Orkyn' (Air Liquide) : NIR et données de santé de patients à domicile exposés, un fichier d'environ 18 000 entrées proposé sur un forum

Orkyn’, filiale d’Air Liquide Healthcare spécialisée dans la santé à domicile, a indiqué à ses patients avoir détecté une cyberattaque le 19 septembre 2026, dans un courriel dont une capture a été publiée par Fuites Infos. Le message annonce la suspension de l’espace « Orkyn’ & moi », précise que des tiers non autorisés ont accédé à un fichier de données et reconnaît que certaines données personnelles ont été compromises. Un fichier d’environ 18 000 entrées présenté comme celui de ses patients n’est toutefois proposé sur un forum que le 1er octobre, avec des fiches que les observatoires disent collectées fin août.

Les dates et les chiffres de ce dossier ne se recoupent pas tous : la détection est annoncée le 19 septembre, la mise en ligne n’intervient que douze jours plus tard et les fiches seraient plus anciennes, de sorte qu’aucune date d’intrusion n’est confirmée. Les 18 000 entrées ne sont pas non plus un nombre de personnes : Fuites Infos avance environ 18 700 patients selon une méthode qu’elle ne détaille pas, FrenchBreaches n’établit pas l’équivalence entre une ligne et un patient, et le courriel d’Orkyn’ ne mentionne aucun nombre. La confirmation officielle repose sur ce seul courriel, dont la capture publiée s’interrompt avant les éventuelles mentions de la CNIL, de l’ARS ou d’une plainte, qu’aucune source ne documente. Le mode d’intrusion n’est pas communiqué, et Cyberattaque.org parle d’un vecteur indéterminé. Au 8 octobre 2026, ni orkyn.fr ni la page « Information patients » de healthcare.airliquide.com ne comportait d’avis d’incident, et aucune communication d’Air Liquide au niveau du groupe n’a été trouvée.

Orkyn’ reconnaît l’exposition de l’état civil, du numéro de Sécurité sociale (NIR), de coordonnées (téléphone, adresses postale et électronique) et d’un code patient, auxquels s’ajoutent des données de prise en charge (médecins prescripteurs, fin de prescription, installation et livraison de matériels, télésuivi), des données de santé (thérapie suivie, observance) et des données de facturation à l’Assurance Maladie (codes LPP). L’échantillon mis en vente reste plus étroit que le périmètre notifié. Le NIR associé au nom et à la date de naissance se prête à l’usurpation auprès de l’Assurance Maladie ou d’une mutuelle, et des patients chroniques habitués à échanger avec leur prestataire sont exposés à un hameçonnage se faisant passer pour lui : faux appel annonçant l’échéance d’une prescription, faux renouvellement de matériel, demande de code reçu par SMS.

VitalAire, l’autre filiale d’Air Liquide Healthcare dans la santé à domicile, a signalé à ses patients un incident détecté le même jour, le 19 septembre 2026, sans qu’aucun lien technique entre les deux incidents ne soit établi publiquement, comme le précise Fuites Infos. Les volumes, les dates de mise en ligne et les données concernées différant d’un prestataire à l’autre, chaque incident fait l’objet d’une fiche distincte : voir la fiche consacrée à VitalAire.

Les patients d’Orkyn’ gagnent à considérer comme suspect tout appel, SMS, courriel ou courrier se réclamant du prestataire, de l’Assurance Maladie ou de leur mutuelle, même s’il cite leur médecin, leur traitement ou une date de visite, ces éléments ne prouvant plus l’identité de l’interlocuteur. Il vaut mieux raccrocher et rappeler le numéro figurant sur le contrat ou une facture, ne jamais communiquer de coordonnées bancaires, de code reçu par SMS ni de pièce d’identité, transmettre les SMS douteux au 33700 et signaler les courriels sur signal-spam.fr, comme le recommande Orkyn’. Le mot de passe de l’espace « Orkyn’ & moi » doit être changé partout où il a été réutilisé. Un droit d’accès peut enfin être exercé auprès du délégué à la protection des données d’Air Liquide et, en cas d’usage frauduleux, une plainte et une saisine de la CNIL restent possibles.