En septembre 2021, l'AP-HP a été victime d'un piratage informatique majeur touchant 1,4 million de personnes. Cette cyberattaque exploitant une faille zero day dans un logiciel a compromis des données personnelles sensibles. Cet incident soulève des questions cruciales sur la sécurité des données de santé et la nécessité de renforcer la protection des systèmes informatiques hospitaliers.
Nature et portée de la cyberattaque
En septembre 2021, l'AP-HP a été victime d'une cyberattaque majeure touchant les données personnelles et médicales de 1,4 million de patients. Cette intrusion informatique a mis en lumière les failles de sécurité des systèmes de santé français et leurs conséquences potentielles.
Une faille zero day à l'origine du piratage
Le piratage a été rendu possible par l'exploitation d'une vulnérabilité jusqu'alors inconnue dans le logiciel HCP Anywhere de Hitachi Vantara. Cette faille permettait de contourner la protection par mot de passe et d'accéder directement aux données stockées. Les cybercriminels ont ainsi pu dérober un fichier contenant des informations sensibles liées aux tests COVID-19 réalisés mi-2020 en Île-de-France.
Nature des données compromises
Les informations dérobées comprennent :
- Identités complètes (nom, prénom)
- Numéros de sécurité sociale
- Coordonnées personnelles (adresse, email, téléphone)
- Résultats des tests COVID-19
- Informations sur les professionnels de santé
Réaction des autorités
Dès la découverte de l'attaque, plusieurs actions ont été engagées :
Martin Hirsch, directeur général de l'AP-HP, a confirmé que "l'accès à la plateforme de téléchargement hébergée en Nouvelle-Zélande a été coupé le 14 septembre 2021"
L'ANSSI a été saisie et une plainte a été déposée par l'AP-HP. La CNIL a également été notifiée. Hitachi Vantara a publié un correctif de sécurité le 19 septembre pour colmater la faille. Les investigations n'ont pas révélé d'autres fuites de données ni d'intrusions dans les systèmes de l'AP-HP.
Conséquences pour les victimes du piratage
Suite au vol des données de santé de 1,4 million de patients de l'AP-HP en septembre 2021, les personnes concernées font face à des menaces concrètes d'utilisation frauduleuse de leurs informations personnelles. Les recommandations des autorités permettent de se prémunir contre ces risques.
Les principaux risques pour les victimes
Les données volées comprennent des informations sensibles : noms, prénoms, numéros de sécurité sociale, coordonnées postales et électroniques, résultats des tests Covid. Ces données peuvent servir à monter différents types d'escroqueries :
- Usurpation d'identité et création de faux comptes
- Tentatives d'hameçonnage (phishing) par email ou téléphone
- Revente des données sur le darkweb
- Utilisation frauduleuse du numéro de sécurité sociale
Les mesures de protection recommandées
L'AP-HP a contacté individuellement les victimes par email le 17 septembre 2021, via un message signé par Martin Hirsch ayant pour objet "Information sur vos données". Les personnes concernées sont invitées à :
- Faire preuve d'une vigilance accrue face aux tentatives d'escroquerie
- Ne pas communiquer d'informations sensibles par téléphone ou email
- Surveiller régulièrement leurs comptes bancaires
- Ne pas chercher à consulter les fichiers volés
Les actions engagées par les autorités
Plusieurs procédures ont été lancées pour protéger les victimes :
- Dépôt de plainte par l'AP-HP auprès du procureur de Paris
- Signalement à l'ANSSI et notification à la CNIL
- Coupure des accès à la plateforme compromise
- Enquête en cours pour déterminer l'origine de l'attaque
Liens avec le cadre juridique en France
Suite au vol des données de santé de l'AP-HP en septembre 2021, le cadre juridique français prévoit des obligations strictes en matière de protection des données personnelles. La législation impose des responsabilités aux organismes de santé et définit les droits des personnes concernées par cette violation.
Obligations légales et rôle des autorités
La CNIL, autorité française de protection des données, a été immédiatement notifiée de cette violation conformément au RGPD. L'organisme a ouvert une enquête pour examiner les circonstances de cette fuite. En parallèle, l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) a effectué un signalement et l'AP-HP a déposé une plainte auprès des autorités judiciaires.
Obligations de notification
Le RGPD impose à l'AP-HP d'informer individuellement les personnes dont les données ont été compromises. Cette obligation s'applique particulièrement dans ce cas car la violation concerne des données de santé, considérées comme sensibles par la loi. L'AP-HP a ainsi envoyé le 17 septembre 2021 des courriels signés par Martin Hirsch, son directeur général, pour prévenir les victimes.
Recours possibles pour les victimes
Les personnes concernées par cette fuite disposent de plusieurs voies de recours :
- Dépôt de plainte individuel auprès des services de police ou de gendarmerie
- Signalement à la CNIL en cas de non-respect des obligations de l'AP-HP
- Action en réparation devant les tribunaux civils
Responsabilité de l'AP-HP
En tant que responsable du traitement des données, l'AP-HP peut voir sa responsabilité engagée au titre du RGPD. Les sanctions administratives peuvent atteindre jusqu'à 4% du chiffre d'affaires annuel mondial ou 20 millions d'euros. Des poursuites pénales sont également possibles en cas de négligence dans la sécurisation des données de santé.
Prévention et bonnes pratiques en matière de sécurité des données
Suite au vol massif de données médicales survenu à l'AP-HP en septembre 2020, de nombreux établissements de santé ont dû revoir leurs protocoles de sécurité informatique. Les recommandations qui suivent s'adressent tant aux professionnels qu'aux usagers du système de santé.
Renforcement des mesures de sécurité techniques
Les établissements de santé doivent mettre en place un système de protection à plusieurs niveaux :
- Chiffrement systématique des données sensibles
- Authentification forte à deux facteurs
- Cloisonnement des réseaux et systèmes
- Sauvegardes régulières et sécurisées
Formation et sensibilisation du personnel
L'AP-HP a mis en oeuvre un programme complet de formation à la cybersécurité pour son personnel, comprenant :
- Des sessions régulières sur les risques informatiques
- Des exercices de simulation d'attaques
- Des procédures d'alerte en cas d'incident
Recommandations pour les patients
Les usagers doivent rester vigilants concernant leurs données personnelles :
- Ne jamais communiquer son numéro de sécurité sociale par email
- Vérifier l'identité des interlocuteurs demandant des informations médicales
- Signaler toute tentative d'hameçonnage aux autorités
Protocoles d'urgence
En cas de détection d'une faille, l'établissement doit pouvoir activer rapidement un protocole de réponse incluant : - L'isolation immédiate des systèmes compromis - La notification aux autorités compétentes (CNIL, ANSSI) - L'information des patients potentiellement concernés
Impact du piratage sur la confiance des patients envers le système de santé
Le piratage des données de santé de l'AP-HP en septembre 2021, touchant 1,4 million de patients, a profondément ébranlé la confiance des Français dans la sécurité numérique du système de santé. Cette violation massive de données personnelles sensibles soulève des questions sur la protection des informations médicales.
Une confiance fragilisée des patients
Les patients concernés par cette fuite de données manifestent une inquiétude légitime quant à la protection de leurs informations personnelles. Les données dérobées comprennent des éléments sensibles comme les noms, prénoms, dates de naissance, numéros de sécurité sociale et résultats des tests COVID-19. La CNIL a d'ailleurs été saisie pour enquêter sur les circonstances de cette violation.
Réactions des associations de patients
Les associations de patients ont rapidement réagi en dénonçant les failles de sécurité et en réclamant plus de transparence. Cette situation a mis en lumière la vulnérabilité des systèmes d'information hospitaliers et la nécessité de renforcer leur protection.
Mesures de restauration de la confiance
L'AP-HP a déployé des actions pour rassurer les patients. L'institution a notamment :
- Informé individuellement les personnes concernées
- Déposé une plainte auprès du procureur de Paris
- Coupé immédiatement les accès au service compromis
- Renforcé ses protocoles de sécurité
Accompagnement des victimes
Un dispositif d'information a été mis en place pour accompagner les patients touchés. La CNIL recommande aux victimes d'être particulièrement vigilantes face aux tentatives d'hameçonnage qui pourraient survenir suite à cette fuite de données.
L'essentiel à retenir sur le piratage des données de santé
Le piratage des données de l'AP-HP a mis en lumière la vulnérabilité des systèmes de santé face aux cyberattaques. Cette prise de conscience collective devrait accélérer la modernisation des infrastructures informatiques hospitalières et le renforcement des protocoles de sécurité. De nouvelles réglementations et des investissements dans la cybersécurité seront nécessaires pour garantir la protection des données sensibles des patients à l'avenir.