Cyberincident chez un prestataire externe
Le CHUV a été informé d’un cyberincident survenu chez l’un de ses prestataires externes, un laboratoire d’analyses d’une société spécialisée dans le diagnostic du cancer.
Ce piratage, qui touche potentiellement un grand nombre d’institutions de santé dans le monde, a entraîné l’exposition, sur le dark web, de certaines données personnelles de patient-es. A ce stade des investigations, onze patient-es du CHUV sont concerné-es. Toujours selon les informations obtenues à ce jour, aucune donnée de santé n’a été divulguée ; les données exposées sont : nom et prénom, date de naissance, assurance-maladie et nom du médecin spécialiste en charge.
Quand le CHUV a eu connaissance de cette exposition, il a immédiatement contacté le prestataire pour lancer une analyse approfondie afin de déterminer précisément quelles données et quelles personnes sont concernées. Cette analyse est toujours en cours.
Par principe de précaution et dans l’attente de résultats plus poussés, le CHUV suspend le recours aux services de ce prestataire.
Le CHUV informe individuellement les patient-es identifié-es concerné-es par l’exposition de leurs données. Le Préposé cantonal à la protection des données et à la transparence (PPDT) est informé et une annonce est faite à l’Office fédéral de la cybersécurité (OFCS).
A ce stade des investigations, des informations portent à penser que l’intrusion serait due à une défaillance humaine (attaque de type vishing, hameçonnage téléphonique) visant les systèmes internes du prestataire. Le CHUV a rappelé à ce prestataire qu’il attend un strict respect de ses obligations légales dans l’analyse et les actions relatives à cet incident.
Cet incident survenu chez le prestataire externe n’a affecté ni les systèmes d’information, ni les infrastructures, ni les activités de soins au CHUV. Il ne remet pas en cause la prise en charge des patient-e-s et n’a eu aucun impact sur les diagnostics et les traitements reçus. A ce stade des investigations et à notre connaissance, seules des données administratives limitées ont été divulguées.
Contact :
contact.communication@chuv.ch
