Si votre généraliste ou votre dentiste gère ses rendez-vous avec 1001RDV, sachez que des pirates affirment avoir copié les coordonnées, le numéro de Sécurité sociale et l’historique des rendez-vous de plus de neuf millions de patients de ce service. Mais à l'heure où on vous écrit cet article, personne, de la plateforme et son éditeur n'a confirmé l’intrusion.
Moins connu que Doctolib, 1001RDV vous permet de trouver un médecin ou un dentiste et de réserver un créneau sur Internet ou par téléphone. L’entreprise française Logicielnet fournit aussi aux cabinets des rappels par SMS et une messagerie pour échanger avec leurs patients. Selon FrenchBreaches, des pirates disent avoir pris le contrôle de serveurs liés à Logicielnet et récupéré 22,7 Go de fichiers. Dans le fichier des patients, ils annoncent 9 016 504 lignes, avec pour chacune un nom, une adresse et un numéro de Sécurité sociale. Et ce numéro, vous ne pourrez jamais le changer.
Les pirates annoncent 290 millions de rendez-vous et 35 millions de messages
Dans leur annonce, les pirates disent détenir environ 290 millions de lignes liées à des rendez-vous, ce qui ne correspond pas à 290 millions de patients différents. Ils mentionnent en outre quelque 35 millions de messages échangés entre des patients et leurs cabinets, et environ 10 millions de journaux d’appels téléphoniques. Côté professionnels, ils citent des comptes du personnel des cabinets, des identifiants et des mots de passe hachés issus de 75 serveurs.
Le chiffre de 9 016 504 patients « provient exclusivement de la revendication des pirates », peut-on lire sur FrenchBreaches. Pour le site, l’annonce est crédible, mais rien ne la confirme à ce stade.
D’après les conditions d’utilisation de Logicielnet, 1001RDV ne gère pas vos dossiers médicaux complets, et les pirates ne disent pas détenir de diagnostics ni d’ordonnances. Mais avec votre historique de rendez-vous, un inconnu sait chez quel praticien vous allez, et à quelle fréquence. Lors de la fuite du logiciel MLM, Cegedim Santé assurait que les dossiers médicaux structurés n’avaient pas été touchés, alors que des pirates avaient récupéré les notes intimes saisies par des médecins sur 169 000 patients.
Les escrocs peuvent se faire passer pour votre cabinet médical
Vous le savez désormais, ce type de revendication, s'il est confirmé par l'éditeur ou la plateforme, vous expose, en tant que patient, aux tentatives de phishing
Avec votre nom, votre numéro de téléphone et la date de votre prochain rendez-vous, un escroc peut vous envoyer un SMS ou un e-mail signé de votre cabinet. Il lui suffit d’annoncer un rendez-vous annulé ou un paiement en attente pour vous pousser à cliquer sur un lien piégé. Avec votre numéro de Sécurité sociale et votre date de naissance, il dispose de surcroît de quoi usurper votre identité auprès d’organismes publics ou privés.
Si vous recevez un message inattendu de votre médecin, appelez le cabinet au numéro que vous connaissez avant de répondre ou de payer quoi que ce soit. Ne communiquez jamais votre numéro de Sécurité sociale ni vos identifiants après un simple SMS ou un courriel. Sur vos comptes de santé, choisissez un mot de passe unique, activez la double authentification quand elle est proposée et vérifiez dans l’historique de Mon espace santé qu’aucun accès inconnu n’apparaît.
Si vous travaillez dans un cabinet équipé de 1001RDV, changez votre mot de passe sans attendre, puisque les pirates disent détenir ceux du personnel. Logicielnet n’a publié aucun communiqué, et ni l’identité des pirates ni leur méthode d’intrusion n’ont été vérifiées.
