MyDr : la fuite de données menace les numéros PESEL de 18,8 millions de Polonais

Un des plus grands éditeurs polonais de dossiers médicaux électroniques a confirmé enquêter sur un incident de sécurité après que des pirates ont affirmé détenir près de 19 millions de numéros d'identification nationaux extraits de systèmes de santé. Si les chiffres se confirment, c'est près de la moitié de la population polonaise qui serait concernée.

Ce qui s'est passé

MyDr, l'un des principaux fournisseurs de logiciels de dossiers médicaux électroniques (DME) en Pologne, a annoncé début août enquêter sur un « incident de sécurité grave » touchant son réseau. La plateforme dessert des milliers d'établissements de santé polonais : cliniques, cabinets médicaux, pharmacies. Elle revendique le traitement de 3 millions de consultations et 2,7 millions d'ordonnances chaque mois — un volume qui donne la mesure de sa place dans l'écosystème de santé du pays.

Selon le média spécialisé Zaufana Trzecia Strona, relayé par DataBreaches.net, des acteurs malveillants ont contacté le journaliste Adam Haertle en amont de toute communication officielle pour revendiquer l'accès à 18 814 422 numéros PESEL uniques — l'équivalent polonais du numéro de sécurité sociale, utilisé pour l'identification fiscale, sociale et administrative de chaque citoyen. Le journaliste et les autorités compétentes ont été alertés dès le signalement initial, et MyDr a depuis confirmé publiquement l'ouverture d'une enquête.

À ce stade, ni le périmètre exact des données exfiltrées (données médicales associées, coordonnées, historiques de prescription) ni l'identité des auteurs n'ont été confirmés officiellement par l'éditeur. L'enquête, encore en cours, devra établir la réalité et l'étendue de la compromission au-delà des seules affirmations des attaquants.

Pourquoi c'est important

Le PESEL fonctionne en Pologne comme une clé d'identification quasi universelle : il est demandé pour ouvrir un compte bancaire, signer un contrat, s'inscrire à la sécurité sociale ou accéder à des services publics en ligne. Sa fuite à cette échelle expose les personnes concernées à un risque élevé d'usurpation d'identité et de fraude — un scénario que Leto a déjà documenté en France avec la fuite Almerys, où l'exposition de numéros de sécurité sociale avait fait basculer un incident de santé « classique » en risque de fraude identitaire massif.

Sur le plan réglementaire, l'affaire coche plusieurs cases sensibles du RGPD, même si MyDr opère hors de l'Union européenne au sens strict — la Pologne étant membre de l'UE, le règlement s'applique pleinement. Les données de santé relèvent des catégories particulières de l'article 9, qui leur impose un régime de protection renforcé. Si la compromission est confirmée, l'éditeur comme les établissements de santé clients devront évaluer leurs obligations de notification à l'autorité de contrôle polonaise (UODO) sous 72 heures, conformément à l'article 33.

L'incident illustre aussi, une fois de plus, le risque de la chaîne de sous-traitance en santé : les cliniques et cabinets médicaux polonais, responsables de traitement au sens du RGPD, dépendent d'un éditeur unique pour la gestion de millions de dossiers patients. Ce schéma — un sous-traitant technique qui devient le point de défaillance unique de centaines, voire de milliers de responsables de traitement — rappelle la fuite qui avait touché plusieurs hôpitaux allemands via un prestataire de facturation quelques mois plus tôt.

Ce que ça change pour les organisations

Pour les DPO et RSSI d'organisations de santé, français ou européens, cet épisode rappelle trois priorités concrètes. D'abord, cartographier précisément les sous-traitants qui hébergent ou traitent des données de santé, en particulier les éditeurs de logiciels métier (DME, gestion de cabinet, facturation) qui concentrent des volumes massifs de données sensibles issues de multiples clients — l'audit régulier de ces prestataires, prévu par l'article 28, n'est pas une formalité contractuelle mais une nécessité opérationnelle.

Ensuite, vérifier que les clauses contractuelles avec ces éditeurs prévoient une obligation d'alerte immédiate en cas d'incident de sécurité, avant même la confirmation de l'ampleur des faits — l'affaire MyDr montre que l'information peut d'abord circuler via des journalistes ou des acteurs malveillants avant toute communication officielle de l'éditeur.

Enfin, pour les responsables de traitement utilisateurs d'un tel logiciel, anticiper un plan de communication vers les personnes concernées en cas de confirmation de la fuite : au vu de la sensibilité des données de santé, l'obligation de communication individuelle de l'article 34 pourrait s'appliquer sans attendre l'issue complète de l'enquête technique.

Ce que Leto pense de cette décision

Cette affaire confirme une tendance que nous documentons régulièrement : les éditeurs de logiciels de santé sont devenus des cibles de choix précisément parce qu'ils concentrent, pour le compte de milliers de clients, des volumes de données que ne détiendrait jamais un seul établissement isolé. Le fait que l'alerte soit d'abord venue d'un journaliste contacté par les attaquants, plutôt que d'une communication proactive de l'éditeur, doit interpeller : la vitesse de détection et de communication reste le maillon faible de la réponse à incident dans le secteur de la santé, en Pologne comme ailleurs en Europe. Les DPO ont tout intérêt à ne pas attendre une confirmation officielle pour réévaluer leur dépendance à un fournisseur unique de dossiers médicaux électroniques.

Sources : DataBreaches.net, Zaufana Trzecia Strona