Noms, prénoms, dates de naissance, médecin traitant... Des données de plus de 750 000 personnes ont été mises en vente mardi sur internet selon un expert en cybersécurité. Cinq centres de santé sont concernés.
Selon le pirate, qui a dévoilé en ligne un échantillon des données volées, le fichier mis en vente contiendrait des éléments sensibles : outre les noms, prénoms, adresses électroniques et postales et dates de naissance, des informations médicales telles que l'identité du médecin traitant ou les ordonnances seraient notamment concernées. Les données personnelles de 758.912 personnes.
"On ne peut pas être sûr de la fiabilité de ces chiffres", a néanmoins précisé Damien Bancal, également auteur du blog zataz.com.
Le ministère de la Santé a confirmé avoir été informé de cette cyberattaque par l'Agence régionale de santé (ARS) Île-de-France.
Sur la proposition de vente figurait le nom de Mediboard, un logiciel médical déployé dans des établissements de santé, ainsi que le nom de plusieurs hôpitaux privés.
Interrogée par l'AFP, la société Softway Medical, éditrice de Mediboard, a toutefois indiqué que la fuite ne concernait pas le logiciel lui-même, mais un établissement de santé du groupe Aléo qui l'utilise. "Les données de santé de l'établissement ne sont pas hébergées chez Softway Medical", a précisé Déborah Draï, responsable de la communication de l'entreprise.
La fuite concerne 5 établissements de santé
Aléo Santé regroupe 14 cliniques ou centres de santé et trois maisons de retraite à Paris et dans le sud de la région parisienne.
Sur les cinq cliniques ou centres de soins concernés, seuls deux sont encore en activité, la clinique parisienne Alleray-Labrouste et l'hôpital privé de Thiais (Val-de-Marne). Les trois autres établissements concernés, le centre Luxembourg et la clinique Jeanne d'Arc à Paris, et la clinique Sainte-Isabelle à Neuilly-sur-Seine, ne sont plus en activité.
"Les mesures associées à ce type d'incident sont en cours de mise en œuvre par le groupe Aléo en lien avec les différentes autorités concernées", a précisé le ministère, ajoutant que "que cet évènement n'a pas d'impact sur la continuité des prises en charge et la sécurité des soins".
"Avec toutes ces informations, on peut créer des bases de données qui sont de plus en plus précises et qui sont certainement le meilleur moyen de connaître sa future victime pour lui faire de l'hameçonnage ciblé, pour lui faire peut-être un faux appel bancaire", a commenté auprès de l'AFP Benoit Grunemwald, expert cybersécurité chez ESET, société spécialisée dans le domaine.
Le groupe Aléo n'a pas répondu aux sollicitations de l'AFP dans l'immédiat.
"On constate une activité malveillante croissante de vols d'identifiants et de données sensibles", a indiqué à l'AFP un représentant du CERT Santé, la vigie cyber du secteur, qui est rattachée à l'Agence du numérique en santé. Les entreprises doivent être "vigilantes" et "renforcer la sécurité" des accès aux données.
Plusieurs entreprises ont été victimes de fuites de données ces dernières semaines comme l'opérateur téléphonique Free ou le magazine Le Point. Direct Assurance, filiale du groupe Axa, a également indiqué que 15.000 de ses clients étaient concernés par le piratage de données : leurs noms, prénoms, adresses électroniques ont été dérobés, ainsi que leur Iban (numéro international de compte bancaire) pour 5.800 d'entre eux, a précisé l'entreprise.
