Un pirate affirme avoir dérobé des données médicales

Un pirate informatique connu sous le pseudonyme « Feel » aurait dérobé plus de 369 000 messages à MaQuestionMedicale, un service français de consultation médicale en ligne, et les vendrait sur le dark web. Ces messages, attribués au service, contiendraient selon les informations disponibles des échanges entre patients et médecins, notamment des symptômes, des ordonnances et des données personnelles comme les noms et numéros de téléphone.

Les données couvrent plusieurs années et incluent des échanges sensibles

Selon FrenchBreaches, un site français de suivi des fuites de données, les messages datent de 2019 à 2026 et comprennent des échanges entre patients et médecins. Ces échanges portent sur un large éventail de sujets médicaux et d'informations personnelles, ce qui soulève des inquiétudes quant à la protection de la vie privée et à la sécurité des données.

Le service propose des consultations en ligne gratuites

MaQuestionMedicale permet aux patients de consulter des médecins en ligne sans rendez-vous et d'obtenir des ordonnances ou des certificats médicaux. Depuis le 1er janvier 2024, la compagnie d'assurance Assuréo propose gratuitement ce service à ses assurés, ce qui a accru son utilisation et son exposition potentielle.

Le pirate suggère que la compromission d'un compte est à l'origine de la fuite

Le pirate affirme avoir accédé aux données « directement depuis l'accès d'un patient », ce qui laisse entendre qu'un compte compromis aurait permis d'accéder aux messages d'autres utilisateurs. FrenchBreaches et Cyberattaque.org, un site spécialisé en cybersécurité, évoquent une éventuelle faille de sécurité appelée IDOR, qui permettrait à des utilisateurs connectés d'accéder à n'importe quelle consultation sans vérification de leur propriété.

Un échantillon de données soulève des questions sur la chronologie

Un échantillon de 1 000 messages obtenu par Cyberattaque.org montre de véritables échanges médicaux, mais la plupart des données semblent dater de 2019, avec seulement 11 messages de 2020. Cela jette le doute sur l'affirmation du pirate selon laquelle les données iraient jusqu'en 2026, ce qui suggère que la période annoncée pourrait être exagérée ou erronée.

Le nombre de personnes concernées reste incertain

Il est impossible de savoir combien de patients distincts sont touchés, car 369 000 messages ne correspondent pas forcément à 369 000 personnes. MaQuestionMedicale n'a pas publiquement réagi à l'affirmation de la fuite, ce qui laisse les utilisateurs dans l'incertitude quant à l'ampleur de l'exposition.

La France est confrontée à des problèmes persistants de sécurité des données de santé

Cette fuite s'ajoute à une série d'incidents de piratage signalés ou présumés visant des données de santé en France, notamment la fuite de 11 à 15 millions de dossiers médicaux en février et celle de 34 millions de comptes de la Caisse nationale d'assurance maladie en juin. Les utilisateurs sont invités à se méfier des SMS ou courriels suspects demandant une ordonnance ou une consultation.