Le logiciel destiné aux cabinets médicaux de la société berlinoise Doc Cirrus est utilisé par de nombreux médecins en Allemagne. Le seul problème est que les données hautement sensibles sur la santé et les patients ne sont pas aussi privées qu’elles devraient l’être. Une faille de sécurité dans le logiciel rendait les données des patients et de santé accessibles à des tiers. Plus d’un million d’enregistrements de données concernant environ 60 000 patients auraient été affectés.
Doc Cirrus : logiciel de pratique inSuite avec fuite de données
En fait, le logiciel de cabinet inSuite développé par l’entreprise berlinoise est censé faciliter considérablement le travail des médecins. Selon le fabricant, le logiciel basé sur le cloud doit être, entre autres, modulaire et extensible, fonctionner sans entretien et offrir une protection maximale des données, indique-t-il sur sa propre page d’accueil.
Ce dernier point n’est apparemment pas le cas, comme le prouve le collectif Zerforschung dans son rapport rapporté par Tagesschau. Plus d’un million d’enregistrements de données contenant des données hautement sensibles sur les patients et la santé ont été perdus en raison de failles de sécurité massives et rendus entièrement accessibles à des personnes non autorisées, a déclaré Zerforschung. Selon les estimations, environ 60 000 patients ont été touchés.
Selon le rapport, le collectif a pu accéder aux comptes de messagerie des cabinets médicaux enregistrés avec le logiciel. Ceux-ci disposent de coffres-forts de données inSuite – de petits serveurs privés pour le cabinet concerné, qui ne sont pas accessibles via Internet, mais contrôlés de manière centralisée par un service de Doc Cirrus.
Trafic de courrier électronique librement visible
C’est précisément dans cet accès externe que se trouvait alors aussi la faille de sécurité. Ainsi, Zerforschung a pu obtenir les données d’accès complètes à la boîte e-mail générale des cabinets médicaux correspondants et ainsi lire tous les e-mails reçus par le cabinet.
« Et il n’est pas rare qu’on y trouve des informations privées sur les patients*innen. » donc Zerforschung dans le billet de blog. Et cela malgré le cryptage de bout en bout existant, qui ne s’étend apparemment pas aux documents sensibles. Les données personnelles telles que les noms, les diagnostics, les valeurs sanguines et, dans certains cas, même les médicaments prescrits, pourraient être consultées librement et en clair, a-t-il déclaré.
- Plus: Lacune de sécurité : les serrures de porte sans fil d’Abus peuvent être piratées
L’entreprise arrête complètement son logiciel
Zerforschung a transmis les résultats recueillis directement à l’Office fédéral allemand pour la sécurité de l’information (BSI) et en a informé le fabricant Doc Cirrus, qui a également réagi rapidement et a complètement fermé le portail inSuite.
L’entreprise en a informé dans un communiqué de presse du 11 juillet 2022 sur sa propre page d’accueil et attribue la faille de sécurité à une erreur de programmation dans son propre logiciel.
« Les services concernés ont été immédiatement désactivés et vérifiés par nos soins après réception du message » dit le docteur Cirrus. Les analyses internes des fichiers journaux et des modèles d’accès n’ont toutefois fourni aucune raison de croire que les informations sur le cabinet ou les patients avaient été consultées ou consultées par des tiers, ajoute-t-il.
Les erreurs de programmation ont depuis été corrigées et les services concernés «sont pour la plupart déjà à nouveau actifs». On n’a cependant pas voulu révéler combien de cabinets médicaux utilisent le logiciel en Allemagne et lesquels d’entre eux ont été concernés par la faille de sécurité.
En outre, on n’a pas indiqué si les patients étaient informés de la faille de sécurité. Sous l’égide du Tagesschau NDR et WDR soulignent cependant que bien que Doc Cirrus vante la sécurité particulièrement élevée de sa solution avec de nombreux certificats, ceux-ci ne sont pas destinés à la protection des données.
La sécurité informatique des systèmes de gestion des cabinets médicaux est exclusivement entre les mains des prestataires respectifs, informe l’Association nationale des médecins de l’assurance maladie légale (KBV) à la demande du NDR et du WDR.
