Un piratage de données médicales dévoile les informations personnelles de 500 000 patients français
« Allô la CNIL ? Le RGPD ? ZATAZ vient de découvrir la vente d’une base de données qui, pardon du terme, fait clairement froid dans le dos ». Cette alerte, lancée il y a une dizaine de jours par le site spécialisé en cybersécurité Zataz, prévient qu’un « pirate commercialise une base de données de ce qui semble appartenir à une assurance ou un laboratoire de santé ».
Que contiennent les informations piratées ?
Au total, « 491 939 fichiers avec plus de 70 informations privées et sensibles » se sont retrouvées sur internet, dans des forums ou encore sur les réseaux sociaux.
Ces fichiers, concernant autant de patients, contiennent « l’identité, le téléphone, l’adresse postale, le numéro de sécurité sociale, le/les médecin(s) du patient, date de naissance, date d’hospitalisation, CPAM, l’assurance/mutuelle du patient, CMU, adresse mail… » décrit l’article de Zataz.
Certains médecins mentionnés de ces fichiers ont été contactés par Libération, confirmant la véracité des informations qu’ils contiennent. Le site du quotidien affirme que des commentaires sur l’état de santé des patient sont également dévoilés tels que « grossesse », « tumeur au cerveau » ou « VIH ».
Des mots de passe utilisés par les patients pour accéder à leurs résultats d’analyses d’une plateforme de laboratoire sont également accessibles.
Que sait-on de l’origine de ce piratage ?
Toujours selon Libération, les données dévoilées concernent, pour la plupart, des patients ayant fait des analysées médicales dans une trentaine de laboratoires en 2018 ou 2019 « dans les départements du Morbihan, de l’Eure, du Loiret, des Côtes-d’Armor et dans une moindre mesure du Loir-et-Cher ». Leur point commun : « Ils utilisent ou ont utilisé un même logiciel de saisie de renseignements médico-administratifs, commercialisé par Dedalus France, filiale française du leader européen du secteur ».
Ces données, provenant « d’un fichier informatique, perdu ou volé » ont une valeur marchande pour les pirates qui essaient de les commercialiser au plus offrant.
Quel est le risque pour les patients dont les données ont été dévoilées ?
Si les données personnelles sont si prisées, c’est qu’elles permettent d’envoyer de faux messages aux personnes concernées en vue de récupérer d’autres informations personnelles où de l’argent via une méthode dite de hameçonnage, ou de phishing. La méfiance est donc de mise.
Une fois divulguées, les informations volées peuvent aussi donner lieu à une usurpation d’identité.