VitalWeb : VitalAire confirme la fuite de données

Mise à jour du 1er octobre 2026. VitalAire a confirmé. Dans un courrier aux personnes concernées, l’entreprise reconnaît qu’un tiers non autorisé a accédé à un fichier de données de patients, attaque détectée le 19 septembre, le jour même de la revendication. Sont confirmés compromis : nom, prénom, sexe, date de naissance, numéro de sécurité sociale, commune, code postal et coordonnées. VitalAire affirme en revanche qu’aucune donnée de santé ne figurait dans cette base. L’entreprise a suspendu ses extranets patients et prescripteurs, notifié la CNIL et déposé plainte. Cet article, écrit le 20 septembre, retenait le statut « revendiqué, non confirmé » : ce n’est plus le cas.

Un extranet réservé aux médecins prescripteurs sert à consulter ses propres patients. Le 19 septembre 2026, un compte au pseudonyme HulkSmasher a revendiqué l’extraction de près de 50 000 dossiers depuis celui de VitalAire, dont environ 700 concernant des mineurs. Avec le numéro de sécurité sociale.

Commençons par corriger l’étiquette

Les fiches qui relaient l’incident présentent VitalWeb comme un « logiciel médical ». L’étiquette est trompeuse, et elle décide pourtant de qui doit prévenir les patients.

L’adresse vitalweb.fr redirige vers un portail intitulé « extranet prescripteur ». VitalAire est la marque de santé à domicile du groupe Air Liquide : apnée du sommeil, oxygénothérapie, ventilation assistée, diabète, perfusion. Pas un éditeur qui vend un outil à des cabinets, donc, mais un prestataire de soins à domicile qui ouvre aux médecins une fenêtre sur les patients qu’il prend en charge pour eux.

Les données ne sont pas réparties chez des centaines de clients : elles sont réunies chez un seul acteur, et la population concernée est celle des malades chroniques suivis chez eux.

Nous avons vérifié cette description parce que les résumés sectoriels des traqueurs se sont révélés faux deux fois en une semaine. Cette fois encore.

La phrase sur la double authentification, pour la troisième fois

La fiche qui signale l’incident écrit que « l’accès à VitalWeb aurait été obtenu via un compte compromis dépourvu de 2FA ».

Cette phrase est apparue mot pour mot sur deux fiches du 17 septembre visant des victimes sans rapport entre elles : le greffe d’un tribunal parisien et un éditeur de facturation bordelais. Nous l’avions écartée comme une formule de remplissage. Nous l’écartons de nouveau.

Deux autres observatoires décrivent autre chose : un défaut de contrôle d’accès dans la fonction de recherche de patients, qui aurait permis d’interroger des dossiers au-delà du périmètre autorisé pour un compte donné.

Les deux récits ne visent pas le même problème. Un compte volé relève de l’authentification : qui se connecte ? Un défaut de contrôle d’accès relève de l’autorisation : que peut voir un utilisateur légitime ? Aucun des deux n’est confirmé, et nous n’attribuons ni l’un ni l’autre à VitalAire tant qu’une analyse n’a pas été publiée.

La distinction compte, parce que les conséquences diffèrent. Si un compte a été volé, le périmètre exposé est celui de ce compte. Si la recherche ne filtrait pas, le périmètre est la base entière, et un seul identifiant valide suffisait.

Pourquoi ce type de faille passe entre les mailles

Le défaut de contrôle d’accès occupe la première place du classement OWASP des risques applicatifs depuis 2021. L’organisation relève que 94 % des applications testées présentaient une forme ou une autre de ce défaut.

Il y a une raison à cette obstination. Une injection laisse une signature : la requête est anormale, un filtre peut la reconnaître. Une requête d’autorisation défaillante est parfaitement normale. Un compte authentifié demande une fiche, le serveur la rend, et rien ne dépasse dans les journaux.

C’est aussi ce qui la rend difficile à détecter par l’outillage automatique, assistants de génération de code compris. Un point d’accès qui fonctionne et un point d’accès qui filtre se ressemblent à l’essai : tous deux rendent une réponse. La différence n’apparaît qu’en réclamant la fiche d’un patient qui n’est pas le vôtre, et c’est un test qu’il faut avoir décidé d’écrire.

Le numéro de sécurité sociale n’est pas un mot de passe

Un mot de passe se change. Une carte bancaire se refait. Le numéro de sécurité sociale est attribué à la naissance et accompagne une personne toute sa vie.

Il sert de socle à l’identifiant national de santé, qui rattache à un même patient les données produites par des professionnels différents : c’est l’objet de l’article L. 1111-8-1 du code de la santé publique. Associé au nom, au prénom, à la date de naissance et à la commune, il forme un jeu administratif à peu près complet.

Les quelque 700 mineurs du fichier revendiqué porteront ce numéro pendant soixante-dix ans. Personne ne peut le leur remplacer.

Ajoutez que figurer dans la patientèle d’un prestataire d’oxygénothérapie ou de ventilation dit déjà quelque chose de l’état de santé d’une personne, sans qu’aucun diagnostic n’ait été écrit. Nous sommes au cœur de l’article 9 du RGPD.

Statut, et obligations

Au 20 septembre 2026, aucune confirmation publique n’existait, et nous retenions le statut « revendiqué ». L’entreprise a depuis confirmé l’accès non autorisé (voir la mise à jour en tête). Le statut est désormais : fuite confirmée par la victime, périmètre partiellement établi. Nous n’avons consulté ni forum ni échantillon.

Si l’incident se confirme, trois obligations s’enchaînent. Notification à la CNIL sous 72 heures, article 33 du RGPD. Communication individuelle aux personnes concernées, article 34, puisque des données de santé nominatives placent le risque au niveau élevé. Signalement sans délai, enfin, au titre de l’article L. 1111-8-2 du code de la santé publique, qui vise aussi les organismes exerçant des activités de soins.

L’hébergement de données de santé impose par ailleurs la certification prévue à l’article L. 1111-8 du même code. Elle encadre l’hébergeur, pas le code applicatif.

Ce qu’un responsable peut faire lundi matin

Posez à chaque prestataire qui vous fournit un extranet une question précise : que se passe-t-il quand un compte cherche un patient qui ne relève pas de lui ? Exigez la réponse par écrit, et demandez si le cas est couvert par un test automatisé.

Faites l’essai vous-même si vous disposez de deux comptes. Un quart d’heure, et cela vaut tous les questionnaires de conformité.

Passez enfin en revue les comptes prescripteurs dormants : un praticien parti à la retraite dont l’accès reste ouvert est exactement le compte qu’on emprunte.

Si vous êtes suivi à domicile

Il n’y a aucun mot de passe à changer, et c’est ce qui rend l’affaire pénible. La défense se joue dans la durée : votre prestataire connaît déjà votre numéro de sécurité sociale, il ne vous le demandera jamais par téléphone. L’Assurance maladie non plus.

Méfiez-vous des appels annonçant le renouvellement d’un matériel, la mise à jour d’un dossier ou un remboursement en attente, surtout quand votre interlocuteur commence par vous réciter des informations exactes. Raccrochez, rappelez le numéro qui figure sur vos documents de prise en charge.

Nos parcours pour les organisations figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Chaque laboratoire, chaque centre d’imagerie, chaque prestataire à domicile a ouvert son portail aux médecins. Ces fenêtres donnent toutes sur la même pièce, et beaucoup ont été percées avant qu’on se demande qui regarderait à travers.

Sources

• FrenchBreaches, fiche « VitalWeb », statut « Revendiquée (crédible) », 19 septembre 2026, consultée le 20 septembre 2026.
• Fuites Infos, « VitalAire : fuite de données revendiquée visant 49 984 patients », 19 septembre 2026.
• Cyberattaque.org, « VitalWeb : 50 000 dossiers patients avec numéros de sécurité sociale revendiqués », 19 septembre 2026.
• VitalAire, pages « Professionnels de santé » et portail new.vitalweb.fr, consultées le 20 septembre 2026.
• OWASP, Top 10:2021, catégorie A01 « Broken Access Control ».
• RGPD (règlement (UE) 2016/679), articles 9, 33 et 34.
• Code de la santé publique, articles L. 1111-8, L. 1111-8-1 et L. 1111-8-2.
• Nos articles du 18 septembre 2026 sur le greffe du TAE de Paris et sur Zenfirst, porteurs de la même mention sur la double authentification.
• Aucun forum cybercriminel ni aucun fichier volé n’a été consulté pour cet article.