Système de dossiers médicaux polonais piraté : 18,8 millions de patients revendiqués

Des attaquants affirment avoir sorti 2,5 téraoctets de MyDr, l’un des plus grands fournisseurs de logiciels de dossier médical électronique en Pologne, et que l’ensemble contient 18 814 422 numéros PESEL uniques, l’identifiant national polonais. Soit environ la moitié du pays. L’entreprise confirme un incident et dit en établir l’ampleur ; elle ne confirme pas de vol. Le vice-premier ministre chargé du numérique indique que les services vérifient les circonstances.

Comment cela a émergé

Samedi, quelqu’un a contacté le média polonais de sécurité Zaufana Trzecia Strona en affirmant détenir les données de plus de 18 millions de personnes issues de systèmes médicaux. La rédaction a pris le signalement au sérieux, est entrée en contact direct et a prévenu les institutions. Ce qu’elle a publié ensuite est l’essentiel, car c’est la seule vérification indépendante qu’on ait pu mener jusqu’ici.

La preuve fournie était une capture d’écran d’entrées de base concernant l’un des plus grands responsables politiques polonais : date de naissance exacte, PESEL, nom et prénom, deux numéros de téléphone dont l’un a été confirmé par d’autres sources. La région de la caisse de santé indiquée correspondait. S’y ajoutait une ordonnance pour un médicament précis, invérifiable de l’extérieur. Les attaquants ont aussi envoyé la fiche de l’auteur de l’article : PESEL correct, région correcte, et dans le champ téléphone 111111111, le bouche-trou habituel des cabinets qui ne remplissent pas tout.

Une extorsion déguisée en audit

Les attaquants ont également montré un message qu’ils disent avoir envoyé le 5 août au dirigeant de la société propriétaire de la plateforme. Il contenait un lien vers un PDF censé s’effacer après téléchargement, ce qu’il n’a pas fait : les journalistes ont ouvert le même lien plusieurs jours plus tard. Le fichier était protégé par un mot de passe, et ce mot de passe était le PESEL du dirigeant, qu’il n’a pas fallu deviner longtemps. À l’intérieur se trouvaient les mêmes preuves et une demande de contact, le tout présenté comme une offre d’achat des résultats d’un audit de sécurité.

Deux choses en découlent. L’extorsion est professionnelle dans la forme et amateur dans sa propre sécurité. Et l’identifiant au cœur de l’affaire est si prévisible qu’il servait de mot de passe au dirigeant de l’entreprise censée le protéger.

Ce qui est confirmé et ce qui ne l’est pas

Pourquoi un dossier médical est pire qu’un mot de passe

Un mot de passe se remplace en une minute. Un PESEL est attribué une fois, et la maladie derrière une ordonnance n’est pas un identifiant, c’est un fait concernant une personne. Un couple identifiant national et historique d’ordonnances donne à un inconnu deux choses à la fois : de quoi se faire passer pour vous auprès d’une administration, et de quoi faire pression sur vous en silence.

Les ordonnances sont le point le plus tranchant. Une seule ligne avec un nom de médicament peut révéler un diagnostic psychiatrique, un statut VIH, une interruption de grossesse, un traitement d’addiction. En temps normal, le secret médical protège cela ; une mauvaise semaine plus tard, c’est une ligne de base de données que l’on propose à la vente.

Un fournisseur, des milliers de cabinets

La structure inconfortable est celle de toutes les grandes fuites. Les médecins ne gèrent pas leurs propres bases : ils saisissent dans le système que leur cabinet a acheté, et des milliers de cabinets achètent les mêmes quelques systèmes. C’est efficace, et cela signifie qu’un seul fournisseur détient les histoires médicales de la moitié d’un pays. MyDr appartient au groupe ZnanyLekarz, lui-même dans DocPlanner, présent dans plus d’une douzaine de pays, ce qui explique qu’un incident sur un produit polonais soit lu attentivement bien au-delà de la Pologne. Rien n’indique pour l’instant que des données d’autres pays soient concernées.

La concentration n’est l’erreur de personne. C’est l’état normal d’un marché mûr, et c’est elle qui transforme l’intrusion chez un fournisseur en événement national.

Ce qu’une personne en Pologne peut faire aujourd’hui

1. Bloquer son PESEL via l’application mObywatel ou gov.pl. Depuis juin 2024, les banques doivent consulter le registre avant d’accorder un crédit : un numéro bloqué empêche un prêt à votre nom. Le blocage se lève temporairement quand il gêne réellement.
2. S’attendre à un hameçonnage qui connaît vos détails médicaux. Un appelant qui cite votre cabinet, votre médecin et une vraie ordonnance est bien plus crédible que la fraude bancaire habituelle.
3. Ne jamais confirmer des données au téléphone sous prétexte qu’une partie a déjà été énoncée. Raccrocher et rappeler l’établissement à un numéro trouvé par vous-même.
4. Surveiller pendant quelques mois les notifications bancaires et les demandes de crédit. Une usurpation à partir d’un identifiant fuité se manifeste souvent par une demande que vous n’avez pas faite.

Le VPN n’est pas l’outil ici

Autant le dire franchement, car après chaque fuite les outils de confidentialité sont cités par réflexe. Un VPN protège les données en transit entre vous et un service. Ces données ont été prises à l’autre bout, dans les systèmes où les cabinets les stockent, et aucun réglage sur votre téléphone n’y aurait changé quoi que ce soit. Ce qui compte est du côté des institutions : comment le fournisseur stocke, à quelle vitesse il prévient, et ce que fait ensuite le régulateur.