Les personnes soignées à l'Hôpital Paris Saint-Joseph sont concernées par une fuite de données revendiquée le 19 septembre 2026 sur un forum cybercriminel. L'établissement a confirmé l'incident deux jours plus tard. L'archive, proposée en téléchargement libre, porte sur des dossiers de facturation de patients.
L'Hôpital Paris Saint-Joseph est un hôpital privé à but non lucratif du 14e arrondissement de Paris, exploité avec l'Hôpital Marie-Lannelongue par la Fondation Hôpital Saint-Joseph. L'établissement annonce 937 lits et places, plus de 300 000 consultations et 75 000 passages aux urgences par an.
Ce que dit l'hôpital
Le 21 septembre 2026, l'hôpital a publié une fenêtre d'information sur la page d'accueil de son site. Il y indique que l'un de ses prestataires a subi une cyberattaque touchant les données administratives de certains patients.
Par mesure de sécurité, l'établissement a interrompu ses bornes d'accueil et d'enregistrement des patients. Les patients concernés ont été contactés, et une adresse du délégué à la protection des données de la fondation est indiquée pour toute question.
Selon l'hôpital, aucune donnée de santé, aucun numéro de sécurité sociale et aucune donnée bancaire n'ont été divulgués. L'établissement ne donne pas le nombre de personnes concernées.
Ce qui est revendiqué
La publication annonce trois fichiers au format CSV, environ 1,3 Mo, pour 15 061 personnes et 738 médecins. Elle emploie le terme de transactions pour désigner l'ensemble.
L'analyse conduite par Fuites Infos retient 15 044 patients distincts. Le fichier de facturation compte 15 060 enregistrements, chacun porteur d'un identifiant patient différent. Seize d'entre eux correspondent à des dossiers doubles d'une même personne, repérés par la concordance de l'identité et de l'adresse électronique. Le chiffre de 15 061 avancé par la publication correspond au nombre de lignes du fichier, en-tête comprise.
Le terme de transactions, lui, désigne des patients à raison d'un dossier chacun. Les règlements réellement comptabilisés dans le fichier sont au nombre de 33 122.
Trois fichiers, trois origines différentes
Les trois fichiers de l'archive ne partagent aucune valeur commune, ni adresse électronique ni identifiant. Ils ne proviennent pas du même système.
Le premier est un export de facturation patient. Pour chaque personne : identité, adresse électronique, identifiant patient interne, nombre de règlements effectués, montant total payé et date du dernier paiement. Les quatre derniers chiffres de la carte bancaire accompagnent 226 dossiers, soit 1,5 % de l'ensemble. C'est ce fichier qui fonde l'incident.
Le deuxième reprend 736 fiches de l'annuaire des praticiens du groupe hospitalier. Or cet annuaire est public : l'établissement le publie lui-même en ligne, et les fiches y sont consultables par n'importe qui. Le fichier porte d'ailleurs les traces de sa collecte automatisée page par page. Présenter ces 736 profils comme des données dérobées serait inexact, et le chiffre de 738 médecins avancé par la publication ne correspond à aucun comptage vérifiable.
Le troisième regroupe dix comptes d'administration d'un outil de gestion d'accueil fourni par un prestataire. Quatre d'entre eux appartiennent à l'éditeur du logiciel et trois relèvent de la démonstration ou d'un environnement de test. Ce fichier ne concerne pas les patients : il expose un fournisseur.
C'est ce troisième fichier que la déclaration de l'hôpital éclaire. L'établissement met en cause un prestataire et a coupé ses bornes d'accueil : l'outil de gestion d'accueil dont les comptes figurent dans l'archive relève de ce même périmètre.
Aucune donnée médicale, et pourquoi c'est quand même sérieux
L'archive ne contient ni diagnostic, ni acte, ni service de soins, ni motif de consultation. Aucun numéro de sécurité sociale, aucune date de naissance, aucune adresse postale de patient. Sur ces points, elle concorde avec ce que déclare l'hôpital.
Les quatre derniers chiffres de carte présents sur 226 dossiers ne constituent pas une donnée de paiement exploitable : ni numéro complet, ni date d'expiration, ni cryptogramme. C'est sans doute en ce sens que l'hôpital écarte toute donnée bancaire.
Ce qui est exposé, c'est la qualité de patient d'un établissement de santé, rattachée à un nom, à une adresse électronique et à des sommes payées. Le règlement européen range cette information parmi les données relatives à la fourniture de soins, donc parmi les catégories particulières protégées, même en l'absence de tout contenu clinique.
La menace concrète tient moins à la nature des champs qu'à leur combinaison. Un message frauduleux qui cite un montant exact, une date de règlement et un numéro de dossier est difficile à distinguer d'une relance authentique de l'hôpital. L'établissement ne publie par ailleurs aucune politique DMARC sur son domaine, mesure technique qui permet d'écarter les courriels usurpant une adresse d'expéditeur.
Ce que peuvent faire les patients concernés
Aucune action urgente n'est nécessaire sur le plan bancaire : quatre chiffres de carte ne permettent ni un paiement, ni un prélèvement.
La vigilance porte sur les sollicitations reçues dans les prochaines semaines. Ne jamais régler une facture de l'hôpital à partir d'un lien reçu par courriel ou par SMS, quelle que soit la précision des informations qu'il contient. En cas de doute sur une demande de paiement, rappeler l'établissement par le numéro figurant sur un document antérieur ou sur son site, jamais par celui indiqué dans le message reçu. Se méfier enfin de tout appel ou courriel mentionnant un remboursement à récupérer, motif classique de ce type de campagne.
Ce qui n'est pas établi
L'hôpital ne nomme pas son prestataire et ne précise pas le nombre de patients contactés. La voie d'entrée exacte reste inconnue : la publication avance une hypothèse sur le système d'exploitation du serveur visé, qu'aucun élément public ne corrobore. Rien ne permet non plus de dire si l'archive représente l'intégralité des dossiers concernés ou un extrait.
Données concernées :
- Identité des patients, nom et prénom
- Adresse électronique
- Identifiant patient interne de l'établissement
- Montants réglés, nombre de paiements et date du dernier règlement
- Quatre derniers chiffres de carte bancaire, sur 1,5 % des dossiers
- Coordonnées professionnelles de praticiens, reprises d'un annuaire déjà public
- Comptes d'administration et droits d'accès d'un outil fourni par un prestataire
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise