Une cyberattaque a entraîné l’exposition des données personnelles de 1 015 patients de l’AP-HP, un important groupe hospitalier public français. Selon les informations disponibles, ces données, comprenant noms, prénoms, dates de naissance et identifiants internes, auraient été mises en vente sur un forum de cybercriminels. La faille a été exploitée via un système de commande de repas utilisé par les patients dans 23 hôpitaux du groupe. Ce système permettait aux personnes de choisir leurs repas en ligne, et les pirates ont profité de cette faille pour accéder aux données. L’incident a été signalé pour la première fois mi-décembre 2025, lorsqu’un internaute a affirmé avoir obtenu des dossiers médicaux électroniques de l’AP-HP. Après plusieurs semaines d’enquête, le groupe hospitalier n’avait trouvé aucune preuve d’une fuite de données et avait levé l’alerte en janvier. Cependant, la situation est désormais confirmée. Le 24 septembre, l’AP-HP a été informée que des fichiers de patients étaient vendus sur un forum de cybercriminels. À la suite d’une enquête menée avec ses partenaires et les autorités, le groupe a confirmé mercredi que les données de 1 015 personnes avaient été dérobées. Ce chiffre reste provisoire, les pirates affirmant détenir davantage de données de patients ainsi que des comptes du personnel liés au logiciel de commande de repas. L’AP-HP a immédiatement pris des mesures pour limiter les risques. Elle a réinitialisé les mots de passe de tous les utilisateurs, les pirates ayant apparemment obtenu des comptes du personnel via le système de repas. Selon l’AP-HP, aucune information médicale, administrative, bancaire ou de contact n’a été compromise, en raison de la nature du système de commande de repas. Toutefois, les données volées pourraient encore être utilisées par des fraudeurs pour des usurpations d’identité ou des attaques par hameçonnage. L’AP-HP a informé la CNIL, l’autorité française de protection des données, ainsi que la cellule d’appui cyber des établissements de santé. Elle a également déposé une plainte le 25 septembre pour lancer une enquête. Pour aider les personnes concernées par ce type de fuite, la plateforme Cybermalveillance.gouv.fr, qui surveille les menaces en ligne, conseille aux victimes de se méfier des appels ou messages utilisant des informations personnelles pour paraître légitimes. Le 1er octobre, dans le cadre du Cybermois, la plateforme a publié, en collaboration avec la CNIL, un guide à destination des victimes. Celui-ci recommande de changer les mots de passe compromis, notamment pour les adresses e-mail principales, et d’activer l’authentification à deux facteurs. Dans les semaines suivant la fuite, les personnes concernées devraient surveiller leurs comptes bancaires et signaler toute activité suspecte sans délai. À plus long terme, la CNIL et Cybermalveillance.gouv.fr suggèrent de limiter le partage d’informations personnelles et de supprimer les comptes inutilisés pour réduire les risques de futures fuites. Plus tôt cette année, la CNIL avait infligé une amende de 500 000 euros à la Clinique privée de la Loire à Saint-Étienne après un vol de données similaire, en raison de pratiques de sécurité défaillantes.