Une cyberattaque à l’encontre de 6 000 rendez-vous Doctolib

C’est un événement qui va, à n’en pas douter, relancer le débat sur la sécurité des données de santé, du moins sur les informations personnelles mises en ligne. Le 21 juillet dernier, Doctolib - la plateforme leader de gestion en ligne de rendez-vous médicaux - a été victime d'une cyberattaque. L’acte malveillant a permis d'accéder illégalement aux informations administratives de 6 128 rendez-vous.

Derrière le terme « informations administratives », il faut comprendre les noms, prénom, genre, numéro de téléphone et adresse email du patient. Sans oublier, bien entendu, la date de rendez-vous, le nom et la spécialité du professionnel de santé concerné. Autant de données couvertes par le secret professionnel. Cette nouvelle est d’autant plus surprenante que mi-juillet, Doctolib affirmait publiquement que les données des patients étaient anonymisées. Visiblement, il n’en est rien.

Du moins, pas si, comme l’auteur de la cyberattaque, on accède à une « vue patient » où l'information est déchiffrée. Cette « vue patient » ne devrait pas être maintenue bien longtemps après ce piratage. Quoi qu’il en soit, Doctolib a voulu rassurer les patients et professionnels de santé victimes en leur confirmant qu’aucune donnée médicale n'avait pu être lue : aucun motif de rendez-vous, aucun document médical, aucune information relative au dossier médical des patients ; aucun mot de passe.

A noter que cette cyberattaque ne concerne pas les rendez-vous pris sur www.doctolib.fr ou sur le logiciel de gestion de cabinet de Doctolib – présentés comme sécurisés à 100% - l’attaque a touché des rendez-vous pris sur certains logiciels tiers connectés à Doctolib.