Violation de la plateforme de dossiers médicaux MyDr : près de 19 millions de Polonais exposés

Le 12 août 2026, le ministère polonais des Affaires numériques a confirmé que des attaquants avaient dérobé plus de 2 téraoctets de données de patients chez MyDr, éditeur varsovien de logiciels de documentation médicale électronique utilisés par environ 12 000 établissements de santé. Le ministre Krzysztof Gawkowski a qualifié l'incident de fuite extraordinaire touchant près de 19 millions de personnes, soit environ la moitié de la population polonaise.

Les attaquants avaient contacté des médias polonais spécialisés au cours du week-end du 8 août avec des échantillons. Selon la revendication publiée par BadCyber, le butin contenait 18 814 422 numéros PESEL uniques (l'identifiant national attribué à vie en Pologne) et environ 2,5 To de données au total. Pour prouver leur accès, les attaquants ont divulgué le numéro PESEL, les numéros de téléphone et les ordonnances d'une personnalité politique polonaise de premier plan.

Ce qui a été exposé

Les données volées comprendraient les noms des patients, leurs dates de naissance, numéros PESEL, numéros de téléphone et adresses e-mail, ainsi que des comptes rendus de consultation, des diagnostics, l'historique des visites et des ordonnances. Les attaquants affirment aussi détenir de la correspondance interne de l'entreprise et des bases de données de médecins et de salariés. MyDr EDM est intégré à la plateforme nationale de e-santé P1 pour les ordonnances et arrêts de travail électroniques, ce qui explique pourquoi ses dossiers reflètent une si grande part de l'activité médicale du pays.

Les attaquants affirment avoir obtenu une exécution de code à distance via une faille XXE dans le traitement des certificats PKCS#12, puis avoir trouvé une clé d'API GitHub qui leur a ouvert l'infrastructure AWS de l'entreprise. MyDr a indiqué avoir activé ses procédures de réponse à incident, fait appel à des experts externes et prévenu les autorités. Le Bureau central de lutte contre la cybercriminalité a ouvert une enquête, et le gouvernement a invité les citoyens à vérifier leur exposition et à envisager de bloquer leur numéro PESEL afin d'empêcher les crédits frauduleux.

Pourquoi c'est important

Une seule violation chez un éditeur de logiciels a exposé des données de santé sensibles à une échelle habituellement réservée aux registres nationaux. Les numéros PESEL ne changeant jamais, ces données conservent une valeur durable pour l'usurpation d'identité et les escroqueries ciblées. Quelques semaines plus tard, un second éditeur polonais de logiciels médicaux, Qbusoft, a également été piraté, ce qui interroge sur la sécurité des fournisseurs connectés au système national de e-santé.