Ce que vous n’avez jamais osé dire
![Image Les [cyberattaques de frigos] touchent toute l’Europe](https://incyber.org//wp-content/uploads/2024/03/adobestock-749446930-885x690.jpeg)
Il possédait à la fois ce qu’elles avaient dit et les coordonnées auxquelles les menacer.
Environ 33 000 dossiers avaient été dérobés. Des données furent publiées sur le dark web. Condamné en première instance en 2024, Aleksanteri Kivimäki a vu sa peine portée en appel à six ans et onze mois en février 2026. Plus de 21 000 tentatives d’extorsion figuraient dans l’affaire. La comptabilité judiciaire donne l’échelle. Chaque message, lui, était reçu seul.
La confidence devenue adresse
Une confidence possède un destinataire. C’est à cette condition qu’elle peut être prononcée. Le même récit confié à un thérapeute, reçu par un employeur ou lu par un parent ne constitue pas le même événement. La phrase reste identique. La relation dans laquelle elle tombe en change la violence.
La confidentialité informatique protège cette distribution des destinataires. Elle maintient une séparation entre ceux qui peuvent lire et les autres. Vastaamo montre ce qui arrive lorsque cette frontière cède : les mots destinés à aider quelqu’un à vivre deviennent les moyens de le contraindre.
Le dossier fournit alors deux armes. Son contenu permet d’effrayer. Ses coordonnées permettent d’atteindre. Leur réunion transforme une base clinique en infrastructure d’extorsion. Le criminel n’a pas besoin de comprendre chaque existence. Il peut automatiser la menace et laisser chacun imaginer lui-même ce que la publication lui coûtera.
La victime accomplit dans sa peur une partie du travail de l’attaquant.
Un système ouvert sur les vies
L’analyse publiée dans Australasian Psychiatry décrit, à partir des enquêtes disponibles, des carences dans la protection de la base, le chiffrement et la gestion des mots de passe. Le problème ne dépendait d’aucune technologie prodigieuse. Des dossiers extrêmement sensibles étaient insuffisamment défendus.
La première frontière doit empêcher qu’une base clinique soit directement accessible depuis Internet. La suivante doit limiter ce que permet un accès obtenu. Un soignant autorisé à consulter ses patients n’a pas nécessairement à pouvoir extraire tous les dossiers du réseau. Les comptes d’administration, les fonctions d’exportation et les accès de maintenance doivent posséder des droits distincts.
Cette séparation change l’étendue possible du désastre. Une compromission locale ne devrait pas livrer immédiatement toutes les vies confiées à l’établissement. L’authentification forte réduit certains risques d’accès frauduleux ; la limitation des privilèges réduit ce que cet accès permet ensuite de prendre. Aucune des deux ne remplace l’autre.
Il faut aussi voir sortir les données. Des lectures massives ou une extraction inhabituelle doivent produire une alerte exploitable. Les journaux doivent permettre de retrouver les opérations sans recopier les confidences elles-mêmes. Sinon, l’outil chargé de surveiller le secret en constitue un deuxième dépôt, parfois moins protégé que le premier.
Le chiffrement ne referme pas une bouche
Le chiffrement protège une base volée à certaines conditions : les clés ne doivent pas être emportées avec elle, et l’attaquant ne doit pas pouvoir obtenir les données par l’application qui les déchiffre. Lorsqu’un accès compromis possède déjà le droit de lire, le contenu peut être extrait en clair malgré la protection du disque.
C’est pourquoi le mot « chiffré » ne doit jamais clore l’examen. Il faut demander contre quel accès la protection résiste, qui détient les clés et quelles opérations restent possibles après une compromission. La promesse doit être éprouvée au point où les données redeviennent lisibles.
La séparation entre identité civile et notes cliniques peut également réduire l’exploitation d’un vol partiel. Elle exige que leur rapprochement soit strictement contrôlé. Mais la pseudonymisation rencontre une limite terrible : une histoire peut contenir son propre nom sans l’écrire. Une profession rare, un lieu, un accident familial peuvent suffire à reconnaître quelqu’un.
La personne se trouve parfois dans la phrase. La masquer dans une colonne ne la retire pas du récit.
La sauvegarde des machines
Nous savons restaurer une base. Nous ne savons pas restaurer sa confidentialité après sa copie par un adversaire.
Cette asymétrie devrait gouverner la préparation des crises. Une sauvegarde saine permet de reprendre les soins. Elle ne retire rien au maître chanteur. Un changement de mot de passe ferme un accès ; il ne rend pas illisibles les dossiers déjà emportés. L’ICO britannique rappelle qu’après une exfiltration, même un paiement ne permet pas de tenir les données pour sécurisées.
La confidentialité perdue ne revient pas avec le service.
La défense commence donc avant le vol, dans la quantité et la précision de ce qu’on conserve. Chaque note doit répondre à une nécessité de soin et à une durée de conservation justifiée. Les exports, les environnements de test et les sauvegardes doivent subir le même examen. Une copie oubliée peut survivre à toutes les précautions prises sur la base principale.
Après l’attaque, l’enquête doit établir quels accès ont été utilisés, quels dossiers ont pu être lus et quelles extractions sont attestées. Quand les traces manquent, le périmètre demeure incertain. Cette incertitude appartient au dommage : personne ne peut promettre au patient que son dossier n’a pas circulé simplement parce que le système n’a rien enregistré.
Ce qui reste après le rétablissement
Au procès, l’avocate Jenni Raiskio a rapporté que son cabinet avait été contacté par des proches de personnes s’étant suicidées après la publication de leurs dossiers. Ces déclarations ne permettent pas d’attribuer chaque décès à la fuite. Elles donnent la mesure de ce que la gestion d’incident doit prendre en charge au-delà des serveurs.
Il faut un canal vérifiable pour joindre l’établissement, une procédure pour transmettre les menaces et un accompagnement qui ne laisse pas chaque patient négocier avec l’inconnu. La sécurité doit encore fonctionner lorsque l’attaquant utilise les véritables coordonnées de la victime et lui présente une preuve authentique du vol. Ici, la menace est convaincante parce que les données sont vraies.
Le criminel peut partir. Le fichier peut rester. Une vie entière devra peut-être s’organiser autour de la possibilité que quelqu’un le retrouve.
On leur avait demandé de parler pour aller mieux. Ils avaient réussi. La machine avait conservé leurs mots. Quelqu’un avait compris combien pouvait rapporter leur silence.