AP-HP / COVID - Piratage de données confidentielles

Piratage des données de 1,4 million de personnes testées pour le Covid-19

Nos noms, adresses, mails etc. Partis chez qui ? les russes et dans le darknet.... ??

Mail reçu de l’AP-HP à l’instant :

Paris, le 17 Septembre 2021

Madame, Monsieur,

Nous vous écrivons aujourd’hui afin de vous informer que le 12 septembre 2021, nous avons eu la confirmation d’une violation des données personnelles vous concernant. Sachez que nous en sommes vraiment désolés et nous vous prions de bien vouloir nous en excuser.

L’Assistance Publique – Hôpitaux de Paris - AP-HP - a été une victime d’une attaque informatique qui a porté sur un service sécurisé de partage de fichiers hébergé et utilisé par l’AP-HP. Ce service lui permet d’assurer le stockage et le partage sécurisé de fichiers, en interne et en externe. Des résultats d’examen de dépistage Covid-19 y étaient stockés, à titre exceptionnel.

Pour transmettre à l’Assurance Maladie et aux Agences Régionales de Santé ces données utiles au suivi et à l’accompagnement des personnes (contact tracing), ce service a été utilisé de manière très ponctuelle en septembre 2020, en complément du système d’information national de dépistage (SI-DEP), dont l’AP-HP assure la maîtrise d’œuvre pour le compte du ministère des Solidarités et de la Santé et qui rencontrait alors des difficultés techniques dans ses outils de transmission.

Cette violation concerne vos données d’identité (nom, prénom, date de naissance, sexe), votre numéro de sécurité sociale, vos données de contact (adresse postale, téléphone et adresse électronique, lorsque renseignés lors de votre test), ainsi que les données relatives au test de dépistage que vous avez effectué l’année dernière, et notamment son résultat.
Aucune autre donnée médicale que celles strictement liées à la réalisation du test, tels que présence d’éventuels symptômes ou hospitalisation éventuelle, n’est concernée.

Cet incident a été notifié à la commission nationale de l’informatique et des libertés (CNIL), comme prévu par l’article 34 du règlement européen sur la protection des données (RGPD). L’autorité judiciaire a été saisie par l’AP-HP et le ministère des Solidarités et de la Santé.

Nous avons immédiatement fermé les accès au service de partage de fichiers concerné. Nous savons que ces données ont été accessibles sur une plateforme de téléchargement hébergée en Nouvelle-Zélande. Cet accès a été coupé le 14 septembre 2021. Nous continuerons à prendre toutes les mesures possibles et nécessaires pour limiter l’impact de cette fuite de données. À ce stade, nous n’avons connaissance d’aucune réutilisation de ces données. Nous ne pouvons néanmoins pas garantir que ces fichiers ne soient pas partagés entre des personnes malveillantes, malgré les sanctions encourues par les auteurs de cette attaque ou par toute personne qui les diffuserait ou les exploiterait.

C’est pourquoi, nous vous recommandons la plus grande vigilance, notamment s’agissant de tentatives d’escroquerie ou d’hameçonnage qui pourraient survenir dans les prochaines semaines.

Voici quelques conseils à appliquer de manière générale et encore plus spécifiquement dans ce contexte :

Pour les messages électroniques que vous recevez : soyez attentif à l’expéditeur des messages, y compris lorsqu’il a l’apparence d’un expéditeur officiel, méfiez-vous des pièces jointes, ne répondez jamais à une demande d’informations confidentielles notamment d’informations bancaires, soyez attentif au contenu et à la rédaction du message reçu, et paramétrez correctement votre outil de messagerie. Pour en savoir plus :

https://www.ssi.gouv.fr/particulier/precautions-elementaires/5-reflexes-a-avoir-lors-de-la-reception-dun-courriel ;

Pour les appels téléphoniques ou SMS provenant de numéros inconnus : ne répondez pas aux éventuelles demandes de communication de données personnelles et/ou bancaires.

Plus globalement, soyez vigilants vis à vis de toute sollicitation anormale, de démarchage à domicile, et signalez aux autorités judiciaires tout élément suspicieux que vous estimeriez être en lien avec cette attaque.

Pour plus d’informations n’hésitez pas à consulter le site https://cybermalveillance.gouv.fr/

Si vous souhaitez avoir de plus amples informations ou nous signaler un incident, vous pouvez nous contacter sur l’adresse (...). Nous collaborons étroitement aux enquêtes dont nous souhaitons qu’elles permettront de retrouver le ou les auteurs.

Une nouvelle fois nous vous prions de bien vouloir nous en excuser. Nous sommes conscients des conséquences qui peuvent résulter de cette attaque et nous vous assurons que nous mettons tout en œuvre pour en limiter les effets.

Martin HIRSCH
Directeur Général

... pour en limiter les effets !!!!!????