Fuite chez Mediboard

Le 19 novembre 2024, Mediboard — la plateforme de dossier patient informatisé (DPI) éditée par Softway Medical et utilisée par le groupe de santé privé français Aléo Santé — a servi de canal à une importante fuite de données médicales. Un cybercriminel utilisant le pseudonyme « nears » (anciennement « near2tlg ») a mis en vente les dossiers de 758 912 patients sur le forum clandestin BreachForums et proposait par ailleurs un accès aux environnements Mediboard de plusieurs établissements français.

La fuite ne provient pas d'une faille du logiciel Mediboard. Selon Softway Medical, un compte à privilèges au sein de l'infrastructure même du client a été compromis, l'attaquant ayant utilisé les fonctions standard et légitimes de l'application pour extraire les données des patients — il s'agit donc d'une fuite liée à des identifiants volés, et non d'une vulnérabilité logicielle ou d'une mauvaise configuration.

Les catégories de données exposées comprenaient :

• Nom, prénom, date de naissance et, le cas échéant, date de décès
• Genre
• Adresse postale, numéro de téléphone et e-mail
• Médecin traitant
• Prescriptions médicales et historique des soins
• Identifiants internes / identifiant externe du patient

Le vendeur a proposé le jeu de données à un petit nombre d'acquéreurs, sans achat confirmé publiquement au moment des faits. Les établissements concernés ont été rattachés à une seule entité de santé (Aléo Santé), et tant Softway Medical que le partenaire d'hébergement ont indiqué que les dossiers divulgués n'étaient pas hébergés sur leur propre infrastructure. Au titre du RGPD, l'incident a déclenché les obligations de notification auprès de la CNIL et des personnes concernées.