Les pirates ont divulgué des données de santé

L’hôpital a confirmé dimanche la publication de données qui “semblent affecter nos utilisateurs, notre personnel et nos partenaires”.

Parmi les informations publiées figurent “certaines données administratives”, dont le numéro de sécurité sociale, et “certaines données de santé comme des rapports d’examens et notamment des dossiers externes d’anatomocytopathologie, de radiologie, des laboratoires d’analyses, des médecins”, poursuit le centre hospitalier. “L’attaque semble avoir été limitée aux serveurs virtuels et à seulement une partie de l’espace CHSF (environ 10%)”, ajoute-t-il.

C’est le blog de cybersécurité Zataz.com qui a lancé l’alerte, affirmant qu’une “première diffusion de données avait été orchestrée sous la forme d’un fichier compressé de 11,7 gigaoctets”.

“Seuls les initiés peuvent accéder aux données”

Selon Damien Bancal, l’auteur du blog, qui a pu consulter le dossier, celui-ci contient des documents aussi divers que des examens médicaux, des demandes de soins de médecine générale (CMU) et une autorisation d’internement forcé en service psychiatrique.

“Néanmoins, à ce stade de l’analyse des éléments détenus par les autorités chargées de l’enquête, il n’est pas possible ‘d’accéder facilement aux données'”, précise le parquet de Paris. “Seuls les initiés peuvent accéder aux données”, confirme Damien Bancal.

Une enquête a été ouverte par le parquet de Paris et confiée aux gendarmes du Centre de lutte contre la délinquance numérique (C3N).

Le risque est désormais que les escrocs utilisent les données accessibles pour lancer de nouvelles attaques ciblées, en utilisant les informations personnelles à leur disposition pour gagner la confiance de la victime.

Fraude

Par exemple, les attaquants vont chercher des « patrons, des personnalités importantes » et mettre en place des arnaques de type « arnaque présidentielle », dans lesquelles l’escroc parvient à obtenir un virement bancaire d’un établissement en se faisant passer pour son patron ou son directeur financier.

Les attaquants peuvent également utiliser des numéros de téléphone pour créer des comptes personnels de formation (CPF) ou des escroqueries à la crypto-monnaie, des adresses e-mail pour effectuer du “phishing”, inciter l’utilisateur à télécharger des fichiers malveillants, ou cliquer sur des liens pour extorquer des identifiants et des codes d’accès…).

Leave a Comment