Pendant cinq jours, en juin et juillet 2025, un cybercriminel a pu circuler librement dans le dossier patient informatisé de l'Hôpital privé de la Loire, à Saint-Étienne. 524 867 dossiers médicaux ont été aspirés, avec état civil complet, numéro de sécurité sociale, coordonnées et même 46 185 copies de cartes d'identité, alors que personne n'a rien vu.
La CNIL a condamné l'établissement du groupe Ramsay Santé à une amende de 500 000 euros. Et en lisant les détails de l'affaire, on se rend compte que les failles de sécurité étaient non seulement béantes, mais connues depuis 2021.
Un hôpital qui gère plus d'un demi-million de dossiers
L'Hôpital privé de la Loire, rattaché au groupe Ramsay Santé, centralise les données médicales de centaines de milliers de patients dans son dossier patient informatisé (DPI). Ce type de système est utilisé quotidiennement par environ 450 personnes extérieures à l'établissement : médecins libéraux, secrétariats médicaux, et même les salariés de l'éditeur du logiciel.
Ces systèmes sont indispensables au fonctionnement moderne d'un hôpital, mais ils concentrent aussi des données parmi les plus sensibles qui existent. Résultat : les établissements de santé sont des cibles privilégiées pour les cyberattaques. En 2025, la CNIL a enregistré 6 167 notifications de violations de données, un record historique, avec la santé parmi les secteurs les plus touchés.
Comment un simple mot de passe a suffi
Le 26 juin 2025, le pirate se connecte au DPI en utilisant simplement les identifiants d'un médecin libéral. Pas besoin de la double authentification ni d'un VPN, juste un identifiant et un mot de passe !
Une fois à l'intérieur, il explore tranquillement l'arborescence pendant douze heures, puis lance une extraction automatisée.
Pendant cinq jours, il aspire en moyenne 73 fiches patients par minute, sans qu'aucune alarme ne se déclenche. Au total : 524 867 dossiers, incluant 202 246 fiches de « personnes de confiance » (des proches désignés par les patients) qui n'ont jamais été informés du vol de leurs propres données.
Des failles identifiées depuis 2021
Le plus révoltant dans cette affaire, c'est que l'hôpital savait. Une analyse d'impact réalisée en interne dès 2021 avait déjà repéré l'absence de cloisonnement des dossiers et qualifié sa gravité de « maximale ». Mais rien n'a été fait, car la probabilité de survenance était jugée limitée. Un pari perdu...
La CNIL pointe du doigt plusieurs défaillances graves : aucune double authentification (alors que le logiciel la proposait depuis 2024), aucun cloisonnement des dossiers (n'importe quel médecin pouvait consulter tous les patients, même ceux qu'il n'avait jamais soignés), et aucune surveillance en temps réel des journaux de connexion du DPI. Ajoutez à cela un mot de passe temporaire identique distribué à tous les praticiens après l'attaque, et vous comprenez pourquoi la sanction est tombée.
Une affaire nous rappelle une réalité inconfortable : nos données médicales sont souvent moins bien protégées que notre compte Netflix. Et pourtant, elles révèlent infiniment plus sur nous !
