Le Centre Hospitalier Sud Francilien (CHSF) a été victime d’une cyberattaque le dimanche 21 août 2022. Depuis cette date, les professionnels de santé de l’établissement assurent la continuité et la sécurité des soins avec un recours limité à l’informatique.
En lien avec l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), le ministère des Solidarités et de la Santé et le ministère en charge du Numérique, le Centre Hospitalier Sud Francilien a rapidement mis en place les mesures nécessaires.
L’établissement a déposé plainte dimanche 21 août 2022, immédiatement après le constat de la cyberattaque. L’enquête est diligentée, sur les instructions du parquet de Paris, par le Centre de lutte contre les criminalités numériques (C3N), le service compétent de la gendarmerie nationale.
En parallèle, l’établissement a notifié cet incident à la Commission nationale de l’informatique et des libertés (CNIL), comme prévu par l’article 33 du règlement européen sur la protection des données (RGPD).
Des experts informatiques, appuyés par l’ANSSI sont immédiatement intervenus auprès des équipes du Système d’Information Hospitalier pour limiter l’impact de cette attaque, stabiliser la situation et contribuer à sécuriser les installations.
Malgré ces mesures et cette réactivité, les pirates ont toutefois réussi à exfiltrer des données à caractère personnel, y compris des données de santé.
En effet, dans un acte de revendication et d’ultimatum, des échantillons de données volées ont été publiés sur le site des attaquants.
A ce stade, en dehors des échantillons, nous ne connaissons pas la nature exacte des données concernées, ni l’identité des toutes les personnes touchées. Ce travail d’identification mobilise actuellement des experts et les autorités compétentes.
Pour l’heure, nous n’avons connaissance d’aucune utilisation malveillante des données dérobées au CHSF. Pour autant, nous recommandons à nos patients, anciens patients, personnels et anciens personnels de considérer que certaines données les concernant ont été exfiltrées et risquent d’être divulguées à l’issue de l’ultimatum posé par les cybercriminels.
Conformément à l’article 34 du RGPD, les personnes pouvant être identifiées dans les données concernées recevront des notifications de violation de données individuelles.
La direction de l’établissement, aidée de ses partenaires, est pleinement consciente des conséquences qui peuvent résulter de cette attaque et souhaite assurer ses patients et son personnel de son investissement le plus total pour en limiter au maximum les effets.
Le Centre Hospitalier Sud Francilien (CHSF) est un établissement public de santé. Implanté en Essonne, il rayonne sur un territoire de santé de 700 000 habitants. Il enregistre une activité annuelle de 72 000 séjours hospitaliers (Médecine, Chirurgie, Obstétrique). Il dispose d’un budget de 400M€ pour exercer ses missions de service public, sans but lucratif.
