Французскую больницу оштрафовали на €500,000 после утечки данных 727,000 человек

Французский регулятор по защите данных CNIL оштрафовал Hôpital privé de la Loire на €500,000 за утечку данных пациентов и их родственников. По оценке ведомства, летняя утечка 2025 года затронула сведения о 727,113 человек.

В материале CNIL отдельно указано, что среди раскрытых данных были сведения о 524,867 пациентах и 202,246 человек, указанных как доверенные третьи лица. Hôpital privé de la Loire находится в Сент-Этьене, входит в группу Ramsay Santé и оказывает медицинские, хирургические, родовспомогательные, онкологические, реанимационные и неотложные услуги.

У больницы 650 сотрудников, в том числе 180 врачей, 333 койки и пять клинических подразделений. По данным источника, она обслуживает около 60,000 пациентов в год.

Расследование CNIL показало, что внешние пользователи, включая врачей частной практики, могли входить в систему без VPN и многофакторной аутентификации. Слабые настройки доступа позволяли скомпрометированной учётной записи видеть записи всех пациентов больницы, а отсутствие мониторинга в реальном или близком к нему времени дало атакующему несколько дней на поиск и выгрузку данных без обнаружения.

Ведомство также указало, что больница сообщила об инциденте пострадавшим пациентам, но не уведомила напрямую 202,246 доверенных третьих лиц, чьи данные тоже были похищены. Нарушения CNIL связала со статьями 32 и 34 GDPR, а во время разбирательства HPL, по словам комиссии, приняла ряд мер по усилению безопасности.

Ранее ответственность за атаку взял на себя подросток, назвавшийся «Marak». Он написал французскому изданию Le Progrès через Telegram и утверждал, что взлом начался с доступа к учётной записи одного врача, после чего открылся доступ ко всей внутренней системе HPL.