Après la compromission du logiciel médical MLM, des données de patients se retrouvent exposées. Enquête sur les responsabilités et les failles du numérique en santé.

 

Données de santé : la fuite massive chez Cegedim ravive les failles structurelles du numérique médical

 

 

La nouvelle secoue un secteur déjà sous tension. Après plusieurs semaines de rumeurs dans les cercles spécialisés, la compromission de comptes liés au logiciel Mon Logiciel Médical (MLM) édité par Cegedim expose une nouvelle fois la fragilité du numérique en santé.


Derrière l’incident technique, une question plus vaste : le système français est-il réellement prêt à protéger des données parmi les plus sensibles qui soient ?

 

 

1. Une numérisation massive… et une exposition accrue

 

 

Explosion des surfaces d’attaque

 

 

En quinze ans, le secteur de la santé est passé d’archives papier à des infrastructures numériques interconnectées : logiciels métiers, téléconsultation, messageries sécurisées, DMP, plateformes de facturation, interopérabilité avec l’Assurance maladie.

Chaque cabinet médical est devenu un point d’entrée potentiel. Chaque éditeur un concentrateur de données.

 

Des données à très haute sensibilité

 

Il faut distinguer :

 

• Données administratives : identité, adresse, téléphone, numéro de sécurité sociale.

• Données médicales : diagnostics, prescriptions, pathologies, antécédents.

 

Mais la frontière est plus poreuse qu’il n’y paraît. Un simple champ libre peut contenir une mention de maladie chronique, de traitement psychiatrique ou de situation sociale sensible. Juridiquement, ces éléments relèvent des données de santé, catégorie « particulièrement sensible » au sens du RGPD.

 

Un cadre réglementaire strict

 

Le secteur est encadré par :

 

• Le RGPD

• Le secret médical

• Les contrôles de la CNIL

• L’intervention possible des autorités judiciaires en cas d’infraction pénale
  
  
  

En théorie, le niveau d’exigence est maximal. En pratique, la mise en œuvre varie fortement selon les acteurs.

 

Voyez ici le post de l'avocat Arnaud TOUATI sur le sujet : Une fuite de données hallucinante confimée par le Ministère des solidarités et de la santé.

 

 

À LIRE : Cybersécurité : Les principaux risques des TPE-PME en France

2. Cegedim Santé : un acteur structurant de l’écosystème

Un poids lourd des logiciels médicaux

Cegedim est un acteur historique de la e-santé en France. Sa filiale Cegedim Santé développe des logiciels métiers pour les professionnels de santé.

Son produit phare, Mon Logiciel Médical (MLM), équipe plusieurs milliers de médecins libéraux.

MLM : un logiciel pivot

Mon Logiciel Médical centralise :

• Fichiers patients

• Données administratives

• Informations de consultation

• Télétransmission avec l’Assurance maladie

Un tel logiciel constitue un effet de levier massif : une faille ne touche pas un cabinet, mais potentiellement des centaines.

Un historique sous surveillance

L’éditeur avait déjà été sanctionné par la CNIL ces dernières années pour des manquements liés à la protection des données. Un précédent qui rend l’incident actuel d’autant plus sensible.

3. Chronologie d’un incident aux ramifications lourdes

Les éléments disponibles permettent de reconstituer une séquence probable :

1. Compromission initiale
   
   
   Hypothèse dominante : vol ou faiblesse d’identifiants (phishing, mots de passe réutilisés, absence de MFA robuste).
   
   

2. Accès aux comptes professionnels
   
   
   Les attaquants auraient exploité des comptes médecins pour extraire des bases de données.
   
   

3. Découverte interne
   
   
   Détection d’anomalies, blocage de comptes, investigation technique.
   
   
   

4. Révélation publique
   
   
   Mise en évidence d’une base diffusée sur le dark web, relayée par plusieurs médias spécialisés.
   
   
   

5. Communication officielle
   
   
   Information progressive des professionnels et signalement aux autorités compétentes.
   
   

Le point critique : le délai entre compromission et détection.

4. Périmètre de la fuite : un volume potentiellement massif

Comptes professionnels impactés

Des comptes de médecins utilisateurs de MLM auraient été compromis. Le nombre exact reste à préciser publiquement.

Patients concernés

Les estimations évoquent un volume pouvant atteindre plusieurs centaines de milliers de patients, voire davantage selon l’ampleur réelle des extractions.

Nature des données exposées

Les données administratives incluraient :

• Nom, prénom

• Coordonnées

• Informations de contact

• Référence au médecin traitant
  
  

Dans certains cas, des annotations libres auraient contenu des éléments médicaux ou sociaux sensibles.

Quels usages pour les cybercriminels ?

Les scénarios plausibles :

• Phishing ultra-ciblé

• Usurpation d’identité

• Escroqueries à l’Assurance maladie

• Chantage en cas d’information médicale sensible

• Revente de bases segmentées sur le dark web
  
  

La donnée de santé est parmi les plus valorisées sur les marchés clandestins.

5. Responsabilités : une chaîne complexe

Qui est responsable ?

• L’éditeur du logiciel

• Les médecins (responsables de traitement au sens RGPD)

• Les éventuels sous-traitants techniques

• Les hébergeurs certifiés HDS

La responsabilité juridique peut être partagée.

Hypothèses de cause racine

• Authentification insuffisamment robuste

• Absence ou faiblesse du MFA

• Gestion des droits trop permissive

• Sécurité applicative insuffisamment testée
  
  

La question de la cohérence

Si des manquements similaires avaient déjà été relevés par la CNIL, l’affaire pourrait fragiliser la position de l’éditeur.

Communication de crise : un exercice délicat

Critères d’analyse :

• Rapidité d’information

• Transparence sur le périmètre

• Clarté des recommandations aux médecins

• Accompagnement des patients
  
  

En matière cyber, la confiance se joue dans les premières 72 heures.

6. Réactions institutionnelles attendues

CNIL

Un contrôle complémentaire est probable. Des sanctions supplémentaires ne sont pas exclues si des manquements graves sont établis.

Enquête pénale

Une plainte peut conduire à la saisine de services spécialisés en cybercriminalité.

Ministère de la Santé

La pression monte sur les éditeurs pour renforcer :

• Certification

• Audits réguliers

• Exigences de cybersécurité homogènes
  
  

Obligation d’information

Le RGPD impose :

• Notification à la CNIL sous 72h

• Information des personnes concernées si le risque est élevé
  
  
  

7. Un phénomène systémique

Le cas Cegedim n’est pas isolé. Hôpitaux, laboratoires, plateformes de tiers payant : le secteur santé est devenu une cible prioritaire.

Tendances observées :

• Rançongiciels

• Vol massif d’identifiants

• Exfiltration de bases patients

La particularité ici : l’effet logiciel métier. Une faille unique peut exposer un écosystème entier.

8. Impacts majeurs

Pour les patients

• Atteinte à la vie privée

• Risque de stigmatisation

• Exposition à des escroqueries ciblées
  
  

Pour les médecins

• Risque réputationnel

• Responsabilité juridique RGPD

• Perte de confiance des patients
  
  

Pour Cegedim

• Risque financier (sanctions)

• Risque commercial

• Atteinte à l’image de marque

Pour le système de santé

Chaque fuite fragilise l’acceptabilité du numérique en santé.

 

9. Recommandations : sortir de la réaction pour entrer dans la prévention

Gouvernance

• Cartographie des traitements

• Analyse d’impact (DPIA)

• Clauses contractuelles renforcées

Sécurité technique

• MFA systématique

• Journalisation avancée

• Segmentation des accès

• Tests d’intrusion réguliers

Formation

• Sensibilisation au phishing

• Vigilance sur les champs libres

• Politique stricte de gestion des mots de passe
  
  

Gestion de crise

• Procédure d’alerte interne

• Cellule de crise cyber

• Coordination avec ANSSI et CNIL

Exigences contractuelles vis-à-vis des éditeurs

• Engagements de sécurité documentés

• Audits indépendants

• Notification rapide des incidents

• Politique de gestion des vulnérabilités formalisée

10. Ce que révèle l’affaire

L’incident met en lumière une réalité dérangeante : la transformation numérique de la santé avance plus vite que sa maturité cyber.

La confiance dans la e-santé repose sur un pilier unique : la protection absolue des données.

À moyen terme, le secteur devra probablement évoluer vers :

• Une standardisation accrue des exigences de sécurité

• Des certifications renforcées

• Une mutualisation des audits

• Une responsabilisation contractuelle plus claire
  
  
  

Car derrière chaque ligne exfiltrée, ce ne sont pas seulement des données qui fuient. Ce sont des fragments d’intimité.

Et dans le domaine médical, la confiance perdue est infiniment plus difficile à reconstruire qu’un système informatique.