Le « dropcatch », une pratique discrète mais massive

Chaque jour, des dizaines de milliers de noms de domaine expirent, souvent dans l'indifférence de leur ancien titulaire. Un domaine peut être laissé à l'abandon par cessation d'activité, d'un changement de priorités ou d'une absence de renouvellement, ou tout simplement à la suite d'un oubli administratif, d'une adresse de contact obsolète. C'est précisément cette masse de domaines délaissés qui alimente le « dropcatch », une pratique qui consiste à récupérer un domaine abandonné afin de lui donner une nouvelle utilisation — pas toujours dans un but légitime.

Le CERT Santé a détaillé ce phénomène dans une alerte publiée sur son portail de cyberveille, consultable en intégralité sur le site de l'Agence du Numérique en Santé.

Pourquoi un domaine expiré peut se retourner contre l'établissement

Un nom de domaine réenregistré n'est jamais un support neutre. Il peut servir à des campagnes de phishing, la diffusion de logiciels malveillants ou la mise en place d'infrastructures de commande et contrôle, ou plus simplement à l'hébergement d'infrastructures malveillantes. Le danger tient aussi à l'héritage technique laissé par l'ancien titulaire : Des configurations DNS, des services web ou des flux de messagerie associés à un domaine abandonné peuvent continuer à être sollicités, longtemps après son abandon. Plus insidieux encore, un domaine réenregistré peut conserver une partie de sa réputation historique, de sa visibilité dans les moteurs de recherche — un signal de confiance trompeur pour un salarié, un proche ou une famille qui reconnaît une adresse familière sans se méfier.

Pour un EHPAD, l'enjeu ne se limite pas au site vitrine : messagerie professionnelle, portail famille, logiciel de télégestion ou outils de commande de matériel reposent tous sur des noms de domaine qui, un jour, devront être renouvelés — ou ne le seront pas.

Ce que recommande le CERT Santé

Face à ce risque, le CERT Santé rappelle : « Les organisations, notamment dans le secteur de la santé, ont intérêt à maintenir un inventaire à jour de leurs domaines Internet ». Concrètement, il recommande de maintenir un inventaire à jour de leurs domaines Internet, de mettre en place des mécanismes de renouvellement automatisés et de surveiller les domaines récemment expirés en lien avec l'activité de l'établissement. Plus largement, Une gouvernance renforcée des actifs numériques et une surveillance régulière de l'exposition externe contribuent à réduire ce risque.

Un contexte de signalements suivi de près par l'ANS

Le risque des domaines expirés ne survient pas dans un contexte anodin. Selon le bilan 2021 de l'Observatoire des signalements de sécurité du numérique en santé, le chiffre a doublé depuis 2020, et plusieurs centaines de structures des secteurs sanitaire et médico-social (40% des incidents signalés) ont été impactées. Plus récemment, le bilan 2024 du CERT Santé a fait état de 749 incidents de sécurité signalés en 2024 (+29% par rapport à 2023, illustrant une vigilance accrue mais aussi une menace persistante) — deux instantanés pris à trois ans d'écart, qui confirment surtout que le signalement des incidents reste une priorité constante pour l'écosystème de santé, plus qu'ils ne dessinent une courbe continue. Face à cette vigilance de fond, le CERT Santé a pour mission de surveiller et prendre en charge les incidents de cybersécurité : c'est un service d'appui à la gestion des cybermenaces 24h/24 et 7j/7, ouvert à l'ensemble des établissements de santé et des structures médico-sociales — EHPAD compris. Sa fiche de présentation est accessible sur le site de l'ANS, avec les modalités de contact en cas d'incident ou de doute.

Un guide de référence pour structurer la démarche

Pour aider les équipes à passer de l'alerte aux actes, l'ANS a publié un guide cybersécurité dédié au secteur médico-social. Il s'adresse aux directeurs d'établissement, référents SI, personnels, etc…, ce qui en fait un support directement mobilisable par l'IDEC pour sensibiliser son équipe. Ce document a été co-rédigé par plusieurs acteurs de l'écosystème : la DNS, l'ANS, la CNSA, l'ANAP, ANSSI, FSSI, ARS et les GRADeS, et il est adapté des travaux de l'ANSSI « La Cybersécurité pour les TPE/PME en 12 questions », ce qui garantit une approche pragmatique, pensée pour des structures qui n'ont pas toutes un service informatique dédié. Il est présenté en détail sur le site de l'Agence du Numérique en Santé.

Les fondamentaux CNIL restent la base

Le risque spécifique des domaines expirés ne dispense pas des fondamentaux de la sécurité informatique. La CNIL rappelle, pour les données de santé, des mesures de vigilance générale qui restent valables quel que soit le canal de la menace :

  • elle recommande de chiffrer les données figurant sur votre disque dur et sur vos supports de sauvegarde ;
  • Utilisez des antivirus régulièrement mis à jour et installez un «pare-feu» ;
  • Effectuez régulièrement des sauvegardes sur des supports amovibles.

Ces recommandations, bien qu'anciennes et toujours en ligne sur le site de la CNIL, ne visent pas spécifiquement le risque des domaines expirés : elles constituent un rappel de vigilance numérique générale, complémentaire aux mesures ciblées du CERT Santé sur la gestion des noms de domaine.

Ce que l'IDEC peut vérifier concrètement

Sans être elle-même informaticienne, l'IDEC occupe une position d'observation privilégiée sur les outils numériques du quotidien de l'établissement. Quelques réflexes simples permettent de relayer utilement la vigilance recommandée par le CERT Santé auprès de la direction et du référent système d'information :

  • Demander si l'établissement dispose d'une liste à jour de tous les noms de domaine et sous-domaines utilisés (site vitrine, portail famille, messagerie, outils métiers) ;
  • Vérifier que le renouvellement de ces domaines n'est pas laissé à la mémoire d'une seule personne, mais sécurisé par une procédure identifiée ou par un prestataire ;
  • Signaler tout lien ou message inhabituel reçu d'une adresse pourtant familière — un domaine visuellement identique peut avoir changé de mains sans que personne ne s'en aperçoive ;
  • Relayer vers le centre de ressources numériques les questions de l'équipe sur les compétences numériques attendues de l'IDEC ;
  • S'appuyer, en cas de doute, sur le CERT Santé comme point de contact institutionnel, dans la continuité du rôle de coordination de l'IDEC sur la sécurisation des outils et des données de l'établissement.

Une vigilance qui se construit dans la durée

Le risque des domaines expirés illustre une réalité plus large : la cybersécurité d'un EHPAD ne se joue pas seulement au moment d'un incident, mais dans la gestion continue de ses actifs numériques, y compris les plus techniques et les moins visibles au quotidien. Tenir à jour l'inventaire des domaines, s'assurer de leur renouvellement et rester attentif aux signaux faibles font partie des mêmes réflexes de gouvernance que ceux déjà mobilisés pour les dossiers de soins ou les échanges avec les familles. C'est un sujet que l'IDEC peut porter sans attendre d'incident, en lien avec la direction et le référent SI de l'établissement.