Chargé de gérer une partie des échanges de données médicales dans le Grand Est, notamment entre les hôpitaux et les médecins traitants, le Groupement régional d’appui au développement de l’e-santé du Grand Est, Pulsy, a été la cible d’un hacker le 18 juin. Une fois détecté, ce dernier a pu être stoppé dans les six heures après le début de l’attaque et avant la fuite de données médicales. « On est sur des données personnelles, aucune donnée de santé n’a fuité », assure Jonathan Lotz, le directeur de Pulsy.

180 000 patients davantage exposés

L’attaque n’a toutefois pas été sans conséquence pour la structure créée en 2018 et qui avait déjà été victime d’une fuite de données il y a un an. Elle a visé un fichier d’environ 5 millions de lignes de données, correspondant à autant de patients et contenant nom, prénom, sexe, date de naissance et Identité nationale de santé (INS). Quelque 180 000 patients « sont davantage affectés », leurs mails, adresses et numéros de téléphone, ayant été compromis. « Cela va alimenter les t entatives de fraudes et d’escroquerie  », regrette Jérôme Lotz. Certains professionnels de santé ont ainsi déjà fait remonter à Pulsy les signalements de patients expliquant avoir été contactés par des personnes prétendant être de l’Assurance maladie et tentant d’obtenir des informations les concernant.

Depuis un mois, les équipes de Pulsy ont donc joint, par mail, SMS ou courrier, les personnes les plus exposées par cette attaque, pour les informer de l’incident et leur transmettre les bons réflexes à adopter. À savoir : rester attentif aux courriels, SMS ou appels inattendus ; ne pas communiquer de mot de passe, de code de sécurité ou de coordonnées bancaires ; ne pas cliquer sur les liens dans un message suspect ; en cas de doute sur l’identité d’un interlocuteur, le rappeler via les coordonnées officielles de l’organisme potentiellement concerné.

De nouvelles mesures de sécurité

Conscient que ce nouvel incident pourrait entamer la confiance accordée à Pulsy, qui est certifié “hébergeur de données de santé”, Jérôme Lotz assure que de nouvelles mesures de sécurité ont été appliquées. « Depuis le 1 er  juillet, nous avons activé des modalités d’authentification fortes, qui rendent dès à présent impossible l’attaque qui vient de se dérouler. Nous avons également plusieurs mesures de consolidation qui vont s’opérer pendant l’été », explique le directeur.

Mise en vente sur le dark web

Concernant le vol de données en lui-même, Jérôme Lotz décrit une « attaque distribuée, assez sophistiquée », au cours de laquelle le hacker suspecté s’est appuyé sur l’équivalent de 74 000 adresses IP pour ne pas être repéré. Les données extraites du réseau de Pulsy n’ont pas fait l’objet d’une demande de rançon, mais elles ont en revanche été mises en vente sur le dark web.

Outre une déclaration à la Commission nationale de l’informatique et des libertés le 20 juin et un signalement à la CERT Santé (le service national de réponse aux incidents de cybersécurité), la direction de Pulsy a déposé plainte le 23 juin auprès de la police judiciaire de Nancy. Depuis, le dossier a été transmis à la cellule cybersécurité de Paris, qui, selon Jérôme Lotz, était déjà sur la piste de ce hacker pour d’autres faits similaires.