À l’été 2025, un attaquant parvient à se connecter au dossier patient informatisé de l’Hôpital privé de la Loire. L’accès externe ne passe ni par un VPN ni par une authentification multifacteur, ce qui réduit considérablement les barrières à franchir. Une fois connecté avec les identifiants d’un seul utilisateur, l’attaquant peut consulter les données de l’ensemble des patients de l’établissement. La CNIL vient d’infliger 500 000 euros d’amende à l’hôpital pour plusieurs manquements de sécurité ayant contribué à l’ampleur de la fuite.
Un compte compromis ouvre la porte à tous les patients
L’attaquant dispose des identifiants d’un utilisateur du dossier patient informatisé, le DPI. Pour un établissement de santé, cet outil constitue l’un des systèmes les plus sensibles puisqu’il centralise les informations nécessaires à la prise en charge des patients.
Normalement, compromettre un compte ne devrait pas suffire à parcourir l’ensemble de cette base. À l’Hôpital privé de la Loire, c’est pourtant ce qui s’est produit. La CNIL explique que les connexions externes au DPI, notamment celles utilisées par les médecins libéraux, ne nécessitaient ni VPN ni authentification multifacteur. L’attaquant a pu exploiter cette faiblesse pour entrer dans le système.
Mais le véritable effet multiplicateur se trouvait derrière cette première porte. La politique de droits d’accès ne limitait pas suffisamment les informations visibles en fonction de l’équipe prenant réellement en charge le patient. Les professionnels disposaient donc d’un périmètre d’accès beaucoup plus large que ce qui était nécessaire à leur activité. Une fois le compte compromis, l’attaquant a ainsi pu accéder aux données de l’intégralité des patients de l’établissement.
Plusieurs jours dans le DPI sans déclencher d’alerte
L’intrusion ne s’est pas arrêtée à quelques consultations. La CNIL indique que l’attaquant a pu explorer le dossier patient informatisé pendant plusieurs jours et extraire un volume important de données sans que son activité ne provoque d’alerte suffisamment rapide.
L’établissement ne disposait pas de mécanisme permettant de détecter en temps réel, ou à très court terme, une activité anormale dans le DPI. Cette absence de détection a contribué à l’ampleur de la fuite. Au total, les données de 524 867 patients ont été accessibles. Certaines comportaient des informations de santé. À cela s’ajoutent les données personnelles de 202 246 personnes désignées comme tiers de confiance par les patients.
La sanction ne repose donc pas sur le simple fait qu’une cyberattaque soit parvenue à fonctionner. La CNIL rappelle qu’un risque zéro n’existe pas, mais considère que plusieurs mesures élémentaires auraient pu rendre l’intrusion plus difficile et surtout en limiter considérablement les conséquences.
VPN, MFA, droits d’accès : des fondamentaux absents
Les principaux manquements concernent des briques devenues classiques en matière de sécurité : authentification multifacteur, accès distant protégé, gestion fine des habilitations et surveillance des comportements inhabituels.
La question des droits est particulièrement sensible dans un hôpital. Le secret médical implique que les informations d’un patient ne soient accessibles qu’aux professionnels qui en ont effectivement besoin pour sa prise en charge. Or la politique d’habilitation de l’établissement ne tenait pas suffisamment compte de cette notion d’équipe de soins. Même si les identifiants d’un professionnel sont volés, le compte compromis ne devrait théoriquement donner accès qu’à une fraction limitée des dossiers. Ici, cette segmentation n’a pas joué son rôle.
La CNIL considère que l’ensemble de ces défaillances constitue un manquement à l’article 32 du RGPD, qui impose de mettre en œuvre des mesures de sécurité adaptées au risque.
Les tiers de confiance n’avaient pas été informés
L’établissement a également été sanctionné sur un second volet. Les patients concernés par la fuite avaient bien été informés. En revanche, les 202 246 tiers de confiance dont les données avaient elles aussi été dérobées n’avaient reçu aucune notification directe. Il peut s’agir, par exemple, d’un proche désigné par un patient pour être contacté ou associé à certaines décisions.
La CNIL considère que ces personnes auraient dû connaître la nature de l’incident, ses conséquences possibles et les précautions à prendre en cas d’utilisation malveillante de leurs informations. L’autorité retient donc également un manquement à l’article 34 du RGPD relatif à l’information des personnes après une violation de données.
500 000 euros d’amende et jusqu’à quinze mois pour achever les corrections
La formation restreinte de la CNIL a finalement prononcé une amende de 500 000 euros. Elle indique avoir tenu compte du caractère élémentaire de certains principes de sécurité méconnus, de la sensibilité des informations compromises, du nombre de personnes concernées et des capacités financières de l’établissement.
L’Hôpital privé de la Loire a renforcé une partie de son dispositif pendant la procédure. La CNIL lui impose néanmoins d’achever certaines mesures correctrices dans des délais allant de trois à quinze mois.
