En fin de semaine dernière, le groupement régional d’appui au développement de la e-santé (GRADes) Hauts-de-France a constaté - en lien avec les autorités nationales et l’agence régionale de santé Hauts-de-France - qu’une cyberattaque avait été menée contre les serveurs sur lesquels sont hébergées des données d’identité de patients d’hôpitaux publics de la région. Plusieurs régions de France sont concernées à des degrés différents par cette attaque. Le ou les pirates ont pu s'introduire dans les serveurs partagés par les centres hospitaliers des Hauts-de-France en usurpant l'identité d'un professionnel de santé.
Des mesures de sécurité renforcées ont été immédiatement mises en œuvre pour éviter toute nouvelle intrusion malveillante. Une analyse des serveurs est par ailleurs en cours pour identifier précisément les données susceptibles d’avoir été consultées et subtilisées. Il apparait des premières investigations que l’intrusion se limiterait aux données d’identité (nom, prénom, âge, le cas échéant numéro téléphone, adresse mail, etc.) des patients dont les données se trouvaient sur ces serveurs.
A ce stade des investigations, il apparait qu'aucune donnée contenue dans les dossiers médicaux des patients ne serait concernée par cette cyberattaque. Ainsi, aucune information relative à l'objet de la consultation ou de la prise en charge, le lieu, la date, le professionnel de santé ou le service, l'état de santé du patient, etc. n'aurait été subtilisée ou consultée.
Cette cyberattaque n’a par ailleurs aucun impact sur le fonctionnement des hôpitaux de la région et les services numériques de santé de la région.
Le principal risque lié à cette cyberattaque concerne les pratiques d'hameçonnages ("phishing"). Pour rappel, un professionnel ou un établissement de santé ou médico-social ne demandera jamais la transmission, par email, téléphone ou SMS, d’éléments personnels (coordonnées bancaires, numéro de sécurité sociale, mot de passe…).
Pour plus d'informations sur le délit d'hameçonnage et la conduite à tenir : Hameçonnage (phishing ou vishing) | Service-Public.fr
