Après la cyberattaque subie par le CHU, le mercredi 21 juin 2023, la prise en charge des patients s’est poursuivie normalement, pour les urgences comme pour les activités programmées grâce à la mobilisation des équipes. Récemment, le rappel de rendez-vous aux patients par SMS et le paiement par carte bleue ont à nouveau opérationnels. En revanche, au regard des enjeux de sécurisation, le rendez-vous en ligne via Doctolib n’est pas encore possible de même que l’accès au site Internet du CHU.
À cette date, les investigations ont conduit à confirmer un accès illégitime, par des personnes non autorisées, à des données à caractère personnel. « Il n’est pas possible à ce jour d’identifier avec précision la nature exacte et le contenu des informations. Toutefois, les données concernant les patients auxquelles l’attaquant a potentiellement eu accès relèvent du Centre de Soins dentaires (CSD), des salles techniques de cardiologie et des laboratoires du CHU. De même, des données à caractère personnel des professionnels du CHU sont également concernées par la fuite (numéro de sécurité sociale, bulletin de salaire). À notre connaissance, ces données n’ont toutefois fait l’objet d’aucune diffusion ni exploitation malveillante à l’heure actuelle. »
Pour rappel, une veille continue est mise en place sur Internet par l’ANSSI et Orange cyberdéfense afin d’assurer la surveillance des usages malveillants qui pourraient en être faits. Pour rappel, une plainte a été déposée par le CHU de Rennes dès le 22 juin 2023. Une enquête est en cours, sous l’égide du Parquet de Paris, spécialisé dans le traitement judiciaire des cyberattaques. Une notification a également été effectuée auprès de la Commission nationale de l’informatique et des libertés (CNIL) dès le 21 juin 2023.
Conformément aux recommandations nationales émises par la CNIL, le CHU invite les patients et les professionnels à la plus grande vigilance face aux risques d’escroquerie ou d’hameçonnage qui pourraient survenir dans les prochaines semaines. En cas de constatation d’une utilisation frauduleuse de leurs données personnelles, il est recommandé aux patients de porter plainte rapidement. Ceux-ci sont également invités à en informer le CHU via l’adresse mail [email protected]. Un dispositif similaire est développé pour les professionnels. L’établissement rappelle que le fait d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les informations d’un traitement automatisé constitue un délit pénal.
