La plateforme française MédecinDirect, un acteur majeur de la consultation médicale en ligne, vient de notifier ses utilisateurs d'une grave faille de sécurité. Dans un courriel révélé par le chercheur en cybersécurité Clément Domingo sur X, l'entreprise admet qu'un « tiers non autorisé » a réussi à s'introduire dans ses systèmes et à accéder aux données de sa base d'utilisateurs, qui pourrait compter entre 10 et 14 millions de personnes.

Quelles sont les données précisément compromises ?

Le butin des pirates est particulièrement préoccupant. Il contient non seulement des informations d'identification classiques comme les noms, prénoms, dates de naissance, adresses mail et numéros de téléphone, mais va bien plus loin dans l'intimité des patients.

Le numéro de Sécurité sociale des usagers a également été volé, si celui-ci avait été renseigné. Surtout, ce sont les données de santé qui rendent ce piratage critique. Les attaquants ont mis la main sur le sujet des consultations et les détails échangés avec les professionnels de santé, obtenant ainsi des informations précises sur les pathologies des victimes.

Quels sont les risques concrets pour les utilisateurs affectés ?

La nature des informations dérobées expose les victimes à des menaces sérieuses et ciblées. MédecinDirect alerte lui-même sur les dangers d'une telle fuite, qui vont bien au-delà d'une simple atteinte à la vie privée et qui pourraient avoir des conséquences financières et personnelles désastreuses.

Les cybercriminels peuvent désormais lancer des campagnes de phishing (hameçonnage) très convaincantes en utilisant des détails médicaux pour extorquer de l'argent. L'usurpation d'identité est un autre risque majeur, tout comme les tentatives de fraudes diverses liées à ce type de cyberattaque, telles que l'ouverture de contrats ou la modification de dossiers administratifs.

Quelle est la réaction de MédecinDirect et le contexte actuel ?

Face à cette situation, l'entreprise assure avoir pris les mesures réglementaires nécessaires. Les personnes concernées ont été informées, une déclaration a été faite auprès de la Commission nationale de l’informatique et des libertés (CNIL) et une plainte a été déposée auprès du Procureur de la République de Paris.

MédecinDirect affirme que sa plateforme de téléconsultation fonctionne normalement et que la sécurité a été renforcée. Cet incident s'inscrit cependant dans une série noire pour la France, récemment touchée par des attaques similaires visant Leroy Merlin ou encore France Travail, et place le pays au premier rang mondial des fuites de données selon une étude récente de Surfshark.