Les données médicales et personnelles de 750 000 Français sont à vendre

La liste noire du jour prend encore de l’ampleur. Un pirate sous le pseudo near2tlg annonce la mise en vente de « données médicales françaises (Mediboard) » de pas moins de 750 000 patients. Les informations sont vastes : nom, prénom, date de naissance, sexe, adresse, ville, code postal, numéro(s) de téléphone, e-mail, mais aussi médecin traitant, ordonnances, déclaration de décès, identifiants externes et historique de santé.

• La série noire continue : fuites chez Auchan et Le Point (via un sous-traitant)

Sur le forum, le pirate propose trois « slots » pour acheter les données. Le compteur est toujours à 0 pour l’instant.

Dans un exemple mis en ligne pour appuyer ses dires, on peut également voir qu’il y a parfois des précisions médicales sur les patients : « DP 1100 - 600 mais mutuelle rembourse 70% du tarif ss pth pr vu le 24 janvier 2024 », « Intol rance tramadol et acupan:vomissements ».

Clubic, qui annonce la fuite, a pu contacter l'éditeur du logiciel Mediboard : la société Softway Medical Ville. « Ce logiciel de gestion hospitalière utilisé en France est réputé et connu pour aider les établissements de santé, comme les hôpitaux, les cabinets médicaux et les cliniques, à mieux gérer leurs activités. En l'occurrence, il a ici été exploité par le cybercriminel pour récupérer une grande quantité de données », expliquent nos confrères.

Alertée par Clubic, l’entreprise a mené l’enquête sur cette fuite dont elle n’était visiblement pas au courant. « Il s'agit de l'un de nos clients, qui lui-même n'était pas au courant », leur explique Déborah Draï, la responsable de communication. « En revanche, ce n'est pas nous qui hébergeons les données de santé », ajoute la société, en précisant qu’elle n'est pas non plus responsable de traitement.

« L'établissement concerné par la fuite est notre client à travers la solution Mediboard. Cela touche l'export des données », explique Déborah Draï. La responsable ajoute dans un second temps que son logiciel n'est pas mis en cause et que l'attaque pourrait se résumer en « une usurpation d'un compte à privilèges, au sein de l'infrastructure du client, par une personne qui a utilisé les fonctions standards de la solution », comme le rapporte Clubic.

Il y a peu, l’ANSSI alertait pour rappel sur les risques des établissements de santé face aux cyberattaques et listait des recommandations à mettre en place… dont la vérification des droits des utilisateurs.

• Les conséquences bien réelles des cyberattaques sur le secteur de la santé