Une plateforme de commande en ligne des documents de prévention de Santé publique France, hébergée par un prestataire externe, a été piratée. Environ 80 000 données de contact sont concernées. L'agence précise qu'aucune donnée de santé n'a été exposée. L'incident illustre une nouvelle fois la fragilité de la chaîne des prestataires — un enjeu majeur pour les entreprises, quelle que soit leur taille.
Santé publique France (SpF) a confirmé ce jeudi qu'une plateforme hébergée par l'un de ses prestataires a été victime d'une cyberattaque. Selon l'agence, les données de contact de près de 80 000 personnes sont concernées.
La plateforme visée est un site de commande en ligne des documents associés aux campagnes de prévention de SpF (dépliants, affiches, brochures). Elle est « complètement indépendante des autres sites de l'agence », précise l'organisme dans sa communication.
Pas de données de santé exposées
Contrairement à ce que le nom de l'agence pourrait laisser craindre, aucune donnée de santé n'est présente dans la fuite. Le site piraté ne traite que des commandes de brochures : les informations exposées se limitent à des coordonnées de contact — noms, adresses e-mail, adresses postales professionnelles, éventuellement numéros de téléphone — utilisées pour l'envoi des documents.
Ce périmètre limité reste néanmoins exploitable par des acteurs malveillants : ces données permettent de bâtir des campagnes de phishing crédibles, en particulier ciblées sur des professionnels de santé, des associations et des collectivités qui commandent régulièrement ce type de supports.
À lire également : Cyberattaque à la DGFIP ? Les données fiscales de 678 000 Français seraient exposées, l'administration ne confirme pas — le même jour, une seconde alerte de fuite de données, cette fois d'une ampleur bien supérieure et sur des données autrement plus sensibles.
La leçon : le maillon faible, c'est souvent le prestataire
Cet incident illustre un point qui devrait alerter tout dirigeant d'entreprise : dans la grande majorité des cyberattaques récentes touchant des institutions ou de grandes structures, le point d'entrée n'est pas l'organisation elle-même, mais l'un de ses prestataires — hébergeur, sous-traitant, plateforme externalisée.
Les entreprises réunionnaises sont concernées au même titre que les autres : quelques réflexes utiles à intégrer dans les relations avec vos prestataires numériques :
- Exiger, au moment de la contractualisation, une clause de notification obligatoire en cas d'incident de sécurité, avec un délai maximal (72 h aligné sur le RGPD est la référence) ;
- Vérifier les certifications du prestataire (HDS pour la santé, SecNumCloud pour les données sensibles, ISO 27001 pour le SMSI) ;
- Cartographier quelles données sont réellement traitées par le prestataire et où elles sont hébergées ;
- Prévoir une procédure de communication vers vos propres clients ou fournisseurs si un prestataire vous notifie une fuite ;
- Ne pas concentrer toutes vos données sur un unique prestataire quand une segmentation est possible.
Réflexe post-fuite
Les personnes concernées par cette fuite recevront normalement une notification individuelle de Santé publique France dans les prochains jours, conformément aux obligations du RGPD. En attendant :
- Se méfier de tout e-mail ou SMS se présentant comme émanant de Santé publique France, de l'ARS, du Ministère de la Santé ou d'un organisme de prévention ;
- Ne cliquer sur aucun lien reçu par ces canaux dans les prochaines semaines sans vérification indépendante ;
- Signaler tout message suspect à la plateforme Pharos ou via cybermalveillance.gouv.fr.
La vigilance vaut aussi pour les professionnels et associations qui commandent régulièrement des supports SpF : ils sont les plus susceptibles d'être ciblés par des faux e-mails imitant l'agence.
8 commentaires
Moi mes élèves me donnent leur mail et leur numéro pour les réservations de sessions, c'est tout géré sur une appli de booking que mon associé a choisie on sait même pas où ça tourne. Après cet article j'vais quand même lui poser la question.
@Roselyne, à la coopé on passe par des plateformes numériques pour les aides PAC, les déclarations de surface, tout ça, et on sait même pas qui héberge nos données derrière. On fait confiance comme on fait confiance à la pluie en saison.
Dans le fret on a des prestataires à Maurice, à Madagascar, à Chennai, et croyez-moi personne te demande jamais leur politique de cybersécurité avant de leur confier les manifestes de cargaison ou les données de tes clients importateurs. On parle de documents qui ont une vraie valeur commerciale, pas juste des brochures. Le jour où ça fuite sur une liaison Réunion-Inde, ça sera pas 80 000 coordonnées, ça sera des contrats entiers qui se retrouveront chez la concurrence.
Franchement je vois pas trop le rapport avec ma parcelle de salades et mes tomates cerise, mais bon, le marché de Sainte-Suzanne le samedi je prends les commandes par message et j'ai jamais pensé que ça pouvait poser problème. Lé bon pour les grandes structures tout ça, mais i fo que quelqu'un explique ça simplement aux petits comme nous.
On commande parfois des brochures sur la prévention des maladies des plantes ou les aides, je sais même pas si ça passe par ce genre de site. Mais si nos adresses traînent quelque part sur un serveur qu'on ne connaît pas, ça fait un peu peur quand même.
Dans le BTP on sous-traite tout le temps, les études de sol, la compta, la paye, et personne te demande jamais si leur système est sécurisé. On signe, on paie, et basta. Cet article tombe bien parce que la semaine dernière un de mes fournisseurs m'a envoyé un mail bizarre avec un lien, j'ai failli cliquer. Si les grandes agences de l'État se font avoir par leurs propres prestataires, on est tous dans le même bateau.
Même pour coiffer à domicile j'ai un petit fichier clients sur mon téléphone, et là je me dis que si y'a une appli qui se fait pirater j'aurais l'air de quoi. Bon c'est pas tout à fait pareil que 80 000 données hein, mais quand même, ça fait réfléchir.
Ce qui me frappe dans cet incident, c'est la question de la responsabilité contractuelle. Les grandes institutions externalisent de plus en plus, mais elles ont tendance à oublier que la responsabilité vis-à-vis des personnes dont elles traitent les données ne s'externalise pas avec le prestataire. Le RGPD est pourtant clair là-dessus. La vraie question pour les dirigeants réunionnais : avez-vous déjà relu vos contrats prestataires sous cet angle ? Je suis prêt à parier que la majorité des PME locales n'ont aucune clause de notification d'incident dans leurs conventions d'hébergement.