VitalAire (Air Liquide) : numéros de Sécurité sociale de patients à domicile exposés après une cyberattaque détectée le 19 septembre

VitalAire, filiale d’Air Liquide Healthcare spécialisée dans la santé à domicile, a indiqué à ses patients avoir détecté une cyberattaque le 19 septembre 2026. Un acteur avait revendiqué le jour même sur un forum environ 50 000 lignes issues de la plateforme VitalWeb, puis l’entreprise a écrit à ses patients, d’après la presse spécialisée, que des tiers non autorisés avaient accédé à un fichier de données. Selon ce courrier, non daté et cité par Cyberattaque.org et Fuites Infos dans des articles mis à jour le 29 septembre, VitalAire a suspendu ses extranets, notifié la CNIL et déposé plainte, tandis que le portail MyVitalAire a été fermé, avec une réinitialisation du mot de passe prévue à sa réouverture.

Plusieurs points restent à établir. Les 50 000 lignes revendiquées ne constituent pas un nombre de personnes : FrenchBreaches rappelle que ce volume ne permet pas d’affirmer que 50 000 patients distincts sont concernés, et les 49 984 patients du titre de Fuites Infos reposent sur un décompte non expliqué. L’auteur de la revendication évoque par ailleurs un défaut de contrôle d’accès dans la fonction de recherche de patients de VitalWeb, exploité depuis un compte dépourvu de double authentification, une méthode que VitalAire ne confirme pas et que FrenchBreaches présente comme à confirmer indépendamment. La notification à la CNIL et la plainte ne sont rapportées que par deux observatoires d’après un courrier non daté, et Cyberattaque.org notait encore le 1er octobre, dans un article consacré à Orkyn’, que VitalAire n’avait pas confirmé publiquement, la confirmation passant vraisemblablement par un courrier aux patients plutôt que par un communiqué. Au 8 octobre 2026, ni fr.vitalaire.com ni la page « Information patients » de healthcare.airliquide.com ne comportait d’avis d’incident, et aucune communication d’Air Liquide au niveau du groupe n’a été trouvée.

VitalAire reconnaît l’exposition de l’état civil (nom, prénom, sexe, date de naissance), du numéro de Sécurité sociale (NIR) et de données de contact, dont la commune et le code postal, tout en affirmant, selon son courrier rapporté par la presse, qu’aucune donnée de santé ne figure dans sa base. La nuance est limitée, car être suivi par un prestataire de santé à domicile (apnée du sommeil, oxygénothérapie, perfusion) révèle déjà une pathologie. Le NIR associé au nom et à la date de naissance se prête à l’usurpation auprès de l’Assurance Maladie ou d’une mutuelle, et des patients chroniques habitués à échanger avec leur prestataire sont exposés à un hameçonnage se faisant passer pour lui : faux appel annonçant l’échéance d’une prescription, faux renouvellement de matériel, demande de code reçu par SMS. Les observatoires relèvent en outre un identifiant interne de patient dans l’échantillon, sans confirmation de l’entreprise, et Fuites Infos évoque, d’après la revendication, environ 700 mineurs, ce que Cyberattaque.org et FrenchBreaches ne mentionnent pas.

Orkyn’, l’autre filiale d’Air Liquide Healthcare dans la santé à domicile, a signalé à ses patients un incident détecté le même jour, le 19 septembre 2026, sans qu’aucun lien technique entre les deux incidents ne soit établi publiquement, comme le précise Fuites Infos. Les volumes, les dates de mise en ligne et les données concernées différant d’un prestataire à l’autre, chaque incident fait l’objet d’une fiche distincte : voir la fiche consacrée à Orkyn’.

Les patients de VitalAire gagnent à considérer comme suspect tout appel, SMS, courriel ou courrier se réclamant du prestataire, de l’Assurance Maladie ou de leur mutuelle, même s’il cite leur médecin, leur traitement ou une date de visite, ces éléments ne prouvant plus l’identité de l’interlocuteur. Il vaut mieux raccrocher et rappeler le numéro figurant sur le contrat ou une facture, ne jamais communiquer de coordonnées bancaires, de code reçu par SMS ni de pièce d’identité, transmettre les SMS douteux au 33700 et signaler les courriels sur signal-spam.fr. Le mot de passe de l’espace patient doit être changé partout où il a été réutilisé, y compris à la réouverture du portail MyVitalAire. Un droit d’accès peut enfin être exercé auprès du délégué à la protection des données d’Air Liquide et, en cas d’usage frauduleux, une plainte et une saisine de la CNIL restent possibles.