AP-HP : les données de 1 015 patients volées via le logiciel de commande des repas

L'Assistance publique – Hôpitaux de Paris (AP-HP) a confirmé le 7 octobre le vol des données d'identité de 1 015 patients. Les pirates sont passés par le service en ligne d'un logiciel de commande des repas, SRD Restauration, édité par la société Dedalus et utilisé dans 23 de ses hôpitaux. Selon l'établissement, aucune donnée médicale ne serait concernée. Le bilan reste provisoire : les auteurs affirment en détenir davantage.

Une mise en vente repérée le 24 septembre

D'après son communiqué, l'AP-HP a été avertie le 24 septembre que des données issues de ce logiciel étaient proposées à la vente sur un forum cybercriminel. Sa direction des services numériques a enquêté plusieurs jours, avec ses partenaires et les autorités, avant de confirmer le vol. Celui-ci aurait eu lieu quelques jours avant l'alerte, par une intrusion dans le service en ligne où les patients hospitalisés choisissent leurs menus.

Les informations dérobées sont le nom, le prénom, des informations relatives à la naissance et le numéro d'identifiant patient interne. Compte tenu de la nature du logiciel, l'AP-HP estime qu'aucune donnée médicale directe ou indirecte, aucune information administrative ou bancaire et aucune coordonnée de contact ne seraient touchées. Le conditionnel est le sien : l'enquête se poursuit.

Les 23 hôpitaux qui utilisent le logiciel sont Ambroise-Paré, Antoine-Béclère, Armand-Trousseau, Avicenne, Bicêtre, Broca – La Collégiale, Charles-Foix, Cochin – Port-Royal, l'Hôpital européen Georges-Pompidou, l'hôpital maritime de Berck, l'Hôtel-Dieu, Lariboisière – Fernand-Widal, Louis-Mourier, Necker – Enfants malades, Paul-Brousse, la Pitié-Salpêtrière, Raymond-Poincaré, Rothschild, Saint-Antoine, Saint-Louis, Sainte-Périne, Tenon et Vaugirard – Gabriel-Pallez.

Des revendications plus larges, non confirmées

Sur le forum, les auteurs font état d'un nombre de patients plus élevé, ainsi que de données concernant des comptes de professionnels de l'AP-HP qui utilisent ce logiciel. L'établissement indique poursuivre ses investigations pour vérifier ces affirmations, qu'il ne confirme pas à ce stade.

Le module en ligne est fermé jusqu'à nouvel ordre. L'AP-HP et ses fournisseurs ont réinitialisé le mot de passe de tous les utilisateurs et corrigé les vulnérabilités soupçonnées d'avoir permis le vol. La Commission nationale de l'informatique et des libertés (CNIL) et la cellule d'accompagnement en cybersécurité des structures de santé ont été prévenues, et une plainte a été déposée dès le lendemain du signalement.

L'AP-HP avait connu une fausse alerte l'hiver dernier : mi-décembre 2025, un internaute affirmait détenir des données de son dossier patient informatisé, et l'alerte avait été levée en janvier faute de preuve, rappelle Clubic. En 2021, une fuite avait en revanche exposé les données de plus d'un million de personnes, selon 01net.

Que faire si vous avez été hospitalisé à l'AP-HP ?

• Un nom, une date de naissance et un séjour à l'hôpital suffisent à rendre crédible un faux appel ou un faux message. Méfiez-vous de toute sollicitation inattendue qui évoque une hospitalisation, une facture ou un remboursement.
• Ne communiquez jamais de mot de passe, de code reçu par SMS ou de coordonnées bancaires à quelqu'un qui vous contacte, même s'il connaît votre identité. En cas de doute, rappelez l'hôpital au numéro indiqué sur son site officiel.
• Pour les établissements de santé : un service annexe ouvert aux patients sur Internet, comme la commande des repas, fait partie de la surface d'attaque. Il mérite le même inventaire, la même authentification et la même surveillance que les applications de soins.