Les personnes soignées à l'Hôpital Paris Saint-Joseph sont potentiellement concernées par une fuite de données revendiquée le 19 septembre 2026 sur un forum cybercriminel. L'archive, proposée en téléchargement libre, porterait sur les dossiers de facturation de patients de l'établissement.
L'Hôpital Paris Saint-Joseph est un hôpital privé à but non lucratif du 14e arrondissement de Paris, exploité avec l'Hôpital Marie-Lannelongue par la Fondation Hôpital Saint-Joseph. L'établissement annonce 937 lits et places, plus de 300 000 consultations et 75 000 passages aux urgences par an. À ce stade, l'incident n'a fait l'objet d'aucune confirmation publique de l'établissement.
Ce qui est revendiqué
La publication annonce trois fichiers au format CSV, environ 1,3 Mo, pour 15 061 personnes et 738 médecins. Elle emploie le terme de transactions pour désigner l'ensemble.
L'analyse conduite par Fuites Infos retient 15 044 patients distincts. Le fichier de facturation compte 15 060 enregistrements, chacun porteur d'un identifiant patient différent. Seize d'entre eux correspondent à des dossiers doubles d'une même personne, repérés par la concordance de l'identité et de l'adresse électronique. Le chiffre de 15 061 avancé par la publication correspond au nombre de lignes du fichier, en-tête comprise.
Le terme de transactions, lui, désigne des patients à raison d'un dossier chacun. Les règlements réellement comptabilisés dans le fichier sont au nombre de 33 122.
Trois fichiers, trois origines différentes
C'est le point que la revendication passe sous silence, et il change la lecture de l'incident. Les trois fichiers de l'archive ne partagent aucune valeur commune, ni adresse électronique ni identifiant. Ils ne proviennent pas du même système.
Le premier est un export de facturation patient. Pour chaque personne : identité, adresse électronique, identifiant patient interne, nombre de règlements effectués, montant total payé et date du dernier paiement. Les quatre derniers chiffres de la carte bancaire accompagnent 226 dossiers, soit 1,5 % de l'ensemble. C'est ce fichier qui fonde l'incident.
Le deuxième reprend 736 fiches de l'annuaire des praticiens du groupe hospitalier. Or cet annuaire est public : l'établissement le publie lui-même en ligne, et les fiches y sont consultables par n'importe qui. Le fichier porte d'ailleurs les traces de sa collecte automatisée page par page. Présenter ces 736 profils comme des données dérobées serait inexact, et le chiffre de 738 médecins avancé par la publication ne correspond à aucun comptage vérifiable.
Le troisième regroupe dix comptes d'administration d'un outil de gestion d'accueil fourni par un prestataire. Quatre d'entre eux appartiennent à l'éditeur du logiciel et trois relèvent de la démonstration ou d'un environnement de test. Ce fichier ne concerne pas les patients : il expose un fournisseur.
Aucune donnée médicale, et pourquoi c'est quand même sérieux
L'archive ne contient ni diagnostic, ni acte, ni service de soins, ni motif de consultation. Aucun numéro de sécurité sociale, aucune date de naissance, aucune adresse postale de patient.
Ce qui est exposé, c'est la qualité de patient d'un établissement de santé, rattachée à un nom, à une adresse électronique et à des sommes payées. Le règlement européen range cette information parmi les données relatives à la fourniture de soins, donc parmi les catégories particulières protégées, même en l'absence de tout contenu clinique.
La menace concrète tient moins à la nature des champs qu'à leur combinaison. Un message frauduleux qui cite un montant exact, une date de règlement et un numéro de dossier est difficile à distinguer d'une relance authentique de l'hôpital. L'établissement ne publie par ailleurs aucune politique DMARC sur son domaine, mesure technique qui permet d'écarter les courriels usurpant une adresse d'expéditeur.
Ce que peuvent faire les patients concernés
Aucune action urgente n'est nécessaire sur le plan bancaire : quatre chiffres de carte ne permettent ni un paiement, ni un prélèvement.
La vigilance porte sur les sollicitations reçues dans les prochaines semaines. Ne jamais régler une facture de l'hôpital à partir d'un lien reçu par courriel ou par SMS, quelle que soit la précision des informations qu'il contient. En cas de doute sur une demande de paiement, rappeler l'établissement par le numéro figurant sur un document antérieur ou sur son site, jamais par celui indiqué dans le message reçu. Se méfier enfin de tout appel ou courriel mentionnant un remboursement à récupérer, motif classique de ce type de campagne.
Ce qui n'est pas établi
L'établissement ne s'est pas exprimé publiquement et aucune notification aux personnes concernées n'est documentée à ce jour. La voie d'entrée utilisée reste inconnue : la publication avance une hypothèse sur le système d'exploitation du serveur visé, qu'aucun élément public ne corrobore. Rien ne permet non plus de dire si l'archive représente l'intégralité des dossiers détenus par l'hôpital ou un extrait.
Données concernées :
- Identité des patients, nom et prénom
- Adresse électronique
- Identifiant patient interne de l'établissement
- Montants réglés, nombre de paiements et date du dernier règlement
- Quatre derniers chiffres de carte bancaire, sur 1,5 % des dossiers
- Coordonnées professionnelles de praticiens, reprises d'un annuaire déjà public
- Comptes d'administration et droits d'accès d'un outil fourni par un prestataire
Mentions :
Statut Fuites Infos : Revendiquée