Un établissement de santé des États-Unis a dû détourner ses patients et suspendre une partie de ses activités cliniques. Selon SecurityWeek, dans un article du 27 octobre 2026, l’interruption fait suite à un problème de cybersécurité.
L’essentiel
- Selon SecurityWeek, un réseau de santé d’Albuquerque, au Nouveau-Mexique, a détourné ses patients après un problème de cybersécurité.
- Plus de 30 cliniques ont annulé leurs rendez-vous, signe qu’un incident informatique interrompt d’abord le service à la clientèle.
- L’incident est survenu aux États-Unis, mais le même scénario d’arrêt des opérations guette les PME et OBNL québécois.
Ce que l’on sait de l’incident
L’incident est survenu à Albuquerque, au Nouveau-Mexique, aux États-Unis. Selon SecurityWeek, dans un article du 27 octobre 2026, un important réseau de santé a demandé à la population de ne pas se présenter à son hôpital principal. Le même article indique que les rendez-vous de plus de 30 cliniques ont été annulés.
Le métier touché est clairement établi : il s’agit d’un établissement de santé, hôpital et cliniques. Au-delà de cela, les informations disponibles restent minces. La source parle d’un problème de cybersécurité sans en préciser la nature. Elle ne mentionne ni rançongiciel, ni fuite de renseignements personnels, ni responsable. Nous ne lui attribuons donc aucune cause, et nous ne savons pas ce qui a conduit à la mise à l’arrêt des services.
Un arrêt des opérations coûte des clients avant de coûter des frais informatiques
Pour une PME québécoise, la leçon ne porte pas sur la santé. Elle porte sur la dépendance : quand les systèmes tombent, ce sont les rendez-vous, les livraisons, la production et la facturation qui s’arrêtent. Le Centre canadien pour la cybersécurité rappelle que toutes les organisations canadiennes sont exposées, y compris les plus petites.
Un commerce de détail qui ne peut plus encaisser, un cabinet comptable privé de ses dossiers en pleine saison, un producteur agricole dont la chaîne de froid n’est plus pilotée. Dans chacun de ces cas, la facture se mesure en clients perdus et en confiance entamée. Le secteur visé importe peu, la dépendance aux outils numériques est la même partout.
Aucune solution ne supprime ce risque. Il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro. Ce qui se joue, c’est la capacité à continuer de servir sa clientèle pendant la panne.
Les vérifications à faire cette semaine
Des gestes simples suffisent pour tester sa résistance, sans outil particulier. Ils reposent sur les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité, pensés précisément pour les petites et moyennes organisations qui n’ont pas d’équipe informatique à l’interne.
Demandez à votre prestataire informatique la date de la dernière restauration réussie d’une sauvegarde. Faites établir par la direction la liste des activités qui doivent se poursuivre même sans accès aux systèmes, avec la façon de les mener sur papier. Exigez de la comptabilité qu’elle valide par téléphone, à un numéro connu, tout changement de coordonnées bancaires d’un fournisseur.
FAQ
Mon entreprise est-elle trop petite pour intéresser un attaquant ?
Non. Le Centre canadien pour la cybersécurité souligne que les organisations de toutes tailles sont exposées au rançongiciel, y compris les plus petites. Une PME dispose souvent de moins de ressources pour se relever, ce qui rend l’arrêt plus coûteux proportionnellement.
Combien de jours mon entreprise peut-elle fonctionner sans informatique ?
C’est la bonne question à poser cette semaine. Commencez par fixer la durée d’interruption que vos activités peuvent absorber : ventes perdues, salaires versés sans production, clients qui vont ailleurs. Comparez ensuite cette durée tolérable au délai de restauration que vous avez réellement mesuré lors d’un test. Si la restauration testée prend plus de temps que ce que vous pouvez absorber, vous savez où investir en premier, sans avoir besoin d’une évaluation technique.
Dois-je prévenir la Commission d’accès à l’information après un incident ?
La Loi 25 impose aux entreprises québécoises de tenir un registre des incidents de confidentialité et de notifier la Commission d’accès à l’information lorsqu’un incident présente un risque de préjudice sérieux. Ces obligations s’appliquent au Québec seulement. L’incident rapporté au Nouveau-Mexique relève du droit américain et n’y est pas soumis.
Sources
- SecurityWeek · presse, 27 octobre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : SecurityWeek · https://www.securityweek.com/cybersecurity-issue-forces-a-major-new-mexico-hospital-to-divert-patients-and-close-clinics/
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
