Fuite de données de santé : un piratage présumé vise les personnes atteintes de cancer

Jinko, c’est une jeune startup française lancée en 2023 pour accompagner les personnes touchées par un cancer. La plateforme les met en relation avec une infirmière référente, propose des soins de support (nutrition, psychologie, activité physique) et une application mobile pour suivre son parcours pendant et après la maladie. Imaginez donc l’inquiétude que peuvent ressentir les patients en apprenant que, le 7 septembre 2026, un pirate a publié sur un forum cybercriminel une archive présentée comme la base complète du service.

L’information nous vient de FrenchBreaches, un site spécialisé en cybersécurité. Pour l’instant, Jinko n’a rien confirmé : on parle donc bien d’un piratage revendiqué, mais pas encore confirmé par une autre source.

D’après cette revendication, l’archive pèserait 3,7 Go et couvrirait 3 552 comptes actifs. On y trouverait les informations habituelles : noms, adresses e-mail, numéros de téléphone, adresses postales et dates de naissance. En réalité, le plus sensible se trouve ailleurs. Le pirate affirme disposer de données médicales très précises : type de cancer, stade de la maladie, présence de métastases, récidives, hormonothérapie, traitements en cours ou passés, médicaments et antécédents. Il évoque notamment 1 342 cas de cancer du sein, ainsi que des centaines d’autres localisations.

Comment Jinko aurait-il été piraté ?

L’origine de la faille ne semble pas encore tout à fait claire. Les données proviendraient de deux briques techniques de Google : Firestore, une base de données, et Firebase Storage, un espace de stockage de fichiers, tous deux très utilisés par les applications mobiles. Le pirate parle de 85 tables et 883 178 enregistrements exportés, plus une archive de 2 626 fichiers (images, PDF, audio, vidéos). Mais savoir d’où vient la brèche, faille de l’application, identifiants volés ou stockage mal configuré, reste une inconnue. La date du 7 septembre correspond à la mise en ligne de la revendication et non nécessairement au vol lui-même.

Au-delà des dossiers médicaux, le pirate dit détenir 20 635 messages échangés dans plus d’un millier de conversations, des notes de suivi rédigées à la main par des soignants, et même plusieurs centaines d’échanges avec un assistant utilisant l’intelligence artificielle. S’y ajouteraient les coordonnées de 142 médecins et 39 autres professionnels de santé, avec des liens permettant de rattacher chaque patient à l’équipe qui le suit.

Un risque de phishing très ciblé

Le danger principal reste évidemment l’hameçonnage. Avec le nom d’un patient, son traitement et le médecin qui le suit, un escroc peut envoyer un e-mail, un SMS ou passer un appel frauduleux bien plus crédible que le spam habituel, et donc bien plus difficile à repérer.

Dans les notes de suivi qui figureraient dans les données détaillées par FrenchBreaches, on lit par exemple qu’une patiente est « éprouvée par les effets secondaires de sa dernière chimiothérapie » ou que « la maladie s’est réinstallée ». Le fondateur du site ne mâche pas ses mots : selon lui, il n’y a « plus aucune limite pour les hackers, qui s’attaquent désormais aux données les plus intimes de personnes atteintes de cancer ».

L’affaire s’ajoute à une longue série. Les fuites s’enchaînent en France, du vol des données de 678 000 contribuables au fisc au piratage de l’Éducation nationale. La différence ici, c’est la nature des informations en jeu : des données de santé, protégées de façon renforcée par la loi, et qui touchent des personnes déjà fragilisées par la maladie.

À lire aussi :
Santé publique France confirme une cyberattaque : 80 000 fiches de contact exposées

Les bons réflexes en cas de piratage

Si vous avez été victime d’un piratage ou d’une fuite de données, quelques bonnes pratiques sont à garder en tête pour mieux vous protéger. Frandroid en a fait une liste :

• Changer sans attendre les mots de passe des comptes concernés ;
• En profiter pour changer aussi les mots de passe identiques ou similaires sur d’autres services ;
• Utiliser des mots de passe uniques et solides (avec, pourquoi pas, un gestionnaire de mots de passe) ;
• Activer la double authentification (2FA) partout où c’est possible ;
• Activer les Passkeys quand c’est possible ;
• Dans les semaines à venir, se méfier des emails, SMS ou appels suspects, même s’ils semblent crédibles ;
• Ne jamais cliquer sur un lien ou télécharger une pièce jointe en cas de doute ;
• Prévenir ses contacts si le piratage peut les concerner ;
• Mettre à jour ses appareils et logiciels pour corriger d’éventuelles failles de sécurité ;
• En cas de virements frauduleux, faire un signalement sur la plateforme Perceval.