Dossier patient électronique : le vol de données par des pirates informatiques reste possible

Berlin/Hanovre. Peu avant la fin de l'année 2024/25, la sérénité qui régnait parmi les responsables du dossier patient informatisé (DPI) a été brutalement interrompue : des hackers du Chaos Computer Club (CCC) ont démontré, lors de la conférence annuelle du club, comment le nouveau système numérique pouvait être piraté – permettant potentiellement d'accéder à des millions de dossiers. En conséquence, la mise en place du DPI a d'abord été reportée, et environ 5 % des assurés se sont initialement opposés à son utilisation.

Le dossier patient informatisé (DPI) est désormais officiellement en vigueur et obligatoire pour les professionnels de santé depuis le 1er octobre. Des améliorations significatives ont également été apportées à la sécurité ces derniers mois : Gematik, l’agence fédérale pour la médecine numérique, a mis en œuvre plusieurs mesures d’amélioration suite aux rapports du Chaos Computer Club (CCC). Pirater un DPI est aujourd’hui plus difficile, mais pas impossible.

Les experts informatiques du CCC critiquent un détail précis qui rend encore vulnérable le nouvel outil. Selon Gematik, une solution est en vue, mais pas avant l'année prochaine au plus tôt.

Ça y est : le dossier patient électronique est désormais opérationnel. Cependant, de nombreux patients s’interrogent encore : comment y accéder ? Qui décide qui peut consulter quelles informations ? Et surtout : la sécurité des données sensibles est-elle garantie ?

Pour comprendre le problème, il faut comprendre le fonctionnement du dossier patient informatisé (DPI). Actuellement, toute personne souhaitant accéder au dossier d'un patient a besoin de la carte d'identification du cabinet médical, ainsi que des données complètes de l'assuré : le numéro de carte, le numéro d'assurance maladie, l'adresse et la date de début de couverture. Gematik a déjà pris en compte cette limitation : la combinaison du numéro de carte et du numéro d'assurance maladie ne suffit plus. De plus, suite aux critiques du Chaos Computer Club (CCC), les développeurs ont limité le nombre d'accès possibles.

Les obstacles à une attaque sont donc devenus nettement plus importants, mais pas insurmontables. Des données telles que les adresses pourraient potentiellement être obtenues par le biais de fuites de données , et d'autres informations par hameçonnage. Lors de la conférence annuelle du CCC, les spécialistes en informatique Bianca Kastl et Martin Tschirsich ont également démontré comment ils avaient obtenu des cartes d'assurance maladie en contactant directement les compagnies d'assurance maladie par téléphone, et même des cartes d'identité de médecins grâce à une faille de sécurité. En avril, les pirates ont de nouveau démontré comment le dossier patient informatisé (DPI) pouvait être attaqué via la procédure dite de certificat de substitution. Gematik a par la suite comblé cette faille de sécurité.

Toutefois, cela ne suffit pas encore à satisfaire pleinement les pirates informatiques : la manière dont l’agence gère les failles de sécurité est « clairement perfectible », a déclaré Kastl au RedaktionsNetzwerk Deutschland (RND). Afin de minimiser efficacement les risques, cet expert en informatique souhaiterait la mise en place d’une procédure très spécifique pour le dossier patient informatisé (DPI).

Toute personne bénéficiant d'une assurance maladie obligatoire peut consulter et gérer son dossier médical électronique sur son smartphone. Pourtant, très peu le font. Il est pourtant important, par exemple, de verrouiller les documents confidentiels.

« Actuellement, l'accès à un dossier patient informatisé (DPI) ne requiert que de nombreuses informations : numéros de carte, numéro d'assurance maladie, adresse et date de début de couverture », explique Kastl. « On pourrait résoudre ce problème en ne lisant que les données signées et authentiques de la carte d'assurance maladie. Cela permettrait une vérification cryptographique irréfutable qu'il s'agit bien d'une carte émise par une compagnie d'assurance maladie. Cette technologie sécurisée existe donc depuis un certain temps, mais n'a pas encore été utilisée pour le DPI. »

Selon Gematik, une telle procédure est prévue pour l'année prochaine, comme l'a indiqué l'agence au RND. Il s'agit d'une procédure de « preuve de présence du patient » (PoPP). Interrogée sur la proposition du CCC concernant une signature cryptographique numérique, l'agence a déclaré : « Oui, une telle procédure est prévue avec la PoPP. » Cependant, elle est encore en cours d'élaboration, et aucun détail ne peut donc être fourni pour le moment.

Techniquement, le processus devrait fonctionner comme suit : le patient insère sa carte d’assurance maladie dans le dispositif au cabinet médical, comme auparavant. Cependant, au lieu de simplement lire les données de la carte, un processus d’authentification par défi-réponse s’exécute en arrière-plan. Le service PoPP – élément du système de sécurité – génère un nombre aléatoire et l’envoie à la carte d’assurance maladie. Celle-ci chiffre le nombre et renvoie le résultat. La carte n’est validée et physiquement présente que si le nombre aléatoire a été correctement chiffré. Les autorités n’ont pas initialement précisé de date de mise en œuvre pour 2026.

D’ici là, un risque résiduel persiste. Les experts en informatique soulignent régulièrement les dangers liés à des mesures d’authentification insuffisantes au sein du dossier patient informatisé (DPI). Kastl cite un cas survenu à Singapour : « En 2018, les données de santé de 1,5 million de personnes ont été consultées . La liste des médicaments du Premier ministre a également été visée. » Des données aussi sensibles font de telles fuites « un risque pour des nations entières », car elles permettent de cibler d’autres infrastructures critiques ou des personnalités politiques, explique l’expert.

Kastl cite également la cyberattaque survenue en 2023 chez Bitmarck, prestataire de services informatiques pour les caisses d'assurance maladie obligatoires et fournisseur du dossier patient informatisé (DPI). Lors de cette brèche, des données telles que les noms, dates de naissance et numéros de dossier médical uniques des cartes d'assurance maladie d'environ 300 000 clients en ligne de différentes caisses d'assurance maladie ont été compromises. À l'époque, les experts en informatique avaient également identifié des mesures d'authentification insuffisantes comme l'une des causes de cette faille .

Pour les particuliers, de telles attaques peuvent avoir de graves conséquences. Au Danemark, pays doté d'une infrastructure numérique bien plus développée, des pirates ont accédé aux informations les plus personnelles de dizaines de milliers de patients via un consortium de cabinets médicaux, notamment leurs dossiers médicaux. Allan Frank, spécialiste en sécurité informatique à l'Agence danoise de protection des données, avait déclaré à l'époque au RND que ces données intimes pouvaient servir au chantage : rares sont les personnes concernées qui souhaiteraient que leurs traitements soient rendus publics.

En Allemagne, la plupart des patients semblent se sentir suffisamment en sécurité avec leur dossier médical électronique (DME), malgré ses imperfections. Il y a quelques semaines, Gematik a publié des chiffres d'utilisation actualisés. Ces chiffres ont révélé une nouvelle augmentation au cours des quatre premières semaines, période pendant laquelle les cabinets médicaux, les pharmacies et les hôpitaux étaient censés utiliser le DME pour tous.

17,4 millions de demandes de listes de médicaments ont été enregistrées durant la dernière semaine d'octobre, contre 12,6 millions la dernière semaine de septembre. Le nombre de dossiers patients enregistrés est également en hausse : 10,6 millions de documents ont été téléchargés pour le seul mois d'octobre. Depuis la mise en place du dossier patient électronique (DPE), ce nombre s'élève à 37 millions.

La proportion de personnes s'opposant au dossier patient électronique (DPE) demeure relativement faible. Selon l'Association nationale des caisses d'assurance maladie obligatoires (GKV-Spitzenverband), citée par le réseau d'information RND, le taux d'opposition se maintient aux alentours de 5 %.