VitalAire confirme une fuite de données touchant ses patients. Dans un courrier qui leur est adressé, l’entreprise indique avoir détecté une cyberattaque le 19 septembre 2026. Elle a aussitôt suspendu l’accès à ses extranets patients et prescripteurs.
Le même jour, un acteur avait publié sur un forum cybercriminel ce qu’il présentait comme la base de patients de VitalWeb, l’extranet que VitalAire met à la disposition des médecins prescripteurs. Selon lui, près de 50 000 personnes sont concernées, avec aussi des fiches de mineurs.
VitalAire est la marque de santé à domicile du groupe Air Liquide. Elle accompagne en France des patients suivis pour l’apnée du sommeil, l’insuffisance respiratoire, le diabète ou des traitements par perfusion.
Ce que VitalAire a confirmé
Selon le courrier, des tiers non autorisés ont réussi à accéder à un fichier de données. Les investigations de l’entreprise ont confirmé que des données personnelles de patients avaient été compromises.
Les données concernées sont, d’après VitalAire, le nom et le prénom, le sexe, la date de naissance, le numéro de sécurité sociale, la commune et le code postal, ainsi que les données de contact.
L’entreprise affirme qu’aucune donnée de santé ne figure dans cette base. Elle précise aussi qu’il n’existe aucun lien technique entre les dispositifs médicaux des patients et la base compromise : les équipements fonctionnent de manière autonome et ne sont pas affectés.
VitalAire indique avoir notifié l’incident à la CNIL et déposé plainte. Son portail patients MyVitalAire reste fermé le temps d’évaluer la sécurité de ses systèmes. À sa réouverture, chaque utilisateur devra réinitialiser son mot de passe.
L’entreprise ne communique pas le nombre de personnes concernées.
Ce que la revendication ajoute
Le fichier annoncé compte 50 000 lignes. Il porte sur près de 50 000 patients distincts, majoritairement âgés. Il contient aussi les fiches de près de 700 mineurs.
Selon la revendication, chaque fiche réunit l’identité du patient, son numéro de sécurité sociale, sa commune, ses numéros de téléphone et des références internes aux médecins qui le suivent. Ces catégories recoupent celles que VitalAire énumère dans son courrier.
D’après l’acteur, les données auraient été obtenues par une faille de contrôle d’accès dans la fonction de recherche de patients, qui ne limitait pas les résultats aux patients de chaque prescripteur. VitalAire ne décrit pas le mode d’accès. Le fichier est proposé au téléchargement sur le forum.
Pourquoi ces données sont sensibles
La réunion du nom, de la date de naissance, du numéro de sécurité sociale et du téléphone sur une même fiche est le jeu d’informations le plus recherché pour l’usurpation d’identité et la fraude aux organismes sociaux.
La population concernée est majoritairement âgée et dépend souvent de son matériel respiratoire. Elle est donc exposée à de faux appels se réclamant du prestataire ou de l’Assurance maladie, rendus crédibles par la mention du numéro de sécurité sociale ou du médecin.
Même sans diagnostic dans le fichier, le seul fait d’être patient d’un prestataire de soins respiratoires et métaboliques à domicile révèle une pathologie suivie. La présence de mineurs renforce encore l’enjeu.
Que faire si vous êtes concerné
Méfiez-vous de tout appel, SMS ou courriel qui cite votre numéro de sécurité sociale ou votre médecin pour obtenir une information, un code ou un paiement. En cas de doute, raccrochez et rappelez votre agence VitalAire ou l’Assurance maladie au numéro que vous connaissez.
À la réouverture de MyVitalAire, choisissez un mot de passe nouveau, qui ne sert sur aucun autre site. Surveillez aussi vos remboursements sur votre compte ameli.
Données concernées :
- Nom complet
- Civilité
- Date de naissance
- Numéro de sécurité sociale
- Numéro de téléphone
- Ville
- Code postal
- Identifiant interne
- Données de santé
- Données de mineurs
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise