Un fichier contenant les informations de 500 000 patients a fuité sur Internet et fait la une des médias ces derniers jours. S'il contient très peu de données médicales, il recèle des dizaines de milliers de mots de passe, numéros de téléphones, adresses postales et e-mails... « en clair ».
La fuite de données de santé concernant près de 500 000 patients, révélée il y a quelques jours, n'est pas si « massive » que cela. Après l'avoir analysée, nous relevons qu'elle touche 27 laboratoires d'analyses biologiques « seulement » (si l'on ose dire), situés dans le quart nord-ouest de la France (dont environ 350 000 Bretons).
Ce fichier recèle très peu de données médicales. La base de données contient un peu plus de 150 catégories, dont une cinquantaine portant sur des données des patients. Les plus sensibles sont les noms (y compris de jeune fille voire de conjoint au besoin), prénoms, adresses postales et électroniques, numéros de sécurité sociale, de téléphones fixes et de portables, ainsi que l'identifiant et le mot de passe utilisés pour accéder aux analyses biologiques.
Les autres catégories de données concernent les médecins des patients, laboratoires où ils avaient été envoyés effectuer une analyse biologique, le « préleveur » qui s'était occupé d'eux, ainsi que leur tiers payant. On note d'ailleurs qu'une bonne partie de ces catégories ne sont tout simplement pas renseignées dans le fichier.
Nous ainsi avons comptabilisé 489 838 numéros de sécurité sociale (ou NIR) et 478 882 personnes identifiées par leurs noms de famille, dont 268 983 femmes, 195 828 hommes, 13 478 qualifiées d'« enfant », 425 de « bébé » et 265 de « sœur ».
160 000 portables, 55 000 emails, 15 000 mots de passe
La base de données dénombre 270 569 numéros de téléphone fixe et 159 591 portables. À titre de comparaison, les 16 590 médecins fichés sont associés à 14 928 numéros de téléphones fixes et 1 971 portables. Le fichier répertorie également 55 738 adresses email uniques de patients et 337 de médecins.
Dans le « top 10 » des domaines les plus présents que nous avons reconstitués, on trouve :
- 15 385 @gmail.com
- 14 418 @orange.fr
- 6 040 @hotmail.fr
- 5 579 @wanadoo.fr
- 3 530 @yahoo.fr
- 2 082 @sfr.fr
- 1 601 @hotmail.com
- 1 576 @free.fr
- 1 074 @live.fr
- 6 489 autres domaines
Mais 11,4 % seulement des patients dont des données ont fuité ont vu leur adresse email divulguée. Le fichier contient néanmoins des mots de passe, pour 14 997 d'entre eux (3 %), associés à leur « identifiant SR » (pour serveur de résultat, le site où ils étaient invités à récupérer les résultats de leurs analyses biologiques).
Comme on pouvait s'y attendre, nombreux sont les patients à utiliser des mots de passe similaires. Nous en avons décompté 11 443 uniques. À défaut de constituer un « échantillon représentatif » de la population, le fait qu'ils aient été utilisés par des personnes de tous âges et de toutes origines sociales dresse un aperçu instructif.
Sans surprise, on retrouve en effet le traditionnel et célèbre « azertyuiop », et 27 de ses déclinaisons (de type azerty1, AZERTY2, azerty22 ou encore azertAZERT). La base de données émanant pour la plupart de laboratoires bretons, y figurent également nombre de déclinaisons de breizh ou de Bretagne.
Abr1bu$, M0u$71qu3, P4T0uch3
Pour l'essentiel, on pourrait les diviser en cinq catégories sur-représentées (les mots de passe qui suivent ont tous été modifiés de sorte d'en refléter la structure sans risque de compromettre ceux qui figurent dans le fichier) :
- Déclinaisons de dates : 01071981, 03sept69, 02.juju.19, 11septem, 11onzonz, 1948pierre ;
- Déclinaisons de prénoms, que l'on retrouve à foison : albert1, albert2, albert3, etc. ;
- Phrases ou expressions concaténées : jesuisgent, jesuismala, Je+suis+ne, jevaisbien, Jevisarenn, jevousaime, louisdefun, monmariage, Mot2passe, motdepasse, Pluscompli, prisedesan... et sans que l'on comprenne si la limitation à 10 caractères correspond à une « fonctionnalité » du logiciel, ou pas ;
- Combinaisons alphanumériques : 16abcdef, 13juju13, 17groseill, 1807mamie, 19gin19gin, 33COUcou, 44Loulou, 4896merde, belle2jour, bebe2019, faitchier9, mes3taupes, mes4loulou, mes5CHATS, mesamours3, mesange22, MesEnfant2, moncoeur21 ;
- Mots « augmentés » ou réécrits en leet speak : 3615Ulla, 37uD!4nt3$, Abr1bu$, bibi21CM, faitBeau?!., france1998, geishadu35, chiennedu22, idylle29, loverboy69, M0u$71qu3, P4T0uch3, rep0rt4g3, Rock1Rol.
On y trouve quelques récurrences étonnantes dans les mots les plus utilisés. Nous avons ainsi dénombré :
- 2 déclinaisons de bibiche, bichon, bidule, bidouille, cacahuete, cracotte, crapaud, framboise, frimousse, frisette, lapin, lapinou, mirador, nana, petitcoeur et toutouille,
- 3 de bichette, cactus, caline, calimero, cochon, diabolo, foufoune, grenouille, Looping, mama, maman, nounours et rocky,
- 4 de bonheur, cookie, espoir, ninouche, pompier, praline, reglisse, romeo, rose et tartine,
- 5 de bonjour, boubou, chaton, choupette, snoopy et tintin,
- 6 de cachou, chocolat, lamotte et pupuce,
- 7 de biscotte, chipie, chouchou, jetaime et minouche,
- 8 de canelle et mamour,
- 10 de noisette et princesse,
- 11 de louloute et soleil,
- 12 de doudou et gribouille,
- 16 de caramel,
- et 26 de loulou.
On trouve également plus de 4 300 mots de passe de type 124578AA, 124578AB, 124578AC, etc., itération laissant supposer qu'un ou plusieurs laboratoires auraient attribué un seul et même mot de passe à plusieurs patients (les identifiants, eux, étant différents). Un même mot de passe avait ainsi été attribué à plus de 800 patients différents.
L'analyse de ces mots de passe montre à tout le moins que les recommandations, en la matière, n'ont toujours pas franchi le plafond de verre et qu'il reste encore beaucoup à faire.
Un fichier « testé » en... mai 2018
Signe que la base de données repose sur un vieux logiciel, on y trouve une catégorie « Consultation Minitel ». Un indice révèle qu'il s'agirait vraisemblablement du logiciel Mega-Bus, comme l'avait reconnu son éditeur, Dedalus France. On y retrouve en effet l'identifiant d'un patient intitulé « TESTMK65535 », associée à une adresse e-mail @mega-bus.com utilisée par un employé de la société, horodaté le 3 mai 2018.
La rubrique « dernière visite » (chez le médecin) montre que le fichier a probablement lui aussi commencé à être renseigné à partir de 2018. Elle dénombre en effet 2 411 rendez-vous datant de 2015, 2 686 de 2016, 60 731 de 2017, mais 200 362 pour l'année 2018, 217 896 en 2019.
Seuls 7 780 rendez-vous datent de 2020, le dernier du 10 octobre, sans que l'on puisse vérifier si cette volumétrie en recul s'expliquerait par les effets du confinement, et/ou par un abandon croissant de Mega-Bus par les laboratoires.
Notre analyse montre une moyenne de 200 occurrences mensuelles pour les années 2015 et 2016, de 4 000 à 7 000 de janvier 2017 à mai 2018, puis de 17 000 à 28 000 de juin 2018 à fin 2019, laissant supposer que le déploiement du logiciel aurait bel et bien en lieu en mai 2018 :
Cette date est importante, d'une part parce que l'on sait depuis 1999 que les mots de passe doivent non seulement être hashés et salés, mais également sécurisés au moyen d'une fonction cryptographique, avec l'objectif d'enrayer toute compromission, même si la base de données a fuité.
La CNIL a, à ce titre, publié près d'une cinquantaine de délibérations rappelant, depuis 2013, que « les mots de passe ne doivent pas être stockés en clair en base de données » et qu'elle « recommande ainsi d’appliquer la fonction de hachage HMAC à clé secrète ».
Le RGPD, adopté en avril 2016, est précisément entré en application en ce mois de mai 2018. En faisant le choix de recourir, à ce moment-là, à un logiciel ne sécurisant pas l'accès aux mots de passe, les responsables des traitements de données, tout comme le fournisseur du logiciel, ne respectaient pas le RGPD.
Ce dernier dispose en effet que les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée ». Il précise également que le montant des amendes administratives est doublé (20 millions, 4 % du C.A.) dans certains cas particuliers, touchant par exemple aux principes relatifs au traitement des données à caractère personnel ou aux données sensibles.
Un des principaux logiciels de gestion des labos privés
L'Agence nationale de la sécurité des systèmes d'informations (ANSSI) a indiqué à l'AFP avoir identifié l'« origine » de la fuite des données de santé, et l'avoir signalée au Ministère des Solidarités et de la Santé en novembre 2020.
« Les recommandations nécessaires ont été données par l'ANSSI pour traiter l'incident », a-t-elle ajouté sans donner aucun détail supplémentaire. « Présent au travers de son logiciel StarLab dans 400 laboratoires, Mega-Bus compte parmi les trois principaux éditeurs de logiciels de gestion pour les laboratoires privés d′analyse médicale en France », précisait un communiqué publié à l'occasion de son rachat en 2009. « A ce titre, cette société dispose d′une connaissance approfondie des spécificités liées aux besoins du secteur privé ».
Son acquéreur, Medasys (depuis été rachetée par Dedalus France) était pour sa part présenté comme jouissant « d′une position de leader national dans les domaines du dossier médical du patient et de la production de soins ». Dans un communiqué laconique, l'entreprise vient d'expliquer que « face à la gravité des sujets évoqués, Dedalus France est pleinement mobilisé et une enquête approfondie est en cours avec le support d’une équipe d’experts indépendants ».
À Libération, l'entreprise avait émis l'hypothèse d'une fuite au moment des transferts vers les nouveaux logiciels, ou bien des problèmes de sécurisation des réseaux des laboratoires, se dédouanant au passage, sans mentionner le fait que les données n'auraient donc pas été chiffrées par son logiciel.
L’an passé, nous avions révélé que ce « leader européen en matière de solutions logicielles de Santé » avait licencié un lanceur d'alerte pour « fautes graves ». Il avait prévenu les autorités de ces problèmes de sécurité et découvert que « n'importe qui pouvait accéder à l'extranet, depuis le web. Ce qui permettait notamment d'accéder aux tickets ouverts par les hôpitaux et laboratoires clients ».
On devrait en apprendre plus d'ici peu. La Commission nationale Informatique et Libertés a en effet lancé mercredi des contrôles pour établir les manquements responsables de la fuite. Si l'ampleur de la fuite était vérifiée, l'affaire présenterait « une gravité particulière » au regard du nombre de victimes et de la sensibilité des informations médicales diffusées, a estimé Louis Dutheillet de Lamothe, secrétaire général de la CNIL.
Évoquant « une violation de données d’une ampleur et d’une gravité particulièrement importante », le gardien des données personnelles rappelle qu'il incombe aux organismes concernés de procéder à une notification auprès de la CNIL, dans les 72 heures. Mais également qu'ils ont en outre l’obligation d’informer individuellement les personnes concernées du fait que leurs données ont été compromises et publiées en ligne.
La section cybercriminalité du parquet de Paris a elle aussi ouvert une enquête mercredi, confiée à l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC). « On peut retrouver ce fichier à 7 endroits différents sur internet », explique Damien Bancal, journaliste spécialiste de la cybersécurité, qui avait le premier identifié la fuite le 14 février sur son site Zataz.
Commentaires (48)
#1
bibi21cm… Juste 😂
#1.1
Je suis pas le seul à l’avoir vu celui-là!
#2
Les mots de passe n’étaient pas chiffrés !? Ils étaient en clair ??!! O__O
#3
jesuisgent, jesuismala, Je+suis+ne, jevaisbien, Jevisarenn, jevousaime, louisdefun, monmariage, Mot2passe, motdepasse, Pluscompli, prisedesan
J’ai cru que c’était des fautes à la fin de certains mais on dirait que tous les mots de passe font 10 caractères maximum
#3.1
Ou alors seuls les dix premiers caractères sont stockés et comparés. J’ai vu un site qui fonctionnait comme ça il y a longtemps.
#4
Je suis surpris que les mots de passes se doivent d’être chiffrés. À ma connaissance, aucune recommandation ne va dans ce sens. En revanche, le hashage de mots de passes, idéalement avec un sel spécifique à chaque utilisateur, afin d’éviter la reconnaissance de mots de passes identiques au sein même de la base de données, est en effet une recommandation systématique.
#5
Comme indiqué, je faisais référence à bcrypt, une fonction de hachage basée sur l’algorithme de chiffrement Blowfish : https://fr.wikipedia.org/wiki/Bcrypt
#5.1
Je suis d’accord avec NovemberMike et Sans intérêt, je ne comprend pas l’intérêt du chiffrage sur un mot de passe hashé et salé. A moins que cela ne concerne pas le mot de passe mais le reste des données ?
#5.2
De ce que je comprends, c’est le cadre rgpd niveau données de santé qui demande que les infos de la base concernant les infos personnelles soient en tout point cryptées.
Donc le mot de passe hash est dans la base perso. Donc il se voit crypté avec l’ensemble.
#5.3
Précision utile: bcrypt n’est plus vraiment recommandé pour stocker les mots de passe. L’idéal est d’utiliser argon2 ou scrypt qui présentent l’avantage de permettre un paramétrage temps/mémoire pour lutter contre le brute-force avec GPU/FPGA/ASIC.
#6
Si tu savais le nombre de (souvent vieilles et dépassées) boites qui considèrent leur plateforme “sécurisée” par ce que personne d’extérieur n’est sensé connaître les urls des API critiques… Oui, ça fait bizarre quand le mec de la sécu te dit ça ^^. Pas de mot de passe, c’est open-bar, mais bon, il faudrait connaître l’IP et toute l’url, rholala ça n’arrivera jamais.
Le logiciel équipant une grande partie des offices hlm (OPAC, OPH) en faisait parti, par ex. La boite n’existe plus, mais pendant des années il y avait donc une énoooorme voie d’accès aux données, et pas de moyen de savoir si qqun s’était introduit dans le système.
#7
3615Ulla ^^
Mais bon, ça fait peine à voir toutes ces données en clair.
Merci pour l’analyse, vachement intéressant à lire :)
#8
Quelle horreur cette non sécurité totale…
Quand on voit des sociétés comme ça vendre des logiciels à des non-professionnels de l’informatique et dans des domaines ultra critiques, puis essayer de se dédouaner de toute responsabilité, c’est affligeant, ils n’ont aucun scrupule !
Je leur souhaite de perdre un maximum de clients suite à cette affaire lamentable.
#8.1
Merci de penser aux employés de cette société qui c’est le cas perdront leur taf (je parle de la perte des clients)
#8.3
Si c’est pour retrouver du taf dans une boite qui ne prend pas la sécurité à la légère, ils y gagneront.
#8.5
bof ces même employé ont bossé comme de la bouse de vache et ont codé avec le cul (pour ceux qui ont la réf :) ). Ca remettra en question leur habitude de travail :), par la force
#8.6
ca les fera réfléchir a 2 fois avant de coder avec le cul ( pour ceux qui ont la ref :) ), j’espere que la cnil va leur mettre 5% du CA en amende pour les réveiller un peu. et faire un exemple.
Sinon le nombre de feuille que je signe au labo/hôpital pou les autoriser a stocker mes données de manière sécurisé, disent ils …
#8.2
Daedalus a racheté la plus part des logiciels de labo donc aucune chance de perdre des clients et de toute façon y’a pas un logiciel pour rattraper l’autre et de ce que j’ai vu c’est pas bien mieux côté hospitalier. juste qlq exemple, même mot de passe root sur tous les serveurs quelque soit le client, idem pour les comptes admin utilisés par les équipes support, surtout ne jamais faire de mise à jour OS parce qu’on sait jamais on risque de casser qlq chose dans le soft, des api qui permettent une fois qu’on a l’url de faire des requêtes sans être authentifiés, je m’arrête là je voudrai pas faire peur à tout le monde…
#8.4
Si tu penses (à tort) que c’est mieux ailleurs, alors oui, c’est une bonne chose que les clients partent à la concurrence.
Sinon on peut imaginer que maintenant qu’ils ont été pris la main dans le sac, ils vont faire le nécessaire pour ne pas que ça se reproduise, pendant que les autres continueront de jouer avec le feu de la même manière jusqu’à ce que, eux aussi, se fassent prendre.
#9
Je me suis dit la même chose que Sans intérêt, le “mais également” m’évoque des opérations séparées.
#9.1
Pour lever le doute, j’ai modifié le passage pour remplacer “mais également chiffrés” par “mais également au moyen d’une fonction cryptographique” qui, je l’espère, serait plus clair :
https://fr.wikipedia.org/wiki/Fonction_de_hachage_cryptographique
#9.2
Ah oui, c’est bien mieux comme cela, merci !
#10
Comment savoir si on est concerné par la fuite ?
#10.1
Un site a mis en ligne la possibilité de vérifier si le numéro de SS figure dans la fichier incriminé. Je ne me souviens pas de quel site il s’agit.
#11
En tout cas je suis éberlué de la légèreté avec laquelle l’éditeur a osé déployer le logiciel. Hallucinant.
Je veux bien (en fait non) qu’on investisse rien en sécurité des systèmes dans une boîte privée “so greedy” et en situation locale monopolistique. Mais. Un moment les dev ils réfléchissent jamais en 2018 vis à vis de l’actualité quand ils déploient des mises à jour ?
Ou alors y a jamais de maj ?!
#11.1
Dans ma collectivité, on a des logiciels remplis de données personnelles, dont l’accès à certaines pages d’administration se fait via une simple URL sans mdp. Tout le monde le sait mais pour autant on ne changera pas de logiciel.
On a même été obligé de payer un devis 40k€ (oui d’argent publique) pour migrer la base technique d’un logiciel pour continuer à recevoir les mises à jours indispensable. Mais comme c’est trop compliqué de remonter un marché publique et de changer de logiciel, et que la migration des données couterait probablement plus chère, ça reste comme ça….
#12
Heu, dis moi, tu crois encore que c’est les devs qui décident ce genre de chose ? Le chef de produit s’en tape car ça ne se voit pas, le commercial aussi car c’est pas un argument et ça ne se vend pas et le chef de projet en a bien conscience et remonte des warnings que sa direction mettra consciencieusement de côté car c’est un coût qui n’est pas prioritaire par rapport aux autres fonctionnalités. Quand au dev, ben, il fait ce qu’on lui demande, et pis c’est tout !
#12.1
Je dis ce que j’ai dis à dessein. Evidemment que le PM/PO, l’AMOA et consort avait l’air de s’en contreficher de tout ça. Et les dev exécutent le plan de marche sinon c’est la porte. D’ailleurs je serai pas étonné que les dits dev soient des externes avec turn-over.
Je travaille pas dans l’IT mais dans ma boite c’était le cas. Les projets étaient montés par les internes mais développés par des externes en majeure partie. Et là c’est compliqué de faire faire du bon travail quand l’objectif de l’externe c’est essentiellement son contrat, la mission, le résultat et que le résultat (pas de créativité quoi).
Maintenant, j’ai espoir qu’à l’identique du développeur web de 28 ans employé par Dedalus France, et malheureusement licencié, il y ait des dev qui élèvent la voix en groupe. L’espoir fait vivre ; i know
#13
Petit rappel sur les sites qui utilisent les données du fichier pour vérifier que vous en faites parti ou non :
Merci donc de ne pas partager de lien ici
#13.1
en tant que journaliste vous pouvez la telecharger pour etude je pense, mais nous
on fait comment ? même si on n’est pas breton …
#13.2
La société de cybersécurité rennaise ACCEIS propose un outil pour vérifier à partir de son numéro de sécu, ce n’est pas légal ?
#13.3
Vous avez donc obtenu le fichier légalement, afin de nous proposer toutes ces stats ? ^^
#14
Ce serait bien que quelqu’un qui a accès aux données les envoie à Have I Been Pwned.
#14.1
Cela ne sera hélas pas probant pour permettre aux victimes de s’identifier. En effet, de ce que j’ai pu obtenir comme info, seulement une minorité des 500.000 lignes (moins de 15%) contiennent une adresse email (alors qu’il y a tous pleins d’autres données à caractère personnel, à commencer par le numéro de sécurité sociale et les principales caractéristiques de son porteur).
Pour ce qui est des identifiants et mot de passe d’accès distant, la proportion est également faible et l’identifiant n’est pas une adresse email.
La seule, juste et correcte manière à mon sens de procéder à l’identification et à la notification des personnes concernées par cette fuite de données est de prendre l’identifiant NIR et de faire cette alerte via les informations de contact de l’assurance maladie … autant dire que ce n’est pas prêt d’arriver :/
#15
Ils ont au moins les hashes des numéros de sécu (c’est comme ça qu’ils font la vérification) donc à moins de ne pas avoir généré les hashes eux-mêmes ils ont eu accès au minimum aux numéros de sécu. C’est au mieux très glissant.
D’autant plus que ça veut dire que si tu connais le numéro de sécu d’un tiers tu peux également le vérifier, ce qui est au moins un minimum problématique côté confidentialité.
#16
Même pas parapluie en mots de passe, déçu.
#17
Rahalala ces préjugés…
Les bretons ne savent pas ce qu’est un parapluie, il y a beaucoup trop de vent pour pouvoir en utiliser…
#17.1
Merci de m’y faire penser au breton, mais c’était plutôt une référence à une série sf.
#18
L’objectif ne serait pas vraiment d’alerter les victimes mais plutôt d’intégrer les 11 000 mots de passe dans la base de données « Pwned Passwords » qui est utilisée par plein de services tiers pour détecter les tentatives d’utilisation de mots de passe fuités.
#19
Sweet Jesus
#20
ça me dit vaguement qqch, mais pas moyen de savoir quoi, c’était quoi la référence du coup stp ?
#20.1
Babylon 5 , Garibaldi. Saison 3 épisode 11 à la 12 minutes environs.
#21
bcrypt est basée sur Blowfish, mais à ma connaissance, bcrypt n’est qu’une fonction de hashage, certes, cryptographiquement fiable, et issue d’un algorthme de chffrement, mais ce n’est pas du chiffrement pour autant, à moins que, à l’instar de Blowfish, on peut la déchiffrer ou décrypter, ce qui, à ma connaissance, quels que soient les moyens, n’est pas le cas, comme toutes les fonctions de hashage par ailleurs.
Bon, qu’importe, je pinaille.
#22
ah
bon
ben j’ai du lire un commentaire quelque part qui avait la même référence alors, vu que j’ai jamais eu l’occasion de regarder Babylon 5 :s (mais les annonces me donnaient envie, juste pas eu l’occasion, plus qu’a rajouter ça à la liste des séries qu’il faudrait que je rattrape … un jour …)
en tout cas belle précision
#22.1
Regarder plusieurs fois certains épisodes.