Centre Hospitalier de Perpignan : quand une archive cloud personnelle devient une menace pour des patients

Article publié le 21 juillet 2026 — Statut de l'incident au moment de la publication : revendiqué, très incertain — non confirmé par l'établissement ni par les autorités

Une revendication hacktiviste, une réalité bien plus complexe

Le 19 juillet 2026, un collectif se présentant comme hacktiviste revendique la compromission du Centre Hospitalier de Perpignan, principal établissement public de santé des Pyrénées-Orientales. Le dépôt annoncé contiendrait des informations sur des patients, des documents de facturation, et — élément particulièrement préoccupant — un modèle d'ordonnance modifiable.

Mais à la différence d'un incident hospitalier classique, les éléments disponibles ne pointent pas vers une intrusion directe dans le système d'information de l'hôpital. Le contenu décrit — un mélange hétérogène de fichiers médicaux, professionnels et strictement personnels — suggère plutôt que l'origine de la fuite serait une archive cloud personnelle attribuée à un agent du SAMU, laissée insuffisamment sécurisée ou compromise via des identifiants réutilisés.

C'est précisément ce point qui rend cet incident emblématique d'une catégorie de risques systématiquement sous-estimée dans les établissements de santé.

Ce que contiendrait le dépôt revendiqué
Un inventaire révélateur par son hétérogénéité

Ce qui frappe en premier dans la description du contenu, c'est son caractère disparate. On y trouverait pêle-mêle :

Un modèle d'ordonnance modifiable
Des documents de facturation liés à l'activité hospitalière
Des informations concernant des patients (nom, date de naissance, données de santé, éléments de dossier médical)
Des données d'emploi et des informations professionnelles
Un support de sensibilisation au hantavirus
Des documents personnels sans lien direct avec le CH de Perpignan

Cette cohabitation de fichiers médicaux sensibles et de documents strictement privés ne ressemble pas à l'export structuré d'un système d'information hospitalier. Un accès direct au SIH (Système d'Information Hospitalier) produirait des données cohérentes et homogènes — des tables de patients, des dossiers médicaux organisés, des données de PMSI. Ce mélange ressemble davantage au contenu d'un espace de stockage personnel utilisé à des fins professionnelles : un Google Drive, un OneDrive, un Dropbox ou une boîte mail avec pièces jointes accumulées sur plusieurs années.

Les données potentiellement exposées

Malgré l'incertitude sur l'origine précise des fichiers, les catégories de données présentes sont réelles et sensibles :

Nom complet et date de naissance des patients
Signature (potentiellement celle de professionnels de santé)
Données de santé et éléments de dossiers médicaux
Données d'emploi et d'activité professionnelle
Documents administratifs et de facturation
Commentaires et champs libres

Le nombre exact de personnes concernées n'est pas connu.

L'ordonnance modifiable : le risque le plus immédiat

Parmi tous les éléments revendiqués, la présence d'un modèle d'ordonnance modifiable mérite une attention particulière.

Un tel document peut être détourné de plusieurs manières. Il peut permettre la création de faux justificatifs médicaux à usage personnel — arrêts de travail, prescriptions, certificats. Il peut également être utilisé pour renforcer la crédibilité d'une fraude à l'Assurance Maladie, d'une usurpation d'identité médicale, ou d'un accès frauduleux à des médicaments soumis à prescription.

Il convient cependant de nuancer : la simple possession d'un modèle ne garantit pas qu'il puisse être utilisé comme une ordonnance valide. Sa capacité à être détourné dépend du niveau d'authenticité visuelle, de la présence ou non d'une signature scannée, et des mécanismes de vérification en place chez les pharmaciens ou les organismes de santé destinataires. Ces éléments restent à ce stade inconnus.

Un cloud personnel comme périmètre d'attaque
Le scénario le plus probable

Plusieurs indices convergent vers l'hypothèse d'un compte cloud individuel compromis ou laissé accessible :

L'hétérogénéité des fichiers — médicaux, professionnels, personnels — ne correspond pas aux exports d'un système hospitalier structuré. La revendication mentionne des documents liés à l'activité du SAMU, suggérant un agent de ce service. La présence de documents personnels sans lien avec l'hôpital indique un espace de stockage à usage mixte, ce qui est courant mais risqué. Le collectif hacktiviste décrit avoir détecté une "anomalie sur un serveur" — formulation vague pouvant désigner aussi bien un bucket cloud mal configuré qu'un lien de partage public resté actif.

Les scénarios techniques possibles sont multiples :

Mot de passe du compte cloud réutilisé depuis un autre service compromis
Lien de partage public non révoqué
Mauvaise configuration du stockage (dossier partagé publiquement par inadvertance)
Vol d'identifiants par phishing ou malware
Ce que cela révèle sur le risque lié au Shadow IT médical

Le terme "Shadow IT" désigne l'ensemble des outils numériques utilisés par les agents d'une organisation en dehors du périmètre validé par la DSI. Dans les établissements de santé, ce phénomène est massif et structurel.

Face aux contraintes des logiciels métier hospitaliers — lents, peu ergonomiques, aux accès partagés complexes — les professionnels de santé développent des pratiques de contournement qui leur semblent anodines : stocker des documents de travail dans leur Google Drive personnel, partager des fichiers patients via WhatsApp ou par mail, conserver des modèles d'ordonnances sur leur ordinateur personnel.

Ces pratiques ne sont pas le signe d'une mauvaise volonté. Elles sont la réponse rationnelle d'un professionnel cherchant à être efficace dans un environnement informatique souvent inadapté aux contraintes du terrain. Mais elles créent des périmètres de données sensibles totalement invisibles pour la DSI et le DPO de l'établissement.

Ce que dit le RGPD sur la responsabilité de l'établissement

Même si la fuite ne provient pas d'une compromission directe du SIH, l'établissement n'est pas pour autant exonéré de toute responsabilité au titre du RGPD.

Le responsable de traitement reste exposé

Le Centre Hospitalier de Perpignan est responsable de traitement pour l'ensemble des données personnelles traitées dans le cadre de ses activités, y compris celles manipulées par ses agents dans l'exercice de leurs fonctions — même sur des outils personnels non validés. La jurisprudence de la CNIL et les lignes directrices du Comité Européen de la Protection des Données sont claires sur ce point : l'utilisation d'un outil personnel non autorisé ne transfère pas la responsabilité du traitement à l'agent.

Les obligations applicables

Article 32 du RGPD — Sécurité des traitements : le responsable de traitement est tenu de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Dans le domaine de la santé, les données traitées relèvent de la catégorie spéciale visée à l'article 9, soumise à des exigences renforcées. L'absence de politique claire sur l'usage des outils personnels et du stockage cloud non autorisé pourrait constituer un manquement à cette obligation.

Article 33 du RGPD — Notification à la CNIL : si la violation est établie, l'établissement devra notifier la CNIL dans les 72 heures suivant sa prise de connaissance. En matière de données de santé, ce délai court à compter du moment où l'établissement a eu ou aurait dû avoir connaissance de l'incident.

Article 34 du RGPD — Notification aux personnes concernées : les données de santé faisant partie des catégories les plus sensibles, le seuil de risque élevé est rapidement atteint. Si des patients sont identifiables dans les fichiers exposés, ils devront en être informés.

Article 5 — Principe de minimisation et d'intégrité : la conservation de données patients dans un espace de stockage personnel non sécurisé contrevient directement aux principes de minimisation et d'intégrité et confidentialité posés par le RGPD.

Les risques concrets pour les patients concernés

Si des données médicales réelles figurent dans les fichiers exposés, les personnes concernées s'exposent à plusieurs types d'atteintes :

Phishing médical ciblé — Un attaquant disposant du nom, de la date de naissance et d'informations médicales d'une personne peut construire des messages d'une crédibilité redoutable en se faisant passer pour le CH de Perpignan, le SAMU, un médecin traitant ou l'Assurance Maladie.

Usurpation d'identité médicale — L'utilisation de l'identité d'un patient pour obtenir des soins, des médicaments ou des remboursements frauduleux. Ce type de fraude est difficile à détecter et ses conséquences peuvent être graves (altération du dossier médical, refus de remboursement).

Chantage lié à des informations de santé — Certaines pathologies ou traitements médicaux peuvent être exploités à des fins d'extorsion ou de harcèlement, particulièrement si les personnes concernées ont des raisons de garder ces informations confidentielles.

Fausse convocation ou faux document hospitalier — La présence d'un modèle d'ordonnance modifiable augmente le risque de fabrication de faux documents à l'en-tête de l'établissement, utilisables pour des fraudes variées.

Ce que doivent faire les professionnels de santé et les directions d'établissement

Cet incident est l'occasion de rappeler quelques mesures essentielles, trop souvent différées dans les établissements de santé.

Pour les directions et les DPO

Auditer l'usage des outils de stockage cloud par les agents — en commençant par un recensement honnête des pratiques réelles, pas des pratiques théoriques déclarées dans la politique SSI.

Mettre en place une politique claire et opérationnelle sur les outils autorisés, accompagnée de solutions alternatives réellement utilisables — un outil validé mais inaccessible depuis un smartphone en garde n'est pas une solution.

Intégrer le risque de Shadow IT dans les analyses d'impact (AIPD) réalisées pour les traitements de données de santé.

Former régulièrement les agents aux risques liés à l'usage de leurs comptes personnels à des fins professionnelles, sans moraliser — en montrant ce qui se passe concrètement quand un mot de passe est réutilisé.

Pour les professionnels de santé

Ne jamais stocker de documents patients dans un espace de stockage personnel (Google Drive, iCloud, Dropbox) sans autorisation explicite de l'établissement et chiffrement des données.

Ne jamais utiliser un mot de passe professionnel identique à un mot de passe personnel. La compromission d'un service grand public entraîne mécaniquement la compromission de votre compte professionnel si les mots de passe sont identiques.

Signaler immédiatement à la DSI tout accès non autorisé suspecté à vos outils de travail ou à votre messagerie professionnelle.

Conclusion : l'hôpital n'a peut-être pas été piraté — mais la leçon reste la même

Si le scénario le plus probable se confirme — une archive cloud personnelle exposée plutôt qu'une intrusion dans le SIH — le CH de Perpignan échappera à ce que la presse qualifiera de "cyberattaque hospitalière". Ce serait une forme de soulagement.

Mais ce soulagement serait trompeur. Le fait que des données médicales de patients aient pu se retrouver dans l'espace de stockage personnel d'un agent, sans que l'établissement en ait connaissance, est précisément le problème. Le SIH était peut-être sécurisé. Le pourtour humain et organisationnel ne l'était pas.

Les hôpitaux investissent légitimement dans la sécurité de leurs systèmes d'information centraux. Mais la chaîne de sécurité se rompt là où elle est la plus fragile : dans les pratiques quotidiennes des agents, dans les outils de contournement adoptés faute de mieux, dans les comptes personnels utilisés pour "dépanner" en dehors des heures de bureau.

Sécuriser un hôpital, c'est sécuriser aussi l'écosystème numérique de ses agents. Et ça commence par des politiques claires, des outils utilisables, et une culture du risque qui ne repose pas uniquement sur des formations obligatoires oubliées trois mois après.

Sébastien Alonso est Président et DPO de S@FE SASU, société spécialisée en cybersécurité et conformité RGPD, référencée sur cybermalveillance.gouv.fr et la plateforme 17Cyber. Il intervient en accompagnement post-incident, en mission de DPO externalisé et en formation des équipes dans les secteurs santé, assurance et collectivités.

Cet article est rédigé à partir des éléments publiquement disponibles au 21 juillet 2026. Il ne constitue pas un avis juridique. L'incident décrit reste revendiqué et non confirmé officiellement par le Centre Hospitalier de Perpignan ni par les autorités compétentes.

Sources : cyberattaque.org — Centre Hospitalier de Perpignan : des dossiers de patients en fuite — 20 juillet 2026