Hôpital Paris Saint-Joseph : une fuite diffusée, pas vendue

Le 19 septembre 2026, un compte au pseudonyme weykofa a publié trois fichiers attribués à l’Hôpital Paris Saint-Joseph. Il ne les a pas mis en vente. Il les a mis en téléchargement.

La différence n’a rien d’un détail de procédure. Elle décide de ce qui arrive ensuite aux 15 000 personnes concernées.

Vendre et diffuser ne produisent pas le même incident

Une base mise en vente circule lentement. Elle a un prix, donc peu d’acheteurs, et le vendeur garde souvent l’essentiel pour lui afin de faire monter les enchères. Il arrive même qu’il bluffe.

Une base offerte est copiée dans l’heure, republiée ailleurs, agrégée par des services qui interrogent les fuites au nom ou à l’adresse électronique. Personne ne la retire jamais. Le délai pendant lequel un établissement peut encore prévenir ses patients avant que d’autres ne s’en servent se compte en jours.

Ce que contient l’archive, et ce qui n’y est pas

Deux observatoires ont examiné les fichiers séparément et décrivent le même contenu, pour un ensemble d’environ 1,3 mégaoctet.

Le fichier principal compte 15 060 lignes, soit 15 044 patients distincts une fois les doublons retirés : identifiant interne, nom, prénom, adresse électronique personnelle, nombre de règlements effectués, montant cumulé et date du dernier paiement. Environ 226 dossiers, soit 1,5 %, portent en plus les quatre derniers chiffres d’une carte bancaire. Un deuxième fichier liste 738 praticiens avec spécialité, service et parfois courriel professionnel. Un troisième contient une dizaine de comptes d’administration.

Il faut dire aussi nettement ce qui manque : aucun diagnostic, aucun compte rendu, aucune ordonnance, aucun résultat d’examen, aucun numéro de sécurité sociale. Ce n’est pas une fuite de dossiers médicaux, et personne ne devrait la présenter comme telle.

Cela ne la fait pas sortir de l’article 9 du RGPD pour autant. Un nom associé à un identifiant patient et à des paiements encaissés par un établissement de santé établit qu’une personne y a été soignée. C’est une information sur sa santé, même sans la moindre ligne de médecine.

D’où sortent ces données ? Une hypothèse, pas un constat

Les deux analyses relèvent des références à Tabhotel dans le fichier de facturation. Tabhotel est un fournisseur français de parcours d’admission pour hôpitaux et cliniques : préadmission en ligne, bornes de check-in, portail patient, avec une synchronisation annoncée entre le système d’information hospitalier et la solution de paiement de l’établissement.

La forme des données colle à ce périmètre : identité, courriel, identifiant, historique de règlement, rien de clinique. C’est cohérent, et c’est tout ce qu’on peut en dire. Ni l’hôpital ni le fournisseur n’ont confirmé quoi que ce soit, le point d’entrée reste inconnu, et nous n’avons ouvert ni forum ni fichier.

Si cette piste se vérifiait, elle rejoindrait une série que nous suivons depuis des semaines : la fuite qui vient du prestataire, pas de la victime. L’hôpital resterait responsable du traitement, avec la charge d’encadrer son sous-traitant par le contrat prévu à l’article 28 du RGPD et d’en vérifier les garanties.

Ce que ces données permettent, et ce qu’elles ne permettent pas

Quatre chiffres de carte ne paient rien. Aucun débit n’est possible avec ce fragment, et il n’y a pas de fraude bancaire directe à redouter de ce côté.

Le danger est ailleurs. Imaginez un message qui rappelle votre identifiant de dossier, le montant exact de votre dernier règlement, sa date, et qui vous demande de régulariser un reliquat. Tout y est vrai sauf le lien de paiement. Il n’existe aucun réflexe intuitif pour repérer ce genre de courriel : la méfiance ordinaire s’appuie sur les approximations de l’expéditeur, et il n’y en a plus.

C’est là que la rédaction automatisée change l’échelle. Personnaliser 15 000 messages demandait un travail qu’aucune bande n’aurait financé. L’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils améliorent « le niveau, la quantité, la diversité et l’efficacité » des attaques. Ce fichier est la matière première qui leur manquait.

Les 738 praticiens forment le second étage : un nom de médecin, sa spécialité et son service permettent d’écrire à un patient du même fichier en se faisant passer pour lui.

Le silence, et ce que la loi attend maintenant

Au 20 septembre 2026, aucune communication publique de l’Hôpital Paris Saint-Joseph, rien de l’agence régionale de santé d’Île-de-France, rien de la CNIL, rien de l’Agence du numérique en santé. Le statut que nous retenons est donc : revendiqué, non confirmé par la victime.

L’établissement est un hôpital privé à but non lucratif du 14e arrondissement de Paris, administré par la Fondation Hôpital Saint-Joseph et reconnu établissement de santé privé d’intérêt collectif. Ce statut l’expose aux mêmes obligations de signalement qu’un hôpital public.

Trois échéances, si l’incident se confirme. La notification à la CNIL dans les 72 heures, au titre de l’article 33 du RGPD. La communication aux personnes concernées, exigée par l’article 34 dès que le risque est élevé : des données de santé rattachées à des personnes nommées cochent cette case sans discussion possible. Et le signalement sans délai prévu par l’article L. 1111-8-2 du code de la santé publique, dont les modalités sont fixées par le décret du 27 avril 2022.

Si vous avez été soigné là

Considérez que votre adresse électronique est maintenant associée publiquement à cet hôpital. Tout message qui s’en réclame mérite un appel de vérification au standard, sur le numéro affiché sur le site de l’établissement, jamais sur celui du message.

Ne réglez aucune facture par un lien reçu par courriel. Si vous aviez réutilisé ailleurs le mot de passe d’un portail patient, changez-le d’abord là où il protège de l’argent. Et surveillez vos relevés : les quatre derniers chiffres ne servent pas à débiter, ils servent à convaincre au téléphone.

Nos parcours pour les organisations figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Reste une question que cet incident pose à tous les établissements : combien d’applications périphériques, achetées pour fluidifier un accueil ou encaisser un reste à charge, détiennent aujourd’hui la liste nominative complète de vos patients ?

Sources

• FrenchBreaches, fiche « Hôpital Paris Saint-Joseph », statut « Revendiquée (crédible) », consultée le 20 septembre 2026.
• Fuites Infos, « Hôpital Paris Saint-Joseph : une archive revendiquée expose 15 044 patients, sans aucune donnée médicale », 19 septembre 2026.
• Cyberattaque.org, « Hôpital Paris Saint-Joseph : les données de plus de 15 000 patients en fuite », 19 septembre 2026.
• Tabhotel, pages « e-admission » et « portail patient », tabhotel.com, consultées le 20 septembre 2026.
• Groupe hospitalier Paris Saint-Joseph, présentation de l’établissement ; Fédération hospitalière de France, fiche annuaire de l’ESPIC.
• RGPD (règlement (UE) 2016/679), articles 9, 28, 33 et 34.
• Code de la santé publique, article L. 1111-8-2 ; décret n° 2022-715 du 27 avril 2022.
• ANSSI, Panorama de la cybermenace 2025.
• Aucun forum cybercriminel ni aucun fichier volé n’a été consulté pour cet article.