Le 16 novembre 2023, la Polyclinique du Cotentin a été victime d’une cyber-intrusion sur son système d’information entrainant le cryptage de ses données et une indisponibilité prolongée de son système d’information. L’attaque a été revendiquée par un groupe criminel appelé Lockbit menaçant de publier la partie des données qu’ils ont pu télécharger.
Malgré cette cyber-attaque, le fonctionnement de la Polyclinique n’a pas été impacté : l’incident n’a engendré aucune déprogrammation des soins (consultations, examens ou interventions chirurgicales) et l’ensemble des patients a été hospitalisé dans les conditions de qualité et sécurité des soins requises.
Dès la survenue de l’attaque, la Polyclinique du Cotentin a signalé l’incident à l’Agence Régionale de Santé de Normandie, au CERT-Santé (service appui à la gestion des cyber-menaces en Santé) et à la Commission Nationale de l’Informatique et des Libertés (CNIL). De son côté, la société AXIANS, prestataire d’info-gérance de la Polyclinique, l’a accompagnée dans l’identification de la cause de l’incident et dans la remise en route des services. La Polyclinique du Cotentin a également déposé plainte auprès du commissariat de Police pour captation de données informatiques.
Malgré nos efforts ininterrompus pour contenir l’incident, nous venons d’avoir confirmation de l’exfiltration de certaines données qui étaient accessibles depuis notre serveur de centralisation de fichiers. Ces données, après analyse, concernent certains de nos patients et notre personnel.
Dans ce cadre, et en accord avec la CNIL qui est tenue informée de l’évolution de la violation de données conformément aux dispositions de l’articles 33 du Règlement Général sur la Protection des Données (dit « RGPD »), la Polyclinique du Cotentin est en train d’envoyer un courrier d’information individuelle aux personnes concernées par la violation des données personnelles.
A ce stade, nous n’avons connaissance d’aucune réutilisation de ces données. Nous ne pouvons néanmoins pas garantir que ces fichiers ne soient pas partagés entre des personnes malveillantes, malgré les sanctions encourues par les auteurs de cette attaque ou par toute personne qui les diffuserait ou les exploiterait. C’est pourquoi nous recommandons à l’ensemble des usagers et personnels la plus grande vigilance, notamment s’agissant de tentatives d’escroquerie ou d’hameçonnage qui pourraient survenir dans les prochaines semaines ou mois.
Nous comprenons l’inquiétude que cela peut susciter et tenons à vous assurer que nous prenons cette situation très au sérieux. Des mesures immédiates et à long terme sont en cours de déploiement pour renforcer la sécurité de notre système d’information.
Celui-ci respectait déjà de nombreux critères de l’Agence Régionale de Santé en matière de sécurité au moment de l’attaque. Malgré cela, la nature évolutive des menaces cybernétiques nécessite une constante adaptation de nos défenses. Des mesures techniques de sécurité sont incluses dans la reconstruction actuelle du système d’information tout en considérant que cette attaque est une opportunité pour améliorer nos systèmes de défense.
La direction de la Polyclinique du Cotentin est pleinement consciente des conséquences qui peuvent résulter de cet incident et souhaite vous assurer de son investissement le plus total pour en limiter au maximum les effets.
Si vous avez des questions ou souhaitez nous signaler un incident, n’hésitez pas à nous les transmettre à l’adresse suivante : rgpd@polyclinique-cotentin.com
La Direction