Des données confidentielles du CHU de Rennes ont été mises en ligne, selon un expert informatique. Plusieurs membres du personnel du CHU ont également été contactés par des pirates informatiques.
Un mois après le piratage du système informatique du CHU de Rennes, des données ont été mises en ligne par un le groupe de cybercriminels Bianlian. Les dossiers publiés ont été repérés par un hackeur étique Clément Domingo (alias SaxX) qui a donné l’alerte. Interrogé par France 2, il a déclaré : « Cette nuit, j'ai découvert que les données du CHU de Rennes étaient publiées. » Au total, 300 Go de données ont été mis en ligne regroupant des données financières, des données de patients et sur le personnel. « À date, même si rien ne permet d'affirmer qu'il y ait un rapport entre la #cyberattaque avortée que le #ChuDeRennes a subi il y a quelques semaines et cette publication, la prudence est de mise. », a écrit Clément Domingo.
Les pirates ont contacté du personnel
Conscient d’une fuite potentiellement importante, le CHU de Rennes avait déclaré dans un communiqué publié le 12 juillet dernier que : « Malgré la détection précoce de l’attaque et l’arrêt rapide de sa propagation, les investigations immédiatement mises en œuvre ont révélé un accès illégitime, par des personnes non autorisées, à des données à caractère personnel relatives aux patients et aux usagers du CHU de Rennes. » L’établissement avait indiqué que des données de santé pouvaient potentiellement être concernées et associées à une identité. La fuite concernait le Centre de Soins Dentaires (CSD), des salles techniques de cardiologie et des laboratoires de l’établissement.
Dans le même temps, le samedi 29 juillet, une trentaine de professionnels du CHU ont reçu des courriels des pirates les menaçant « d’une diffusion sur le darkweb, de tout ou partie des données ayant fait l’objet d’une exfiltration illégitime lors de la cyberattaque intervenue le 21 juin dernier », a indiqué la direction de l’hôpital. Celle-ci a contacté les autorités et a enjoint les employés contactés à ne pas répondre et à contacter les équipes de cybersécurité. Une plainte a été déposée, et une enquête est en cours. La Commission nationale de l’informatique et des libertés (CNIL) a quant à elle été notifiée.
