Point Vision : un prestataire de rendez-vous compromis

Une intrusion chez le prestataire des rendez-vous

Selon la notification aux personnes concernées, rapportée et analysée par FrenchBreaches, une personne non autorisée a accédé à l'environnement informatique d'un prestataire de Point Vision. Ce prestataire intervient dans la gestion et l'organisation des rendez-vous. L'incident n'est donc pas présenté comme une intrusion directe dans l'infrastructure qui conserve les dossiers médicaux des centres.

Point Vision indique que l'accès non autorisé a pu permettre de consulter ou télécharger certaines données de patients traitées pour la prise de rendez-vous. Le réseau précise que les investigations se poursuivent. La source ne donne ni date exacte de l'intrusion ni durée d'accès, et ne chiffre pas le nombre de personnes concernées.

Identité, coordonnées et numéro de sécurité sociale

Les catégories explicitement citées comprennent les nom et prénom, la date de naissance, l'adresse postale, l'adresse électronique, le numéro de téléphone, certains échanges liés à l'organisation du rendez-vous et le numéro de sécurité sociale. Ces informations suffisent à rendre un appel, un SMS ou un courriel frauduleux beaucoup plus crédible : l'escroc peut connaître votre identité, votre rendez-vous ou le nom du service auquel il prétend appartenir.

La notification ne confirme pas que les motifs de rendez-vous ou les mots de passe des comptes de prise de rendez-vous ont été consultés ou téléchargés. Elle explique toutefois ne pas pouvoir l'exclure, car une partie des traces de l'activité de l'attaquant a été supprimée. Cette nuance compte : une possibilité non exclue n'est pas un vol établi.

Les dossiers médicaux ne sont pas annoncés comme atteints

Point Vision distingue l'environnement compromis de ses systèmes de prise en charge médicale. À ce stade, aucun accès non autorisé à ces systèmes médicaux n'a été identifié dans le cadre de l'incident. Il serait donc inexact d'affirmer que les dossiers médicaux complets des patients ont été piratés.

La politique de confidentialité de Point Vision distingue également l'hébergement du système de gestion des dossiers médicaux, confié à Cegedim, de la gestion des agendas. Elle nomme Alaxione comme prestataire de gestion des agendas. FrenchBreaches relève ce rapprochement avec une intrusion qu'Alaxione avait reconnue en août, mais Point Vision ne nomme pas le prestataire compromis dans sa notification. Le lien entre les deux affaires n'est donc pas confirmé publiquement.

Pourquoi un numéro de sécurité sociale augmente le risque d'arnaque

Un numéro de sécurité sociale ne permet pas, à lui seul, de prendre le contrôle d'un compte. Associé au nom, à la date de naissance, au téléphone et au contexte d'un rendez-vous, il peut toutefois aider un fraudeur à se faire passer pour Point Vision, l'Assurance Maladie ou une mutuelle. La connaissance de ces informations n'est jamais une preuve qu'un interlocuteur est légitime.

Point Vision indique ne pas avoir connaissance d'une utilisation frauduleuse directement liée à l'incident au moment de sa communication. Le risque immédiat est donc surtout le phishing ciblé : un faux message qui évoque un rendez-vous, un remboursement ou une prétendue mise à jour de dossier pour obtenir un code, un mot de passe ou des informations supplémentaires.

Les gestes utiles pour les personnes concernées

Ne répondez pas à un appel, SMS ou courriel inattendu qui cite votre rendez-vous ou votre numéro de sécurité sociale. Fermez le message et contactez vous-même le centre, l'Assurance Maladie ou votre mutuelle avec les coordonnées déjà connues. Ne communiquez jamais un code reçu par SMS, application d'authentification ou courriel : ces codes servent précisément à valider une connexion ou une opération.

Surveillez votre compte Ameli et signalez toute anomalie. Si vous avez utilisé un même mot de passe pour votre compte de rendez-vous et d'autres services, modifiez-le partout où il est réemployé, avec un mot de passe différent pour chaque compte. Point Vision prévoit une réinitialisation des mots de passe des comptes de prise de rendez-vous susceptibles d'être concernés.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier le nombre de patients concernés, la date et la durée exactes de l'intrusion, le volume de données consultées ou téléchargées, ni l'identité de l'attaquant. La notification ne permet pas davantage d'établir quels patients ont eu leur numéro de sécurité sociale exposé.

Nous ne pouvons pas confirmer que les motifs de rendez-vous ou les mots de passe ont été obtenus, seulement que Point Vision ne peut pas exclure cette possibilité. Enfin, Alaxione est publiquement cité par Point Vision comme prestataire de gestion des agendas, mais Point Vision ne l'identifie pas comme le prestataire compromis. Il serait prématuré de présenter ce rapprochement comme un fait établi.

Sources : Point Vision ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.