«Dedalus France confirme investiguer sur un grave acte de cybercriminalité ayant conduit à la violation de données de certains de ses clients laboratoires», indique dans un communiqué du 26 février l'éditeur de logiciels pour les établissements de santé, Dedalus France. Celui-ci a déclaré avoir identifié parmi ses clients 28 laboratoires concernés par la fuite de données médicales qui a touché près de 500 000 personnes et répartis dans 6 départements des régions Bretagne, Centre-Val-de-Loire et Normandie.
La société a informé les laboratoires et «coopère avec les autorités compétentes afin de déterminer les sources de cette cyberattaque».
Une enquête judiciaire ouverte
L'AFP avait pu constater le 23 février qu'un fichier comportant 491 840 noms, associés à des coordonnées (adresse postale, téléphone, email) et un numéro d'immatriculation à la sécurité sociale, circulait librement sur au moins un forum référencé par des moteurs de recherche. Ces noms étaient parfois accompagnés d'indications sur le groupe sanguin, le médecin traitant ou la mutuelle, de mots de passe, ou encore de commentaires sur l'état de santé (dont une éventuelle grossesse), des traitements médicamenteux ou des pathologies (notamment le VIH).
Selon la rubrique de vérification Checknews du quotidien Libération, qui a enquêté sur le sujet, les données correspondent à des prélèvements effectués entre 2015 et octobre 2020.
«La fuite de données est en cours d'investigation par l'Agence nationale de la sécurité des systèmes d'information (Anssi), le ministère des Solidarités et de la Santé, en lien avec la Cnil et l'éditeur de logiciel, dont il est suspecté que des anciennes installations de sa solution de gestion de laboratoire soient impliquées», a indiqué le 24 février à l'AFP la Direction générale de la santé.
Une enquête judiciaire a été ouverte le même jour et confiée à la section cybercriminalité du parquet de Paris, du chef d'«accès et maintien frauduleux dans un système de traitement automatisé de données» et «extraction, détention et transmission frauduleuse» de ces données.