Le 8 octobre 2026, l’AP-HP a confirmé le vol des données personnelles de 1 015 patients. L’intrusion visait le service en ligne lié au choix des repas, et non le système hospitalier central. Les informations exposées relèvent de l’identité, sans donnée médicale directe ou indirecte, selon l’établissement.
Le logiciel SRD, édité par Dedalus, était utilisé dans 23 hôpitaux. L’AP-HP a fermé le module visé, imposé une réinitialisation des mots de passe et alerté la CNIL. Une plainte a aussi été déposée. Les pirates affirment détenir davantage de données et des comptes de professionnels ; ces déclarations font toujours l’objet d’investigations.
Fuite de données à l’AP-HP : périmètre confirmé
L’AP-HP dit avoir appris, le 24 septembre 2026, la mise en vente d’informations liées à ses patients. Après enquête, l’établissement a confirmé le vol de données pour 1 015 personnes. Le périmètre déclaré concerne l’identité, les informations de naissance et un numéro interne. Les dossiers médicaux, les coordonnées et les données bancaires ne figurent pas parmi les catégories signalées.
Le service concerné aidait les patients à choisir leurs menus pendant leur séjour. La solution SRD de Dedalus était en place dans 23 hôpitaux de l’AP-HP. Le service de repas forme ici un point d’entrée distinct du système central. Cette séparation limite ce que les faits connus permettent d’affirmer sur les autres outils hospitaliers. Elle rappelle aussi que chaque application métier mérite un contrôle propre.
| Élément | Information confirmée |
|---|---|
| Personnes touchées | 1 015 patients |
| Données citées | Identité, naissance, numéro interne |
| Logiciel concerné | SRD, édité par Dedalus |
| Mesures annoncées | Fermeture du module, réinitialisation des mots de passe |
Cette affaire rejoint d’autres alertes sur le vol de données auprès d’organismes français, comme la fuite signalée à l’IFAPME. La comparaison ne prouve aucun lien entre les incidents. Elle montre toutefois que les services publics et leurs partenaires doivent surveiller leurs outils externes. Pour une direction, l’inventaire des logiciels connectés constitue un premier contrôle utile.
Logiciel de repas : les mesures après l’incident
L’AP-HP a fermé le module en ligne mis en cause, jusqu’à nouvel ordre. Elle a aussi exigé le changement des mots de passe pour l’ensemble des utilisateurs. Ces mesures réduisent les accès actifs, mais les investigations doivent établir la portée exacte du vol. L’établissement indique aussi avoir corrigé des failles de sécurité présumées.
Un signalement a été transmis à la CNIL, et la cellule d’appui cyber des structures de santé a été alertée. L’AP-HP a déposé plainte pour appuyer l’enquête. La réponse passe par plusieurs autorités, car l’incident touche la confidentialité et la vie privée. Les organisations qui gèrent des données de santé doivent aussi vérifier leurs obligations de notification et leurs procédures internes.
Les revendications publiées sur le forum évoquent un volume supérieur et des comptes de professionnels. L’AP-HP poursuit ses vérifications ; ces propos ne valent pas confirmation. Une revendication criminelle reste une piste, pas une preuve complète de compromission. Les entreprises doivent conserver cette distinction dans leurs communications, afin d’éviter une alerte excessive ou un silence injustifié.
Le guide de la CNIL sur les fuites de données aide les personnes à comprendre les gestes adaptés. Pour les équipes de sécurité informatique, la priorité consiste à vérifier les comptes, les journaux d’accès et les échanges avec le prestataire. La cybersécurité des services annexes doit figurer dans les revues de risques, au même titre que celle des applications centrales.
Pour les PME et ETI, le point opérationnel est clair : un outil spécialisé peut contenir des données utiles à une fraude ciblée. Il faut donc cartographier les accès tiers, limiter les droits et prévoir une procédure de coupure. Un contrôle des comptes prestataires permet aussi de repérer les accès dormants avant une crise.
