore, le constat est mesurable, pas anecdotique. Notre Observatoire DMARC suit la posture publique de domaines du secteur de la santé, classés en protégés (p=reject), en application (p=quarantine), en observation seule (p=none) ou non protégés. Le résultat récurrent rejoint celui du secteur public et de la finance : une part notable d'établissements pourtant fréquentés au quotidien ne sont pas en application, laissant leur domaine grand public exposé.

Comme ailleurs, l'astuce est de vérifier le domaine que les patients voient réellement dans leur boîte — celui des convocations et des résultats — et pas seulement le portail institutionnel de l'établissement.

Cet écart a un coût social particulier dans la santé : un patient hameçonné au nom de son hôpital ne perd pas seulement de l'argent ou des identifiants, il perd confiance dans un canal dont dépend parfois sa prise en charge. Un rendez-vous manqué parce qu'une vraie convocation a été confondue avec une fraude, un résultat consulté sur une fausse page — les conséquences dépassent le préjudice financier habituel. C'est précisément parce que l'email de santé porte des enjeux de soin, et pas seulement d'argent, que sécuriser le domaine légitime compte davantage encore que dans d'autres secteurs.

NIS2 et le secteur de la santé

La santé figure explicitement parmi les secteurs couverts par la directive NIS2, qui impose des mesures de gestion des risques cyber et engage la responsabilité des dirigeants. Pour un établissement concerné, l'authentification email — contrôle anti-usurpation évident, auditable et peu coûteux — est l'un des premiers points qu'un contrôle examinera. Ce qui relevait de la bonne pratique devient une obligation, doublée d'une protection réelle des patients.

Le défi des moyens

La santé partage avec le secteur public une difficulté structurelle : des moyens cyber souvent insuffisants au regard de l'exposition. Les hôpitaux publics fonctionnent sous contrainte budgétaire, les laboratoires et cabinets n'ont pas d'équipe sécurité, et le parc applicatif est fragmenté entre de nombreux prestataires. La sécurité de la messagerie y est rarement le sujet prioritaire — jusqu'à l'incident.

C'est précisément dans ce contexte qu'un outillage qui automatise le diagnostic et guide la remédiation fait la différence : il réduit un chantier qui semblerait insurmontable à une série de décisions simples, portables par un prestataire ou une petite équipe informatique.

Un scénario concret : le faux résultat d'analyse

Décomposons une attaque typique du secteur. Un laboratoire d'analyses a laissé son domaine grand public en p=none. Un attaquant envoie aux patients un email affichant l'adresse authentique du laboratoire : des résultats seraient disponibles, à consulter en se connectant à son espace personnel, avec un lien vers une page de collecte d'identifiants imitant le portail. L'enjeu émotionnel — un résultat médical en attente — désactive la méfiance encore plus efficacement qu'un prétexte financier. Les patients saisissent leurs identifiants, parfois des données de santé, sur une page contrôlée par l'attaquant.

Pour le laboratoire, c'est une violation de données sensibles impliquant son propre domaine, avec obligation probable de notification et atteinte durable à la confiance des patients. Le même email, domaine en p=reject, aurait été rejeté à la remise, sans jamais atteindre une boîte. Dans un secteur où la donnée est particulièrement protégée et la confiance particulièrement fragile, cette bascule de politique n'est pas un détail technique : c'est une mesure de protection des patients.

Établissements, laboratoires, mutuelles : des profils différents

« La santé » recouvre des acteurs aux réalités très différentes, et la démarche s'adapte à chacun :

• Les établissements hospitaliers cumulent un parc applicatif vaste (dossier patient, prise de rendez-vous, résultats, facturation) et une contrainte budgétaire forte. L'enjeu y est surtout la cartographie exhaustive des sources d'envoi avant tout durcissement.
• Les laboratoires et cabinets envoient massivement résultats et convocations, souvent via un ou deux logiciels métier. Le parc est plus simple, la mise en conformité plus rapide, mais l'exposition par message est élevée.
• Les mutuelles et complémentaires santé manient remboursements et données de contrat ; leur profil se rapproche de celui de la finance, avec un fort volume transactionnel et un motif de fraude financier direct.

Identifier son profil aide à calibrer l'effort : un cabinet n'a pas besoin du même dispositif qu'un CHU, mais tous deux ont besoin d'un domaine en application.

Sécurité des SI de santé : un cadre déjà exigeant

Le secteur de la santé opère déjà sous des exigences de sécurité renforcées — hébergement certifié des données de santé, politiques de sécurité des systèmes d'information de santé, obligations sectorielles. L'authentification email s'y insère naturellement comme une mesure attendue : elle protège un canal par lequel transitent convocations, résultats et échanges avec les patients, et elle produit la preuve auditable qui alimente ces référentiels. Loin d'être un chantier de plus, DMARC est une brique qui sert plusieurs obligations à la fois — sécurité des traitements au sens du RGPD, résilience au sens de NIS2, et bonne hygiène attendue par les cadres propres à la santé.

Le défi de la sensibilisation des patients

Il y a une limite que la technique seule ne franchit pas : DMARC protège le domaine exact, mais pas les domaines ressemblants qu'un attaquant enregistrerait pour imiter l'établissement. C'est pourquoi la protection du domaine gagne à s'accompagner d'un message clair aux patients — rappeler, sur les supports officiels, l'adresse légitime et les canaux par lesquels l'établissement communique réellement. Cette pédagogie ne remplace pas l'authentification : elle la complète. Un domaine en p=reject élimine la falsification directe, la plus dangereuse parce que la plus crédible ; la sensibilisation réduit la marge des variantes que la technique ne couvre pas. Les deux couches, ensemble, forment une défense bien plus robuste que l'une ou l'autre isolée.

La marche à suivre

1. Diagnostiquer le domaine avec un analyseur DMARC gratuit pour connaître le point de départ, sans rien installer.
2. Publier DMARC en p=none et exploiter les rapports agrégés pour cartographier toutes les sources d'envoi — logiciels métier, plateformes de rendez-vous, prestataires de résultats.
3. Aligner chaque source légitime en SPF et DKIM.
4. Monter en politique vers quarantine puis reject, en surveillant les rapports (la méthode).
5. Verrouiller les sous-domaines dormants avec la balise np de DMARCbis, à risque quasi nul.

Vérifier un établissement

La première marche est gratuite et immédiate. Un passage, dans notre analyse DMARC gratuite, du domaine depuis lequel les patients reçoivent leurs courriers rend un verdict instantané ; l'Observatoire DMARC permet de comparer la posture du secteur.

Porter un parc de santé multi-domaines à p=reject sans équipe dédiée est exactement ce que Thomas, le RSSI virtuel, rend accessible : il nomme chaque source d'envoi, génère le DNS précis à publier, évalue la préparation par domaine et indique quand chacun peut être appliqué sans risque pour le courrier légitime. Analyser un domaine gratuitement · explorer l'Observatoire · commencer avec Thomas.