Ransomware DeadLock : dix ans de dossiers médicaux espagnols de Diater menacés de double extorsion

Le laboratoire biopharmaceutique espagnol Diater, basé à Madrid, vient d'apparaître sur la liste des victimes publiée par le groupe de ransomware DeadLock. En jeu : des dossiers médicaux de patients et de professionnels de santé conservés depuis une décennie. L'affaire se déroule en Espagne, mais elle dit quelque chose d'universel sur la manière dont les DPO et RSSI français, belges et luxembourgeois doivent désormais traiter les revendications de groupes de ransomware, même avant toute confirmation officielle.

Ce qui s'est passé

Diater, fondé à Madrid en 1999, gère des informations particulièrement sensibles de patients et de professionnels de santé. Le groupe DeadLock, détecté mi-2025 et associé à des acteurs russophones, revendique l'intrusion sur son site de fuite du dark web. Le mode opératoire est classique de la double extorsion : chiffrement des systèmes (fichiers renommés avec l'extension .dlock) et exfiltration préalable des données pour faire pression sur la victime.

Les attaquants affirment avoir obtenu des répertoires de dossiers utilisateurs, des documents, des fichiers qualité (QM) ainsi que du matériel lié à EDICOM, une plateforme espagnole largement utilisée pour la facturation électronique et l'échange de données dématérialisées. À ce stade, ni le montant de la rançon exigée, ni la date exacte de l'intrusion, ni un inventaire définitif des données extraites n'ont été communiqués. Les seuls éléments disponibles proviennent des revendications des attaquants, relayées par la presse spécialisée.

Pourquoi c'est important

Cette absence de confirmation officielle est précisément ce qui rend le cas instructif. Une violation de données personnelles au sens du RGPD n'attend pas une preuve définitive pour exister : dès qu'un responsable de traitement a connaissance d'éléments crédibles indiquant une atteinte probable, le délai de 72 heures prévu par l'article 33 du RGPD commence à courir. Un simple listing sur un site de fuite, même non vérifié dans le détail, constitue un signal qui doit déclencher une évaluation interne immédiate — pas une attente de clarification.

Le secteur de la santé aggrave l'enjeu. Les données concernées relèvent de l'article 9 du RGPD, la catégorie la plus protégée du règlement, comme le rappelle notre guide RGPD et santé. Un dossier médical conservé dix ans, exposé par ricochet via une faille de sécurité, expose l'organisation à des conséquences bien plus lourdes qu'une fuite de données commerciales classiques : risque de discrimination, de chantage, ou de réidentification des patients.

Autre signal à ne pas négliger : la mention d'EDICOM. Que l'exposition touche uniquement les systèmes propres de Diater ou qu'elle implique une intégration avec une plateforme tierce de facturation électronique reste à clarifier — mais l'hypothèse d'un risque de chaîne d'approvisionnement rappelle un schéma déjà documenté outre-Rhin, où une fuite chez un prestataire de facturation médicale a exposé plusieurs hôpitaux allemands. Le maillon faible n'est pas toujours l'organisation elle-même, mais l'un de ses sous-traitants.

Ce que ça change pour les organisations

Pour les DPO et RSSI de PME et ETI du secteur santé, trois réflexes s'imposent. D'abord, cartographier précisément les plateformes d'échange de données et de facturation électronique utilisées par l'organisation et ses prestataires, à l'image de la méthodologie décrite dans notre guide d'audit des sous-traitants : qui héberge quoi, avec quelles clauses de notification en cas d'incident. Ensuite, préparer à l'avance des modèles de communication article 33 et 34, pour ne pas perdre de temps précieux si un cas similaire survient en interne. Enfin, ne pas confondre absence de confirmation et absence de risque : le principe de précaution s'applique dès la revendication d'un groupe de ransomware, quitte à documenter une analyse d'impact qui conclut, in fine, à l'absence de violation avérée.

Sur le plan technique, ce type d'attaque rappelle aussi l'intérêt de revoir régulièrement ses fondamentaux, détaillés dans notre guide sur les ransomwares : segmentation des sauvegardes, détection précoce de l'exfiltration, et tests réguliers du plan de réponse à incident.

Ce que Leto pense de cette décision

Ce dossier illustre un biais fréquent chez les organisations : attendre une confirmation « propre » avant de déclencher leur procédure interne de gestion des violations. C'est une erreur de méthode. Le RGPD raisonne en probabilité de risque, pas en certitude judiciaire. Un listing sur un site de fuite doit être traité comme n'importe quelle alerte de sécurité crédible : on ouvre un dossier, on évalue, on documente — y compris pour conclure, si les faits le permettent, qu'aucune notification n'est nécessaire. Le vrai risque juridique n'est pas de sur-réagir à une revendication qui se révèle exagérée, mais de laisser s'écouler des jours précieux en attendant une clarté qui, dans ce genre d'affaire, n'arrive souvent jamais complètement.

Sources : DataBreaches.net, APD Noticias