Fuite de données : le plus grand CHU de France (et d’Europe) a été piraté

L’Assistance publique – Hôpitaux de Paris (AP-HP) a été victime d’une cyberattaque. Des pirates ont dérobé les données d’identité de 1 015 patients. Pour subtiliser ces données, les hackers ont visé un logiciel de gestion des repas, utilisé dans 23 hôpitaux en France. L’AP-HP assure qu’aucune donnée médicale n’a été compromise. Une plainte a été déposée.

L’Assistance publique – Hôpitaux de Paris annonce avoir enregistré un vol des données. Dans un communiqué, le principal centre hospitalier universitaire d’Europe indique avoir été « informé le 24 septembre 2026 de la vente, sur un forum cybercriminel, de données issues d’un logiciel de gestion des repas ». La direction des services numériques (DSN) de l’établissement a alors ouvert une enquête. « En lien avec ses partenaires et les autorités compétentes », elle a vérifié les informations des cybercriminels. Au terme des investigations, l’hôpital « confirme le vol de données de 1 015 patients ».

Les pirates ont exclusivement mis la main sur des données d’identité, c’est-à-dire le nom, le prénom, des informations relatives à la naissance et le numéro d’identifiant patient interne. L’AP-HP assure par contre qu’« aucune donnée médicale directe ou indirecte, information administrative ou bancaire, ou coordonnée de contact » n’a été compromise durant la cyberattaque. Les pirates n’auraient donc ni dossiers médicaux, ni numéros de carte bancaire, ni adresses, ni numéros de téléphone. Néanmoins, l’enquête n’est pas encore terminée. Premier centre hospitalier universitaire de France et d’Europe, l’AP-HP rassemble 38 hôpitaux publics en Île-de-France et soigne chaque année plus de 8 millions de patients.

À lire aussi : La « troisième cyberattaque de trop » dans les Hauts-de-France – les RIB de 700 000 Français compromis

Plus de 20 hôpitaux vulnérables

Pour subtiliser les données, les cybercriminels se sont attaqués à SRD Restauration, un logiciel édité par la société Dedalus. Ce logiciel est mis à disposition des patients pour choisir leurs menus pendant leur séjour. Il est utilisé dans 23 hôpitaux de l’AP-HP, à savoir Ambroise-Paré, Antoine-Béclère, Armand-Trousseau, Avicenne, Bicêtre, Broca – La Collégiale, Charles-Foix, Cochin – Port-Royal, Georges-Pompidou, l’hôpital maritime de Berck, l’Hôtel-Dieu, Lariboisière – Fernand-Widal, Louis-Mourier, Necker – Enfants malades, Paul-Brousse, la Pitié-Salpêtrière, Raymond-Poincaré, Rothschild, Saint-Antoine, Saint-Louis, Sainte-Périne, Tenon et Vaugirard – Gabriel-Pallez.

Selon l’AP-HP, le vol a eu lieu « quelques jours avant le signalement » sur un forum. Le vol d’informations découle d’une « intrusion frauduleuse dans le service en ligne permettant aux patients d’accéder au logiciel ». En clair, les pirates sont passés par l’accès destiné aux patients à la plateforme. Les investigations se poursuivent « afin de vérifier les revendications publiées sur ce forum ». Les cybercriminels affirment en effet détenir les données d’un plus grand nombre de patients que les 1015 recensés par les équipes de l’AP-HP. Les pirates revendiquent aussi le vol de données de comptes de professionnels. 

En réaction, le module de service en ligne a été fermé « jusqu’à nouvel ordre », les mots de passe de tous les utilisateurs ont été réinitialisés et les failles ont été corrigées. Conformément à la loi en France, l’hôpital a prévenu la Commission nationale de l’informatique et des libertés (CNIL) ainsi que la cellule d’accompagnement en cybersécurité des structures de santé. Par ailleurs, l’établissement a déposé une plainte auprès des autorités. Il faut s’attendre à ce que des cybercriminels exploitent les données pour mettre au point des arnaques. Méfiez-vous donc de tout message, appel ou courrier inattendu qui évoque un séjour à l’hôpital. Surtout, ne communiquez jamais de mot de passe ou de données bancaires, quoi que prétende votre interlocuteur.

Une deuxième fuite pour l’AP-HP

Ce n’est pas la première fois que l’AP-HP se retrouve dans le viseur des pirates. En 2021,  les données de plus d’un million de personnes avaient été dérobées en pleine crise du Covid-19.  Ces derniers mois, les fuites se sont multipliées dans le secteur de la santé, avec notamment 150 000 dossiers de patients volés en début d’année et les données médicales de milliers de malades du cancer compromises en septembre.