SLaM toujours privé de demandes et de comptes rendus électroniques de pathologie après l'attaque Synnovis

Retards et solutions de fortune à SLaM

Des courriels internes ont mis en garde les cliniciens du SLaM : ils ne devaient pas compter sur des résultats sanguins arrivant à temps. Les résultats critiques passent par téléphone. Les comptes rendus complets, eux, arrivent sur papier ou en PDF et sont téléversés à la main dans les dossiers des patients. Depuis l'attaque, aucun compte rendu de pathologie concernant les patients du SLaM n'est disponible dans le London Care Record, le système partagé par les organisations du NHS de la capitale. Le service normal n'a pas repris.

Le SLaM estimait début janvier 2026 que la saisie de 161 560 comptes rendus de pathologie dans les dossiers des patients avait pris du retard. Le personnel s'est efforcé de maintenir les services grâce à des procédures manuelles malgré la perturbation, indique le trust. Ces solutions de fortune comportaient des risques de retard, d'erreurs de transcription et de confusion d'identité des patients, selon lui. Ses données recensaient 122 incidents de sécurité des patients liés à des résultats de pathologie erronés, indisponibles ou retardés à la date de janvier 2026. Le SLaM précise qu'il n'a pas été possible de quantifier l'impact des retards sur le diagnostic ou le traitement. Le professeur Derek Tracy, médecin-chef du trust, déclare que la perturbation « a représenté un défi pour le personnel et les services ». Il attribue à son équipe de pathologie d'avoir limité les risques.

L'attaque Synnovis et la reprise

SecurityWeek rapporte que Synnovis a été frappé le 3 juin 2024. Synnovis est un partenariat entre le King's College Hospital NHS Foundation Trust, le Guy's and St Thomas' NHS Foundation Trust et SYNLAB. SecurityWeek indique aussi que Qilin a revendiqué l'attaque le 20 juin 2024 et que le groupe a publié environ 400 gigaoctets de données prétendument dérobées à Synnovis.

The Record rapporte que des informations concernant près d'un million de patients du NHS ont pu être exposées, notamment des personnes atteintes de cancer et d'infections sexuellement transmissibles, et que de nombreux patients n'ont été prévenus qu'à la fin de 2025. L'Information Commissioner's Office indique que son enquête sur l'incident est toujours en cours. Synnovis affirme avoir reconstruit son infrastructure de zéro et rétabli tous les services touchés avant la fin de 2024. NHS England recense 10 152 rendez-vous de consultation externe aigus et 1 710 interventions programmées reportés à cause de l'attaque. NHS South East London, la commission de soins intégrés de la région, déclare que la plupart des organisations touchées ne subissent plus de perturbation et que l'infrastructure informatique concernée a été reconstruite. L'analyse de l'incident se poursuit, selon elle.

Préjudice pour les patients

Des données du NHS obtenues par Bloomberg News recensent deux cas de préjudice majeur, 11 de préjudice modéré et plus de 120 de préjudice mineur directement imputables à la cyberattaque, dans au moins quatre arrondissements londoniens. Les chiffres couvrent les services de soins primaires de Greenwich, Lambeth, Lewisham et Southwark. Un document du NHS examiné par le média définit le préjudice majeur comme « un impact à long terme ou permanent sur les fonctions physiques, mentales ou sociales, ou un raccourcissement de l'espérance de vie ». Le média avait déjà rapporté que les services d'analyses sanguines étaient tombés à 10 % immédiatement après l'attaque. Saif Abed, ancien médecin du NHS et spécialiste de la cybersécurité et de la santé publique, juge ces chiffres « considérables ». Selon lui, une cyberattaque peut être « catastrophique et bouleverser la vie des gens ».

The Record rapporte que d'autres trusts ont mesuré l'impact différemment : le Lewisham and Greenwich NHS Trust a signalé plus de 11 000 rendez-vous annulés, tandis que le Guy's and St Thomas' NHS Foundation Trust n'a enregistré aucun préjudice. Les chiffres ne sont pas directement comparables, car les organisations ont consigné l'incident de manières différentes. Le King's College Hospital NHS Foundation Trust a enregistré un décès de patient où la cyberattaque a été considérée comme un facteur contributif, rapporte The Record. Le trust précise qu'il n'était pas possible de déterminer si l'attaque avait directement influé sur l'issue, et qu'un retard dans la réception d'un résultat d'analyse sanguine figurait parmi les facteurs contributifs.