34 millions de carnets de santé dans la nature : ce qui s’est passé et comment vous protéger

Imaginez…

Vous rangez soigneusement votre carnet de santé dans un tiroir fermé à clé. Un matin, vous découvrez que quelqu’un en a fait une photocopie intégrale — vos opérations, vos traitements, vos médecins — et que cette copie circule on ne sait où. C’est, en substance, ce qui se serait passé pour 34 millions de Français.

Selon les informations rapportées par Les Numériques, une fuite de données massives toucherait les dossiers de santé gérés par des organismes d’assurance maladie complémentaire (les « mutuelles »). Des informations extrêmement sensibles — identité, numéro de sécurité sociale, remboursements médicaux — auraient été dérobées et potentiellement mises en vente sur des forums clandestins. On parle d’une des plus grandes fuites de données médicales de l’histoire en France.

Qu’est-ce qu’une fuite de données, concrètement ?

Pensez à un grand classeur contenant les fiches de millions de patients. Normalement, ce classeur est dans une pièce sécurisée, accessible uniquement au personnel autorisé. Une fuite de données, c’est quand quelqu’un réussit à forcer la porte — souvent à distance, via Internet — et à copier tout le contenu sans que personne ne s’en aperçoive immédiatement.

Le problème avec les données de santé, c’est qu’elles sont particulièrement précieuses pour les pirates. Pourquoi ? Parce qu’elles permettent de construire des arnaques très ciblées et très crédibles. Un escroc qui sait que vous avez été opéré du genou en mars peut vous appeler en se faisant passer pour votre mutuelle et vous demander des informations complémentaires. C’est ce qu’on appelle le phishing (ou hameçonnage) : une technique qui consiste à vous faire « mordre à l’hameçon » en vous trompant sur l’identité de votre interlocuteur.

🖥️ Pour aller plus loin — L’angle technique

Ce que les geeks voient dans cette fuite

Sans surprise pour ceux qui suivent l’actualité cybersec, ce type d’incident pointe souvent vers des failles dans les API (interfaces permettant à différents logiciels de communiquer) ou des bases de données mal sécurisées — le genre de vulnérabilité que Mr. Robot rendait presque romantique, mais qui en vrai coûte cher en confiance publique.

Ce qui est particulièrement préoccupant ici, c’est la densité des données exposées. On ne parle pas de simples adresses e-mail : les NIR (numéros INSEE, aka numéros de sécu) combinés à des historiques médicaux forment ce que les experts appellent des « golden records » — des profils ultra-complets, idéaux pour l’usurpation d’identité ou la fraude à l’assurance. Sur les marchés du darkweb, ces données se négocient bien plus cher qu’un simple mot de passe.

La question de fond reste entière : pourquoi des données aussi sensibles ne sont-elles pas systématiquement chiffrées de bout en bout et compartimentées ? Le RGPD impose des obligations, mais l’écart entre la théorie réglementaire et la réalité des infrastructures legacy reste un gouffre béant.

Que faire concrètement ?

Que vous soyez novice en informatique ou développeur le soir après 22h, ces réflexes s’appliquent à tout le monde :

1. Méfiez-vous des appels et messages inattendus — Si quelqu’un vous contacte en mentionnant votre mutuelle ou votre médecin sans que vous ayez rien demandé, raccrochez et rappelez vous-même via le numéro officiel.

2. Ne communiquez jamais votre numéro de sécurité sociale par téléphone ou e-mail — Aucun organisme sérieux ne vous le demandera ainsi.

3. Surveillez votre espace Ameli (ameli.fr) — Connectez-vous régulièrement pour vérifier qu’aucun remboursement suspect n’apparaît à votre nom.

4. Activez les alertes de connexion sur tous vos comptes santé et administratifs — La plupart des services proposent de vous prévenir par SMS ou e-mail en cas d’accès inhabituel.

5. Signalez toute anomalie — En France, vous pouvez déposer une plainte en ligne sur cybermalveillance.gouv.fr ou contacter la CNIL si vous pensez que vos données ont été mal protégées.

En conclusion

Nous confions nos données les plus intimes aux systèmes numériques — nos maladies, nos traitements, nos fragilités. En échange, nous sommes en droit d’exiger qu’elles soient traitées avec la même rigueur qu’un secret médical. Cette fuite, si elle est confirmée dans son ampleur, sera un signal d’alarme que ni les institutions ni les citoyens ne pourront ignorer.

Et vous — faites-vous encore confiance aux systèmes numériques pour gérer vos données de santé ? Partagez votre avis en commentaire.

Source : Les Numériques