IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

Les données personnelles de 1,4 million de personnes en Ile-de-France ont été dérobées suite à une attaque.


Sujet :

Sécurité

  1. #1
    Expert éminent sénior

    Femme Profil pro
    Rédacteur Web
    Inscrit en
    Mars 2020
    Messages
    838
    Détails du profil
    Informations personnelles :
    Sexe : Femme
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Rédacteur Web

    Informations forums :
    Inscription : Mars 2020
    Messages : 838
    Points : 58 035
    Points
    58 035
    Par défaut Les données personnelles de 1,4 million de personnes en Ile-de-France ont été dérobées suite à une attaque.
    Les données personnelles d’environ 1,4 million de personnes, qui ont effectué un test de dépistage de la Covid-19 en Ile-de-France mi-2020, ont été dérobées
    « à la suite d’une attaque informatique »

    Les données personnelles d'environ un million et demi de personnes dépistées contre la Covid-19 en Île-de-France mi-2020 ont été dérobées par des hackers. Ceux-ci auraient exploité des vulnérabilités dans un outil utilisé par l’Assistance publique-Hôpitaux de Paris (AP-HP), utilisé comme passerelle entre les laboratoires et l'Assurance Maladie. Encore une fuite de données de santé. Mercredi 15 septembre 2021, l’Assistance publique – Hôpitaux de Paris, a annoncé dans un communiqué qu’elle a subi un incident de sécurité « au cours de l’été », incident qu’elle n’a pu confirmer que le 12 septembre. Donc, si vous avez réalisé un test de dépistage de la Covid-19 en Île-de-France mi-2020, votre numéro de sécurité sociale et vos coordonnées sont peut-être en de mauvaises mains. Cet incident est la deuxième fuite liée aux tests covid en l’espace de deux semaines. Le 31 août, Mediapart avait été prévenu d’un défaut de sécurité sur le site de Francetest, un intermédiaire entre les pharmacies et la plateforme du gouvernement, qui exposait les données personnelles de 700 000 personnes testées.

    Nom : Screenshot_2021-09-17 Piratage des données de 1,4 million de personnes testées pour le Covid-19 .png
Affichages : 7968
Taille : 359,5 Ko

    L'AP-HP, qui accueille chaque année plus de 8 millions de patients en région Île-de-France et regroupe 39 hôpitaux, a signalé les faits à la Commission nationale de l'informatique et des libertés (Cnil) et à l'Agence nationale de sécurité des systèmes d'information (Anssi). L'AP-HP et le ministère de la Santé ont déposé deux plaintes distinctes. Une enquête a été ouverte.
    Des hackers ont réussi à voler « Au cours de l’été… des fichiers contenant des données nominatives », d’après l’AP-HP. L’organisation utilise le terme d’« attaque informatique », afin de signifier que pour accéder aux données, les malfaiteurs auraient exploité des vulnérabilités logicielles. Ce détail est important pour évaluer d’éventuels manquements de l’AP-HP à ses obligations de sécurité, car de nombreuses fuites sont simplement liées à une mauvaise sécurisation des bases de données. L’AP-HP précise que les pirates ont ciblé un « service sécurisé de partage de fichiers hébergé et utilisé par l’AP-HP, qui lui permet d’assurer le stockage et le partage sécurisé de fichiers, en interne et en externe ». Interrogé sur le sujet, l’AP-HP n’a pas précisé qui avait développé l’outil. Mais en précisant qu’il est « hébergé sur ses propres infrastructures techniques », elle rappelle qu’elle contrôlait sa sécurité.

    Ce logiciel était utilisé en complément du SI-DEP, le système d’information national de dépistage qui sert à centraliser et à certifier les tests, lui-même géré par l’AP-HP (mais épargné par l’attaque). Concrètement, il sert à transmettre les résultats produits par les laboratoires vers l’Assurance Maladie et les agences régionales de santé, pour le suivi du traçage des contacts. Courant août 2021, le SI-DEP a accusé une panne dans ses outils de transmission, ce qui empêchait les patients d’obtenir le QR Code qui faisait office de pass sanitaire. Le fichier avait déjà eu des problèmes en 2020 d’après l’AP-HP, et c’est à ce moment que le programme piraté aurait été utilisé.

    Quelles informations sont concernées et quel est le risque pour les personnes concernées ?

    L'incident a exposé les données personnelles d'environ 1,4 million de personnes. Il s'agit presque exclusivement de patients qui ont réalisé des tests mi-2020 en Île-de-France, soit entre la fin du printemps et la fin de l'été. Les informations compromises incluent :
    • l’identité du patient testé ;
    • son numéro de sécurité sociale ;
    • ses coordonnées. L’AP HP ne donne pas le détail, mais le terme peut désigner l’adresse du domicile, l’adresse email et le numéro de téléphone de la victime, généralement demandés lors d’un test ;
    • l’identité et les coordonnées du professionnel de santé qui a effectué le test ;
    • le type de test effectué ;
    • le résultat du test. Cette dernière information donne une tout autre ampleur à l’incident, puisqu’il s’agit d’une donnée de santé, considérée comme « donnée sensible » au regard du droit.


    « Il y a de fortes chances que les données apparaissent sur le dark web pour être revendues. Les acheteurs ne s'intéressent pas au fait que la personne soit positive ou négative. Par contre, un numéro de sécurité sociale, c'est comme numéro de carte bancaire, c'est très confidentiel et ça peut coûter très cher », explique Matthieu Dierick, expert en sécurité des applications chez F5.

    En possession d'un numéro de sécurité sociale, d'une identité et d'une date de naissance, des cybercriminels peuvent falsifier des documents pour générer de nouvelles cartes vitales ou contracter des crédits à la consommation. Mais les victimes courent surtout le risque de faire l'objet de tentatives de phishing très ciblées. « Les personnes figurant dans le fichier peuvent s'attendre à recevoir un mail disant que leur test effectué le 15 août dans un laboratoire de Marcoussis nécessite qu'elles se connectent et créent un compte pour récupérer des informations additionnelles », observe le spécialiste. Les pirates n'auront plus qu'à récupérer les mails et les mots de passe renseignés pour les réutiliser sur d'autres sites et revendre les combinaisons gagnantes. L'APHP a indiqué mercredi que les personnes concernées par le vol de données seront informées individuellement dans les prochains jours, comme la loi le prévoit lorsqu'une violation de données est susceptible d'engendrer un risque élevé pour les droits et les libertés, ce qui est le cas des données de santé, particulièrement sensibles et divulguées en nombre important ici.

    Le domaine de la santé dans le viseur des pirates

    Ce nouvel incident intervient deux semaines après la découverte par Mediapart que des centaines de milliers de résultats de tests antigéniques étaient restés accessibles durant plusieurs semaines sur le site d'un prestataire de pharmacies non homologué par les autorités sanitaires coupable d'une série de négligences. la Cnil indique qu'à ce jour, les corrections ont été apportées par la plateforme et que les données ne sont plus librement accessibles. La société responsable du site a informé les personnes concernées le 30 août. Mais les investigations se poursuivent pour vérifier si des tiers ont pu accéder aux données. En début d’année, un fichier de données de santé concernant un peu plus de 500 000 citoyens français avait déjà été diffusé librement sur Internet après une faille informatique d'un prestataire de laboratoires médicaux. Et des dizaines d'hôpitaux ont fait les frais d'attaques de logiciels malveillants qui ont parfois paralysé leur activité pendant plusieurs semaines.

    Et maintenant ?

    L’enquête pourrait révéler de nouveaux détails sur l’incident dans les semaines à venir, car « les investigations se poursuivent », précise l’AP-HP. l’Anssi et la Cnil sont les deux organisations compétentes sur le sujet. L’enquête a deux principaux objectifs : Comprendre le mode opératoire et la nature des vulnérabilités exploitées. Cela pourrait aider à mieux cerner quel type de hacker a pu commettre l’attaque. Découvrir le détail technique de la cyberattaque pourrait aussi aider d’autres organisations à se protéger contre des attaques similaires. Et remonter l’origine de l’attaque, même s’il est probable que l’auteur de l’attaque ne soit jamais identifié.

    Source : AP-HP

    Et vous ?

    Que vous suggère cette exposition des données sanitaires des résidents français sur la toile ?
    Êtes-vous inquiets pour la confidentialité de données sanitaires ?
    Selon vous, quelles solutions le gouvernement français devrait-il mettre en place pour éviter ce genre d’incident ?

    Voir aussi :

    France : le gouvernement met en place la surveillance des réseaux sociaux par le fisc,visant à collecter automatiquement certaines données, afin de repérer d'éventuels fraudeurs

    Un milliard d'images médicales sont exposées en ligne, car de nombreux cabinets médicaux ne tiennent pas compte des meilleures pratiques en matière de sécurité

    533 millions de numéros de téléphone et de données personnelles d'utilisateurs de Facebook ont été divulgués en ligne, 20 millions appartiennent à des utilisateurs en France

    Des pirates informatiques ont divulgué en ligne des données volées sur le vaccin covid-19 de Pfizer, a annoncé l'Agence européenne des médicaments
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Membre émérite
    Inscrit en
    Janvier 2006
    Messages
    719
    Détails du profil
    Informations forums :
    Inscription : Janvier 2006
    Messages : 719
    Points : 2 713
    Points
    2 713
    Par défaut
    le résultat du test. Cette dernière information donne une tout autre ampleur à l’incident, puisqu’il s’agit d’une donnée de santé, considérée comme « donnée sensible » au regard du droit.
    Ah ben heureusement qu'elle ne figure pas sur un document qu'on est obligé de montrer à des gens à priori non habilités (n'étant ni officiers de police ni de justice)
    Ah ben si en fait...

  3. #3
    Membre extrêmement actif
    Femme Profil pro
    Webmarketer
    Inscrit en
    Janvier 2021
    Messages
    399
    Détails du profil
    Informations personnelles :
    Sexe : Femme
    Localisation : France, Seine et Marne (Île de France)

    Informations professionnelles :
    Activité : Webmarketer

    Informations forums :
    Inscription : Janvier 2021
    Messages : 399
    Points : 743
    Points
    743
    Par défaut
    La suppression des données post-test devrait être automatique. Je ne comprends même pas qu'on les conserve.

  4. #4
    Membre habitué
    Homme Profil pro
    Webmarketer
    Inscrit en
    Août 2021
    Messages
    83
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 37
    Localisation : Canada

    Informations professionnelles :
    Activité : Webmarketer

    Informations forums :
    Inscription : Août 2021
    Messages : 83
    Points : 199
    Points
    199
    Par défaut
    Citation Envoyé par Arya Nawel Voir le message
    La suppression des données post-test devrait être automatique. Je ne comprends même pas qu'on les conserve.
    Pour faire des statistiques ? Pour avoir un suivi de la campagne de test par exp.

  5. #5
    Expert éminent Avatar de kain_tn
    Homme Profil pro
    Inscrit en
    Mars 2005
    Messages
    1 562
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Suisse

    Informations forums :
    Inscription : Mars 2005
    Messages : 1 562
    Points : 7 267
    Points
    7 267
    Par défaut
    Citation Envoyé par Andy Oka Voir le message
    Pour faire des statistiques ? Pour avoir un suivi de la campagne de test par exp.
    Mouais, pour faire des statistiques, on peut se contenter de données anonymes...
    Copier c'est copier; voler c'est vendre un CD une vingtaine d'euros!


    Code C : Sélectionner tout - Visualiser dans une fenêtre à part
    1
    2
    3
    4
    5
    6
    7
    #include <stdio.h>
     
    int main(int argc, char **argv) {
     
        printf("So long, and thanks for the fish, Dennis...\n");
        return 0;
    }

  6. #6
    Membre expert

    Profil pro
    activité : oui
    Inscrit en
    Janvier 2014
    Messages
    1 260
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : activité : oui

    Informations forums :
    Inscription : Janvier 2014
    Messages : 1 260
    Points : 3 402
    Points
    3 402
    Par défaut
    Citation Envoyé par kain_tn Voir le message
    Mouais, pour faire des statistiques, on peut se contenter de données anonymes...
    Le problème de l'anonymat dans les données "anonymisées", c'est qu'il est question de "pseudo-anonymat" car dans beaucoup de cas de figures, les dispositifs en place imposent de pouvoir revenir en arrière pour clairement distinguer l'élément, le caractériser, et l'identifier.

    Citation Envoyé par Andy Oka Voir le message
    Pour faire des statistiques ? Pour avoir un suivi de la campagne de test par exp.
    "on peut se contenter de données anonymes" --> pour faire des statistiques, inutile d'avoir toutes les informations d'identifications ...sauf sur les stats basées sur l'identité bien-sûr.
    exemple : combien de test sont effectués par une même personne durant une même période de confinement ? Est-ce majoritairement des personnes vulnérables et/ou multi-pathologique ?

    Citation Envoyé par Arya Nawel Voir le message
    La suppression des données post-test devrait être automatique. Je ne comprends même pas qu'on les conserve.
    Malheureusement, la législation, en santé comme ailleurs, impose un temps d'archive minimal pour la conservation des données, sous forme papier comme numérique.
    Plus c'est sensible, plus c'est long. Et au vu des nombre de morts et des test aux résultats aberrants (fiabilité 9/10 si positif >> 1/3 si négatif ...une enfant diagnostiqué COVID post mortem, après 4 dépistages dans la même semaine de son vivant : tous négatif).

    J'ai vu nombre de "récolteurs" prélever puis stocker leurs échantillons au soleil, exposés sous la fenêtre de la pièce. Il est évident qu'une fois l'analyse d'échantillons inactivé par les UV terminée, le résultat intègre un biais significativement négatif.
    Pensez à utiliser les pouces d’appréciation, pour participer à la visibilité de l'apport d'un propos, ou l'intérêt que vous y prêtez... qu'il soit positif ou négatif.

  7. #7
    Expert éminent
    Avatar de sekaijin
    Homme Profil pro
    Urbaniste
    Inscrit en
    Juillet 2004
    Messages
    4 205
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 60
    Localisation : France, Yvelines (Île de France)

    Informations professionnelles :
    Activité : Urbaniste
    Secteur : Santé

    Informations forums :
    Inscription : Juillet 2004
    Messages : 4 205
    Points : 9 127
    Points
    9 127
    Par défaut
    petite précision il ne s'agit pas d'un outils d'échange de donnée entre l'APHP et l'assurance maladie
    Il s'agit d'un outil pour partager des fichiers comme ceux que vous trouvez sur le net.

    Une personne a par facilité utilisé ce partage faiblement protégé pour ce qu'il n'est pas censé faire.

    A+

  8. #8
    Expert éminent
    Avatar de sekaijin
    Homme Profil pro
    Urbaniste
    Inscrit en
    Juillet 2004
    Messages
    4 205
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 60
    Localisation : France, Yvelines (Île de France)

    Informations professionnelles :
    Activité : Urbaniste
    Secteur : Santé

    Informations forums :
    Inscription : Juillet 2004
    Messages : 4 205
    Points : 9 127
    Points
    9 127
    Par défaut
    Citation Envoyé par Steinvikel Voir le message
    Le problème de l'anonymat dans les données "anonymisées", c'est qu'il est question de "pseudo-anonymat" car dans beaucoup de cas de figures, les dispositifs en place imposent de pouvoir revenir en arrière pour clairement distinguer l'élément, le caractériser, et l'identifier...
    Bonjour
    Non les données anonymisées ne sont pas réversibles.

    La contrainte est la suivant si on as 2 source de données qui partage une clef commune par exemple un fichier de patient avec son identité etc et un ficher de résultat de test
    la pseudomisation des deux va produire deux fichier pour lesquels il sera impossible de revenir en arrière mais aussi de retrouver les vrais personnes mais si une donnée ex le nom est présente dans les deux fichiers alors le pseudonyme sera le même dans les deux fichiers. on pour donc relier un pseudo dans le fichier patient à son résultat de test mais il doit être impossible de retrouver le vrai patient

    l’anonymisation elle va produire deux fichiers qu'il sera impossible de recouper.
    Avec l'anonymisation si on extrait du premier fichier deux sous ensembles de données et qu'un patient est présent dans les deux une fois anonymisé il sera impossible de savoir qu'un patient est présent dans les deux.

    Donc non lorsqu'on anonymise des données on ne peux pas revenir à la source.

    En tout cas si on applique les règles qu'impose la législation.

    A+JYT

  9. #9
    Expert éminent
    Avatar de sekaijin
    Homme Profil pro
    Urbaniste
    Inscrit en
    Juillet 2004
    Messages
    4 205
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 60
    Localisation : France, Yvelines (Île de France)

    Informations professionnelles :
    Activité : Urbaniste
    Secteur : Santé

    Informations forums :
    Inscription : Juillet 2004
    Messages : 4 205
    Points : 9 127
    Points
    9 127
    Par défaut
    Citation Envoyé par Steinvikel Voir le message
    J'ai vu nombre de "récolteurs" prélever puis stocker leurs échantillons au soleil, exposés sous la fenêtre de la pièce. Il est évident qu'une fois l'analyse d'échantillons inactivé par les UV terminée, le résultat intègre un biais significativement négatif.
    sans compter ceux qui font semblant de faire le test. Une pharmacie me disait que le docteurs disait à ses patients de ne pas aller chez elle que l'autre pharmacie faisait ça rapido. en fait le gars mets la tige à l'entre de la narine frotte un tout petit peut et c'est tout. Alors qu'il faut y entre vraiment pour que ce soit sur. Ceux qui l'ont fait doivent s'en souvenir.

    Avec des tests aussi sommaires rien d'étonnant d'avoir un fort taux d'erreur.
    Mais le monde médical est habitué a avoir des données peu fiable. Et ils disent tous mieux vaut des données partiellement fiable que pas de donnée du tout.

  10. #10
    Futur Membre du Club
    Homme Profil pro
    Architecte technique
    Inscrit en
    Septembre 2020
    Messages
    4
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 43
    Localisation : France, Rhône (Rhône Alpes)

    Informations professionnelles :
    Activité : Architecte technique

    Informations forums :
    Inscription : Septembre 2020
    Messages : 4
    Points : 7
    Points
    7
    Par défaut
    Citation Envoyé par Arya Nawel Voir le message
    La suppression des données post-test devrait être automatique. Je ne comprends même pas qu'on les conserve.
    Je plussoie, c'est totalement aberrant mais j'ai l'impression que nos administrations sont tellement à la ramasse par rapport à nos voisins...il faudrait injecter des milliards et former le personnel. Bref, c'est titanesque !

  11. #11
    Expert éminent
    Avatar de sekaijin
    Homme Profil pro
    Urbaniste
    Inscrit en
    Juillet 2004
    Messages
    4 205
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 60
    Localisation : France, Yvelines (Île de France)

    Informations professionnelles :
    Activité : Urbaniste
    Secteur : Santé

    Informations forums :
    Inscription : Juillet 2004
    Messages : 4 205
    Points : 9 127
    Points
    9 127
    Par défaut
    là encore l'APHP a fait le nécessaire le fichier devait initialement rester quelques jours avec suppression auto.
    Mais l'assurance Maladie a demandé d'enlever ce timeout car elle n'était pas prête à traiter le fichier.

    Là encore c'est une décision d'une personne qui par facilité a sacrifié la sécurité l'assurance maladie pouvait très bien récupérer le fichier chez elle et le supprimer du serveur.

    Mais monsieur tout le monde ne veux surtout pas se casser la tête.
    et c'est bien connu demander au services techniques qui eux font ça dans les règle de l'art c'est beaucoup trop de contraintes.

    Il n'y a pas de telles failles dans les systèmes d'échanges de données entre l'APHP et l'assurance Santé cela passe par un réseau physique privé qui est sécurisé et surveillé.
    Mais si une personne habilité prend l'info et la mets sur le net sans précaution c'est imparable.

    Donc non les administrations ne sont pas plus à la ramasse que d'autres.
    Seulement elles manipules des données très convoitées sont donc la cible d'attaques permanente. (je mettrais ma main à couper qu'il y a en ce moment même une attaque à l'APHP)
    C'est quotidien.

    Le vrai problème c'est la surcharge de travail des gens (pas obligatoirement dans les service techniques) qui fait que tout ce fait dans l'urgence à la va vite.
    Pour cette affaire on a embauché des 100ene de volontaires pour aider à la crise Covid ont leur a donné des droits restreints mais ils ont eu accès a des choses qui normalement ne sont pas accessible. durée de la formation pour travailler à l'hôpital 1 jour.
    Ils ont donc appris à faire un test et à saisir les données. Il ont appris à rassurer le patient et à alerté si le patient présentais certains signe pour le reste ...
    c'était l'urgence de la pandémie.

    Les personnes qui ont travaillé sur l'outil de recueil ont travaillé dans les mêmes conditions sortir un logiciel qui normalement prends 6 mois à faire en 4 jours.
    La communication des donnée pas gérée pas le temps. donc dans l'urgence on se débrouille et comme ces personnes n'étaient pas du monde de l’hôpital quand la sécu leur a demandé les données il ont fait avec ce qu'ils connaissaient.
    c'est à dire comme vous et moi un drive sur le net.

    On peut se dire qu'il aurait pu y avoir des vérifications des contrôles et je suis d'accord mais si on a fait appel à des gens de l'extérieurs c'est parce que les personnes qui auraient pu assurer ce contrôle n'étaient pas disponible. si les ressources avaient été disponible elles auraient fait le taf elle même.

    J'ai personnellement travaillé sur une appli développé dans l'urgence en mars 2020 nous avons pris 1 journée pour la soumettre au services de sécurité informatique de l'état qui a tenté de mettre à mal sa sécurité.
    Une journée c'est peut et je pense que même si se sont les pointure du domaine dans le pays le fait qu'il ne soient arrivés à rien ne prouve rien.
    Mais les médecins le personnel soignant et même des instances dirigeante de la santé se seraient bien passé de "perdre" cette journée.

    Par contre je suis d'accord qu'il faudrait injecter des € pour former les gens à la sécurité.
    Un exemple simple il y a un portail automatique avec à côté un portillon qui s'ouvre avec la carte professionnelle du personnel.
    Tous les matins sans exception je vois des membre du personnel arriver et passer par le portail automatique des voiture qui se referme. du coup il se rouvre.
    Alors que mettre son badge prends moins 1/4 de seconde.
    Il y a des vols des dégradations etc.
    les consignes sont dites redites on se fait même engueuler lorsqu'on fait la remarque à un agent.
    on va finir par condamner le portail et le portillon. les gens agent seront obligé de se garer en ville (payant) et pour ceux qui vienne à pied de faire tout le tour pour entrer par la porte avec vigile.

    encore un exemple de sacrifice de la sécurité à la flemme. pourquoi mettre sont badge alors qu'il suffit de passer.

    la difficulté c'est le temps. on ferme l'hôpial 1 mois et on forme tout le monde ? On est déjà 3 là ou il faut 5 voir 6 personnes. comment faire pour en envoyer 1 en formation.
    A+

Discussions similaires

  1. Réponses: 0
    Dernier message: 30/07/2021, 21h18
  2. Réponses: 3
    Dernier message: 26/07/2020, 17h29
  3. Réponses: 2
    Dernier message: 11/02/2020, 22h00
  4. Réponses: 3
    Dernier message: 28/10/2019, 15h18
  5. [EasyPHP] Répertoire pour les données personnelles
    Par Mathieu72 dans le forum EDI, CMS, Outils, Scripts et API
    Réponses: 5
    Dernier message: 07/09/2008, 02h43

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo