Les centres d'ophtalmologie Point Vision confirment le vol de données de leurs patients

Deux courriels, à un mois d'écart, ne racontent pas tout à fait la même histoire. Fin octobre, les patients de Point Vision, un réseau de centres d'ophtalmologie, ont reçu un second message à propos de la cyberattaque qui a visé son prestataire de prise de rendez-vous. Clubic l'a rapporté le 23 octobre, ZATAZ le 24. Cette fois, le groupe reconnaît que des bases de données ont été téléchargées. Une donnée a pourtant disparu de la liste : le numéro de sécurité sociale.

Selon Acuité, Point Vision compte 67 cabinets, plus de 900 professionnels de santé et environ 1,6 million de patients par an. Le groupe n'a toujours pas dit combien d'entre eux sont touchés.

Ce que dit le second courriel

D'après Clubic et ZATAZ, qui en reproduisent le contenu, les données de Point Vision n'étaient pas hébergées chez le prestataire. Une vulnérabilité dans les outils de ce dernier aurait permis à une personne non autorisée d'entrer dans l'environnement de gestion des rendez-vous de Point Vision et d'en extraire des bases. Ces bases contiennent les noms, prénoms, dates de naissance, adresses postales, adresses e-mail, numéros de téléphone et certains échanges sur l'organisation des rendez-vous.

Point Vision ajoute qu'il ne peut pas exclure que les mots de passe des comptes et les motifs de consultation aient été consultés ou téléchargés, car l'attaquant a effacé une partie de ses traces. Les dossiers médicaux sont stockés sur d'autres systèmes, et aucun accès illégitime n'y a été constaté à ce stade, selon le groupe. Le logiciel de rendez-vous est suspendu. Une autre solution le remplace en attendant de nouveaux contrôles de sécurité.

Un numéro de sécurité sociale qui disparaît

Le premier courriel, envoyé en septembre, présentait l'affaire autrement. Selon Fuites Infos et Acuité, il évoquait un accès possible aux données et citait explicitement le numéro de sécurité sociale. Entre-temps, l'affaire a pris de l'ampleur. Fuites Infos relève une première revendication visant l'éditeur d'agendas médicaux Alaxione dès le 19 août. Le 28 septembre, un vendeur a proposé sur un forum une base qu'il dit avoir extraite auprès de 168 centres médicaux, dont 67 centres Point Vision. Ces chiffres sont ceux du vendeur et n'ont pas été confirmés.

Fuites Infos dit avoir examiné l'échantillon publié. Il contiendrait des fiches de patients Point Vision, dont une partie porte le numéro de sécurité sociale, des empreintes de mots de passe (pas les mots de passe en clair), des messages entre secrétariats et praticiens, des SMS et des fiches de mineurs. Toujours selon le site, des données sont datées jusqu'au 28 septembre, donc après la première notification. Point Vision ne nomme pas son prestataire dans le courriel rapporté par Clubic.

Les bons réflexes si vous êtes patient

Le risque principal n'est pas un piratage de votre compte bancaire, mais des escroqueries très crédibles. Un fraudeur qui connaît votre nom, votre date de naissance et la date de votre dernier rendez-vous peut se faire passer pour le centre, un médecin ou l'Assurance maladie. Point Vision le rappelle lui-même : connaître ces informations ne prouve pas que votre interlocuteur est légitime.

• Ne transmettez ni mot de passe ni code confidentiel en réponse à une sollicitation inattendue : Point Vision assure aussi qu'aucune demande de paiement ni de coordonnées bancaires ne sera adressée pour sécuriser un compte.
• Si vous utilisiez le même mot de passe ailleurs avec la même adresse e-mail, changez-le sur ces services.
• Méfiez-vous des liens et des pièces jointes qui évoquent un rendez-vous, un remboursement ou un document médical.
• En cas de doute, rappelez le centre au numéro que vous connaissez déjà, pas à celui du message.

L'histoire rappelle celle des adhérents de Malakoff Humanis, dont les remboursements de santé ont pu fuiter par un prestataire. Deux questions restent ouvertes : combien de patients sont concernés, et pourquoi le numéro de sécurité sociale ne figure plus dans le second courriel.