Clinique de Vontes : ce n'est pas un fichier de patients

Dans la base attribuée à la Clinique de Vontes, une colonne indique si le compte dispose du statut administrateur.

C’est la seule ligne du dossier qui mérite qu’on s’arrête. Tout le reste est un annuaire.

Le 3 septembre 2026, le pseudonyme ChimeraZ a publié 4 111 enregistrements présentés comme la base d’un établissement psychiatrique privé d’Esvres-sur-Indre, rattaché au groupe Inicea. Environ 2,5 Mo au format JSON. Deux trackers l’ont relayé, FrenchBreaches et Cyberattaque.org, à partir des mêmes échantillons diffusés par l’auteur. Ni l’établissement ni le groupe n’ont communiqué. Deux relais d’une même source ne font pas une confirmation, et tout ce qui suit s’écrit sous cette réserve.

Ce que le fichier contient, et ce qu’il ne contient pas

Une clinique psychiatrique, 4 111 personnes : la lecture réflexe est faite d’avance. Elle est fausse.

Les profils observés dans les échantillons sont des profils professionnels. Nom, prénom, adresse électronique de service, numéros fixe et mobile, fonction et métier, établissement de rattachement, service de soins, groupes et responsabilités, circuits de validation internes. Et le statut administrateur.

Aucune donnée médicale de patient n’a été observée. Plusieurs enregistrements renvoient à d’autres structures du groupe que la seule clinique nommée dans l’alerte : le périmètre réel est probablement plus large que l’intitulé.

Nous avons décrit ailleurs la journée de six alertes dont celle-ci fait partie. C’est la seule des six où la confusion sur la nature des personnes listées change autant la réponse à apporter.

Pourquoi le contresens coûterait cher à l’établissement

Annoncer « fuite de données de santé » quand il s’agit d’un annuaire de personnel produit trois effets, tous mauvais.

L’établissement déclenche une communication patients dont il n’a pas besoin, dans un secteur où la stigmatisation est déjà un sujet. Il oriente sa cellule de crise vers le dossier médical, qui n’est pas menacé ici. Et il laisse sans protection les seules personnes réellement exposées : ses salariés, dont l’adresse professionnelle, la fonction et le niveau de droits circulent.

Se tromper de victime, c’est se tromper de mesure de protection. La qualification de l’incident n’est pas un exercice de vocabulaire.

Un annuaire de soignants, avec les droits en prime

Un annuaire dit qui travaille où. La colonne administrateur dit par où commencer.

Elle permet d’identifier les comptes qui ouvrent le plus de portes, donc les cibles prioritaires d’un hameçonnage. De repérer qui, à l’informatique et aux ressources humaines, a autorité pour créer un accès ou réinitialiser un mot de passe. Et de fabriquer un message qui vient de la bonne fonction, adressé à la bonne fonction, dans le vocabulaire du service.

Le scénario le plus rentable ne demande aucune intrusion technique. Un appel au support informatique, au nom d’un praticien nommément identifié, avec son service et son établissement, pour une réinitialisation urgente avant une consultation. Une fraude au président fonctionne parce que l’organigramme est crédible ; le fichier fournit l’organigramme.

L’étape coûteuse de ce travail n’a jamais été technique, elle était rédactionnelle. Produire cent messages qui sonnent juste, chacun ajusté à un service de soins, demandait des heures. Un modèle de langage lit un JSON structuré et les rédige en quelques minutes. L’attaque ne devient pas plus fine, elle devient abordable à un volume qui ne l’était pas.

Ce que dit le cadre, et pourquoi il est double ici

Un établissement de santé n’a pas une obligation, il en a deux.

L’article 33 du RGPD ouvre soixante-douze heures pour notifier la CNIL une violation avérée, et l’article 34 impose d’informer les personnes en cas de risque élevé. S’y ajoute l’article L. 1111-8-2 du code de la santé publique : les établissements de santé et médico-sociaux signalent sans délai les incidents significatifs ou graves de sécurité de leurs systèmes d’information, auprès de l’agence régionale de santé et du CERT Santé. Les modalités relèvent du décret n° 2022-715 du 27 avril 2022.

Ce second canal est souvent oublié parce qu’il ne concerne pas les données personnelles mais le fonctionnement de l’établissement. C’est pourtant celui qui compte quand un compte à privilèges est en jeu.

L’observatoire 2025 des signalements publié par l’Agence du numérique en santé recense 764 incidents déclarés au CERT Santé pour 606 structures. Les rançongiciels reculent de 30 % sur un an, tandis que 52 % des incidents sont d’origine malveillante et que 38 % des signalements s’accompagnent d’un fonctionnement dégradé ou d’une interruption de prise en charge. La menace se déplace du chiffrement spectaculaire vers le compte compromis, silencieux.

Trois vérifications, dans cet ordre

Cherchez l’export dans vos journaux avant de communiquer. Une revendication non confirmée n’est pas une violation établie. Le point d’entrée n’est pas documenté : rien ne dit si la base vient de l’infrastructure de la clinique, d’une application partagée entre établissements ou d’un prestataire.

Sortez la liste des comptes administrateurs, aujourd’hui. Combien sont actifs, combien correspondent à des personnes encore en poste, combien à un prestataire parti. C’est la revue d’habilitations que nous travaillons dans la formation Sécurité de l’information et protection du patrimoine, et elle prend une demi-journée.

Écrivez la procédure de réinitialisation du support. Aucun mot de passe ne se réinitialise sur la foi d’un appel ou d’un courriel, quel que soit le titre de la personne au bout du fil. Le rappel se fait sur un numéro figurant à l’annuaire interne.

Reste une question à poser à votre direction des systèmes d’information : si votre annuaire complet circulait demain, combien de vos procédures reposent encore sur le fait que l’appelant connaît le nom du bon service ?