Softway Medical reconnaît un vol de données de santé dans son logiciel de radiologie

Le jeudi 5 novembre, des pirates se connectent à One Manager depuis l'extérieur d'un cabinet de radiologie, en usurpant une identité. C'est ainsi que l'éditeur Softway Medical décrit l'attaque contre ce logiciel, qui gère le parcours d'un examen d'imagerie, de la prise de rendez-vous au compte rendu. Selon le site spécialisé Docteur Imago, l'entreprise indique que les auteurs sont parvenus à extraire des données de santé.

Installé à Fuveau (Bouches-du-Rhône), le groupe a confirmé dans un communiqué daté du 8 novembre une « violation de données » sur ce système d'information de radiologie. Sur les 1 100 clients qu'il revendique en radiologie, « quelques dizaines » sont concernés, a précisé à Docteur Imago André Brunetière, son directeur produit et technologie. Le nombre de patients touchés n'a pas été communiqué.

Un hôpital touché alors qu'il avait changé de logiciel

Le CHU de Reims fait partie des établissements prévenus. Le 8 novembre, le délégué à la protection des données de l'éditeur, que l'hôpital désigne sous le nom de Softway Medical Imaging, l'a informé d'une violation de données personnelles. Elle vise une solution qui permettait aux patients pris en charge entre octobre 2019 et avril 2026 de consulter à distance leurs résultats d'imagerie. Or le CHU avait cessé d'utiliser ce logiciel en avril.

Dans un message mis à jour le 10 novembre et relayé le 13 par France 3, l'hôpital assure que son activité d'imagerie n'est pas perturbée. Il a déclaré l'incident à la CNIL et prévoit de porter plainte. Selon lui, les données touchées ne comprennent ni résultats médicaux, ni informations financières ou de facturation. Il attend toutefois les investigations de l'éditeur pour en connaître la nature exacte.

Données de santé ou simples coordonnées ?

Les deux versions restent à concilier : l'éditeur parle de données de santé extraites, l'hôpital écarte les résultats médicaux. Aucun des deux n'a publié la liste des informations emportées. Softway Medical met en avant des tests d'intrusion réguliers et des processus certifiés ISO 27001, et reconnaît que, « malgré ces dispositifs », des acteurs malveillants sont parvenus à leurs fins. Une analyse des causes est en cours avec des experts extérieurs.

Comment savoir si vous êtes concerné

Selon l'éditeur, tout est parti d'une connexion à distance sous une identité usurpée : l'accès extérieur aux logiciels médicaux reste une porte à surveiller. Softway Medical affirme avoir prévenu tous les clients touchés, et précise que ceux qui n'ont pas reçu de notification ne sont pas concernés.

• Patients : en cas de doute, interrogez le délégué à la protection des données du centre où vous avez passé votre examen. Pour le CHU de Reims, l'adresse indiquée est dpd@chu-reims.fr.
• Prudence face aux messages : un courriel, un SMS ou un appel qui évoque un examen ou un rendez-vous d'imagerie peut s'appuyer sur ces données. Ne donnez ni coordonnées bancaires ni mot de passe, et rappelez le centre au numéro habituel.
• Centres d'imagerie : Softway Medical a fermé les accès extérieurs, dont la réouverture progressive était prévue la semaine du 9 novembre, avec un accompagnement des clients. C'est le moment de vérifier qui peut se connecter de l'extérieur, avec quels comptes, et si une double authentification est exigée.

Restent les questions essentielles : combien de patients, quels centres, et comment l'identité utilisée a été obtenue. Comme à l'AP-HP, où des pirates étaient passés par le logiciel des repas des patients, la brèche est passée par le logiciel d'un éditeur extérieur.