AP-HP : données d'identité de 1 015 patients volées via le module de choix des repas d'un logiciel de restauration

Le 7 octobre 2026, l’Assistance publique - Hôpitaux de Paris (AP-HP) a confirmé par communiqué le vol de données d’identité concernant 1 015 patients, extraites d’un module du logiciel SRD Restauration, un outil de gestion des repas hospitaliers édité par Dedalus et utilisé dans 23 de ses établissements. D’après l’institution, l’intrusion a visé, quelques jours avant le 24 septembre, le service en ligne qui permet aux patients de choisir leurs menus pendant leur séjour, avant l’extraction de fichiers depuis un module du logiciel. L’AP-HP indique avoir été alertée le 24 septembre de la mise en vente de données sur un forum cybercriminel, avoir déposé plainte le lendemain, fermé le service en ligne jusqu’à nouvel ordre et fait corriger par ses fournisseurs les vulnérabilités utilisées pour entrer.

Le chiffre de 1 015 patients est présenté comme provisoire : il correspond aux données que l’AP-HP a pu authentifier à ce stade, alors que les auteurs revendiquent sur le forum davantage de patients ainsi que des comptes de professionnels de l’AP-HP utilisateurs du logiciel. Aucun chiffre n’est avancé pour ces revendications, que l’institution n’a pas confirmées et qu’elle dit continuer à instruire, de sorte que le périmètre définitif reste ouvert. Les 23 établissements évoqués sont ceux qui utilisent le logiciel, et aucune source consultée ne précise de quels hôpitaux proviennent les patients concernés.

Le cas illustre l’élargissement de la surface d’attaque des hôpitaux par des outils annexes : ce n’est pas le dossier patient informatisé, qui n’est pas concerné selon l’AP-HP, mais un service de choix des repas, module périphérique d’un logiciel de restauration, qui a servi de porte d’entrée. Le schéma rappelle celui de l’Hôpital Paris Saint-Joseph, exposé par l’intermédiaire d’un prestataire. La nature des vulnérabilités n’est pas détaillée, et rien ne permet d’établir si elles relèvent du produit de l’éditeur, de sa configuration chez l’AP-HP, de l’hébergement ou de la gestion des accès. Dedalus indique dans un magazine de décembre 2024 que la suite SRD équipe 180 établissements, dont des structures autres que l’AP-HP ; aucun autre établissement n’est signalé touché et aucune déclaration de l’éditeur n’a été trouvée, de sorte que l’extension du risque à d’autres utilisateurs du logiciel relève d’une hypothèse de vigilance, non d’un fait établi.

Les données dont le vol est confirmé sont le nom, le prénom, les informations relatives à la naissance et l’identifiant interne du patient. Selon l’AP-HP, aucune donnée médicale directe ou indirecte, aucune information administrative ou bancaire et aucune coordonnée de contact ne serait concernée, ce qui repose pour l’instant sur la seule déclaration de l’institution. Même limitées, ces informations se prêtent à un usage concret : figurer dans un fichier de gestion des repas laisse déduire, par simple inférence et non par une déclaration de l’AP-HP, un séjour dans un hôpital de l’institution à une période donnée, et une identité complète associée à un identifiant de patient suffit à rendre crédible un message d’hameçonnage ou une tentative d’usurpation se réclamant de l’AP-HP.

Selon Clubic et Cyberattaque.org, l’AP-HP a en outre fait réinitialiser les mots de passe de tous les utilisateurs du logiciel et signalé l’incident à la CNIL ainsi qu’à la Cellule d’accompagnement en cybersécurité des structures de santé, sans que la date de ces signalements soit connue (France 3 Régions ne mentionne pas la CNIL). Aucune source ne dit si les patients concernés ont été informés individuellement. L’incident est distinct de l’alerte de décembre 2025, où une revendication portant sur le dossier patient informatisé n’avait pas pu être étayée et avait été levée en janvier 2026, sans lien établi avec celui-ci.

Les patients de l’AP-HP qui recevraient un message, un SMS ou un appel se réclamant de l’institution, notamment pour confirmer leur identité ou régler une somme, ont intérêt à ne pas répondre directement et à rappeler le service concerné par le numéro figurant sur le site officiel de l’AP-HP. Les professionnels de l’AP-HP qui utilisent le logiciel de repas auront intérêt à vérifier que le mot de passe de ce compte n’est pas réutilisé ailleurs, tant que les revendications relatives aux comptes de soignants n’ont pas été tranchées.