Depuis quelques semaines, les données médicales de 500 000 patients français circulent sur la Toile. Les autorités ont été alertées, des investigations sont en cours. Voici le point sur la situation.
Quelle est l’ampleur de la fuite ?
Le blog spécialisé sur la cybersécurité Zataz a repéré et dévoilé le 14 février l’existence d’un fichier comportant les données personnelles et privées de près de 500 000 patients français sur un groupe Telegram faisant office de « marché noir » dédié à la revente de bases de données volées.
Mardi soir, à la suite d’une enquête du quotidien Libération, l’AFP a pu vérifier qu’un tel fichier circulait librement sur au moins un forum référencé par des moteurs de recherche.
Selon l’auteur de l’article de Zataz, Damien Bancal, le fichier serait désormais disponible en sept emplacements différents sur Internet. Il aurait été mis en ligne gratuitement (et donc privé de sa valeur marchande) par l’un des pirates à la suite d’une dispute.
Il comporte précisément 491 840 noms, associés à des coordonnées (adresse postale, téléphone, email) et un numéro d’immatriculation à la sécurité sociale. Surtout, ces noms sont parfois accompagnés d’indications sur le groupe sanguin, le médecin ou la mutuelle, ou encore de commentaires sur l’état de santé (dont une éventuelle grossesse ou une stérilité), des traitements médicamenteux, des pathologies (notamment le VIH).
« Les constatations préliminaires semblent indiquer qu’il s’agit effectivement d’une violation de données d’une ampleur et d’une gravité particulièrement importante, et laissent à penser que les données proviendraient de laboratoires d’analyse médicale », a établi la Cnil dans un billet de blog, quelques heures après avoir lancé ses contrôles.
« On est très, très au-delà » de l’ampleur des violations de données signalées couramment à la Cnil, a indiqué à l’AFP le secrétaire général de la Commission, Louis Dutheillet de Lamothe.
Quelle est l’origine de cette fuite ?
Selon la rubrique de vérification Checknews du quotidien Libération qui a enquêté sur le sujet, les données proviennent d’une trentaine de laboratoires de biologie médicale, situés pour l’essentiel dans le quart nord-ouest de la France (Morbihan, Eure, Loiret, Côtes-d’Armor, et dans une moindre mesure Loir-et-Cher).
Elles correspondent selon le journal à des prélèvements effectués entre 2015 et octobre 2020, une période qui coïncide pour les laboratoires interrogés avec l’utilisation d’un même logiciel de saisie de renseignements médico-administratifs, édité par le groupe Dedalus.
« Nous n’avons aucune certitude quant au fait que ce soit uniquement un logiciel Dedalus France qui est en cause dans cette affaire », a réagi auprès de l’AFP le directeur général délégué du groupe, Didier Neyrat.
A découvrir aussi en vidéo :
« La fuite de données est en cours d’investigation par l’Agence nationale de la sécurité des systèmes d’information (Anssi), le ministère des Solidarités et de la Santé, en lien avec la Cnil et l’éditeur de logiciel, dont il est suspecté que d’anciennes installations de sa solution de gestion de laboratoire soient impliquées », a indiqué, mercredi soir, à l’AFP la Direction générale de la santé, sans donner le nom de cet éditeur.
L’Anssi avait auparavant déclaré à l’AFP avoir identifié l’origine de la fuite des données de santé, et l’avoir signalée au Ministère des Solidarités et de la Santé en novembre 2020. « Les recommandations nécessaires ont été données par l’Anssi pour traiter l’incident », avait ajouté l’agence sans donner aucun détail supplémentaire.
Quels recours pour les victimes ?
Selon Damien Bancal, les pirates ne sont pas forcément intéressés par l’aspect médical de ce fichier. « Pour eux, c’est juste un fichier parmi d’autres qui va finir découpé en petites bases de données », explique-t-il à l’AFP. Les coordonnées sont ensuite susceptibles d’être utilisées par des groupes cybercriminels pour des campagnes d’hameçonnage, l’envoi de rançongiciels ou à des fins de publicité ciblée. « Les personnes dont les noms sont présents dans la base subissent un préjudice », affirme à l’AFP l’avocat spécialiste du numérique Bernard Lamon.
Pourtant, selon lui, les suites judiciaires pourraient rester limitées. « Les gens ont probablement la possibilité d’aller réclamer des dommages et intérêts, mais le système français est fait pour qu’il y ait des sanctions administratives. Il n’y aura pas a priori de réparation individuelle », explique Bernard Lamon.
Une procédure de déréférencement est prévue en cas d’indexation du contenu de la base par un moteur de recherche. Concernant l’utilisation des informations médicales, par une compagnie d’assurance par exemple, « ce serait illégal et extrêmement risqué », estime l’avocat.
Mais pour l’instant, l’essentiel des victimes n’est pas au courant de leur présence dans le fichier. « S’il existe un risque élevé pour les droits et libertés des personnes physiques, les entreprises [responsables de la fuite] doivent [les en] notifier individuellement », rappelle la Cnil.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
