En bref
- Ce qui s'est passé. Le 7 octobre 2026, l'AP-HP a confirmé le vol de données d'identité de 1 015 patients. Les données proviennent d'un module du logiciel de commande des repas utilisé par 23 hôpitaux, après une intrusion dans le service en ligne qui permet aux patients de choisir leurs menus.
- Qui est concerné. Des patients hospitalisés dans l'un des 23 hôpitaux concernés. L'AP-HP poursuit ses investigations sur l'ensemble des données présentées comme issues de son système.
- Que faire :
- méfiez-vous des e-mails, SMS et appels qui citent cet incident ou se présentent au nom de l'organisation, surtout s'ils réclament un paiement, un code ou des coordonnées bancaires ;
- en cas de doute, ne cliquez pas : contactez l'organisation par son site ou son numéro officiel ;
- activez la double authentification sur vos comptes importants (messagerie, banque) ;
- un message qui cite votre séjour à l'hôpital pour réclamer un paiement ou des informations doit être vérifié auprès de l'AP-HP par ses canaux officiels ;
- surveillez vos comptes et relevés dans les semaines qui viennent ; en cas d'escroquerie, appuyez-vous sur cybermalveillance.gouv.fr.
Détail technique
Données concernées
Selon l'AP-HP : nom, prénom, informations relatives à la naissance et numéro d'identifiant patient interne. Compte tenu de la nature du logiciel, l'AP-HP indique qu'aucune donnée médicale directe ou indirecte, information administrative ou bancaire, ou coordonnée de contact ne serait concernée.
Périmètre
L'AP-HP a été informée le 24 septembre 2026 de la mise en vente des données. Le vol aurait eu lieu quelques jours avant ce signalement. Le module concerné est SRD Restauration, édité par Dedalus, utilisé par 23 hôpitaux de l'AP-HP. Les investigations se poursuivent sur l'ensemble des données revendiquées.
Mesures annoncées par l'organisation
Le module de service en ligne est fermé jusqu'à nouvel ordre. L'AP-HP et ses fournisseurs ont réinitialisé le mot de passe de tous les utilisateurs et corrigé les vulnérabilités suspectées. Des signalements ont été faits à la CNIL et à la cellule d'accompagnement en cybersécurité des structures de santé, et une plainte a été déposée dès le lendemain du signalement.
Ce qu'une équipe IT peut vérifier
- pour les établissements de santé, recensez les services en ligne ouverts aux patients (menus, rendez-vous, questionnaires) qui touchent un logiciel métier, et vérifiez leur exposition et leur authentification ;
- demandez à vos éditeurs l'état des correctifs sur les modules accessibles depuis Internet ;
- contrôlez que les comptes des professionnels sur ces logiciels annexes ne partagent pas les mots de passe du système principal.