Justine

À vôtre bienveillance les gens, autant que se peut.
Toujours en mon nom pseudo, rien sous ma casquette professionnelle.

[Justine @_____Anne___]

@Willibou @Fraslin Si c'est bien coché en ALD (donc rechute), de notre côté, on enregistre pareil/paie.

[Justine @_____Anne___]

@Fraslin https://t.co/lbhLqMvZDJ

[Christophe Boutry @Ced_haurus]

👉 Un mot sur la prétendue fuite du "DMP", le Dossier médical partagé.

Je vois passer les gros titres et les superlatifs sur la reprise d'une revendication d'un cybercriminel avec à la clé "34 millions de DMP".

Pour le moment c'est surtout un agrégat de données recyclées repeint aux couleurs du DMP. Une petite analyse n'aurait pas fait de mal avant de se lancer...

Un dossier médical... sans rien de médical

On nous vend une fuite du Dossier médical partagé sans la moindre donnée médicale. Pas une ordonnance, pas une analyse, pas un champ libre de praticien, rien. C'est balot pour le coeur du DMP.

En revanche, il y a des IBAN. Qu'est ce que ça fout là ? Le DMP, c'est votre carnet de santé numérique. Ça ne stocke aucune donnée bancaire, ce n'est pas sa fonction. Votre RIB, lui, il est dans votre compte Ameli, à la CPAM, pour vos remboursements. Un autre monde.

Alors qu'est-ce que des IBAN viennent faire dans un "DMP" ? Posez-vous la question. La réponse tient en une ligne : s'il y a des IBAN, ce n'est probablement pas le DMP.

Le détail qui tue : le numéro de Sécu et l'IBAN ne se touchent jamais..

J'ai regardé l'échantillon publié dans l'annonce, près de 900 fiches. Dans le système de santé, chacun est identifié par son numéro de Sécu, le fameux matricule INS. C'est la colonne vertébrale d'une vraie base santé.

Or les fiches qui portent un numéro de Sécu et celles qui portent un IBAN ne tombent jamais sur la même ligne. Jamais. Zéro croisement.

Dans une base unique et "authentique", votre numéro de Sécu est assis juste à côté de vos autres infos. Là, non. On a deux paquets distincts, collés l'un sur l'autre. Ce n'est pas une base, ce sont deux fuites différentes scotchées sous la même étiquette.

Même la fiche de vente est gonflée (comme d'hab)
Le vendeur annonce 80% de numéros de Sécu et 30 à 40% d'IBAN. L'échantillon, lui, donne 62% et 20%.
Ca fait peu de numéro de sécu pour une base de données de santé.

Le cybercriminel annonce avoir "scrapper le DMP".

Scraper le DMP, vraiment ? Souvenez-vous de FICOBA
On pourrait croire que les bases de l'Etat sont facile à récupérer avec des failles grossières. On a tous en tête FICOBA, le fichier des comptes bancaires géré par l'État, qui s'est fait siphonner début 2026. Forcément, on se dit qu'une grosse base sensible peut partir d'un coup, alors pourquoi pas le DMP.

Sauf que regardez comment ça s'est passé pour FICOBA. Un identifiant de fonctionnaire habilité volé, un accès repéré et au final 1,2 million de comptes touchés, moins de 1% du fichier.

Voilà à quoi ressemble une vraie extraction massive : un accès privilégié détourné, détecté et plafonné. Mais pas 34 millions de comptes santé authentifié aspirés tranquillement et "frais d'il y a deux jours".

Et la fameuse faille IDOR ?

Un blog "spécialisé" dans les fuites avance une piste technique : l'accès se serait fait avec des identifiants e-CPS, ceux des professionnels de santé, via une faille de type IDOR, suivie d'une élévation de privilèges.

Le scénario n'est pas absurde. Il colle même au mode opératoire des attaques contre les opérateurs de tiers payant. On piège un pro de santé, on entre avec sa session légitime, et si le portail ne vérifie pas correctement qui a le droit de voir quoi, on énumère les fiches et on en moissonne des millions.

Sauf qu'il y a un hic. Ce vecteur, au mieux, explique la moitié du fichier.

Un portail santé compromis recrache de l'administratif : état civil, numéro de Sécu, contrat, assureur. Pas le carnet médical. Et surtout pas des IBAN, des mails et des téléphones, qui ne passent jamais par ces plateformes. Almerys le dit lui-même.

Quant à "l'élévation de privilèges" posée après l'IDOR, ça fait bien sur le papier, mais si vous avez déjà l'IDOR, vous n'en avez pas besoin. Ça ressemble surtout à du vocabulaire pour faire sérieux.

Alors c'est quoi, au juste ? Sûrement un agrégat

Le bloc adresse, mail, téléphone, IBAN ne sort pas d'un système de santé. Ce profil-là, on le connaît, c'est celui des grosses fuites télécom et e-commerce, avec noms, adresses, téléphones et IBAN. Exactement ça.

Le montage le plus probable : une couche "numéro de Sécu" d'origine santé, genre Almerys, recollée à une couche contact-bancaire genre Free, le tout dédoublonné, enrichi, repackagé, et rebaptisé "DMP" parce que ça fait un bien meilleur titre.

Derrière l'emballage bidon, il y a de la vraie donnée. Des numéros de Sécu cohérents, des IBAN valides. Le risque pour les gens est réel, phishing, fraude au virement, usurpation d'identité. Donc vigilance tout de même.

Mais non, ce n'est probablement pas LE piratage du Dossier médical partagé. C'est un assemblage de fuites recyclées maquillé en scoop.

[Justine @_____Anne___]

@dominiqueb33 @mantzig @DokPepper Vous envoyer un chèque avec votre numéro de sécurité sociale au dos. Ou via le chat bot, vous écrivez "envoyer un message" et vous demander un courrier de vos PF et FR. Si vous ne payez pas, à votre décès, vos héritiers recevront la facture des 5 der années.

[Justine @_____Anne___]

@Topiramatee La méthode des petits pas comme le marche après marche lorsque l'on monte un escalier sans en sauter une.

[Justine @_____Anne___]

@Fraslin @nicolasberrod

[Justine @_____Anne___]

@Fraslin @nicolasberrod Ces arrêts (de ceux que j'ai vu) sont bloqués sans carence ni ij (Sanction) donc la prévoyance n'intervient pas sans relevé d'IJ avec la notion de carence/IJ.

[Justine @_____Anne___]

@dr646464 Pour les chaises, il faudrait comparer la distance entre les pieds et le diamètre du robot. J'ai le Mova V50 Ultra Complete et les caméras embarqués et IA font bien le job.

[Justine @_____Anne___]

@mastie87 Douces pensées à sa famille... Merci Murmures d'ancêtres de tous vos partages.

[Justine @_____Anne___]

@Fraslin @Urs0205Re Oui Dr, j'ai pas été précise, je voulais identifier @Urs0205Re

[Justine @_____Anne___]

@Fraslin @Urs0205Re Via l'application (seulement), pour la CPAM, il y a cette rubrique. Avez-vous accès également ?

[Justine @_____Anne___]

@Clar_roche Une belle histoire débute https://t.co/K4t3bkRCwA

[GOSSIP ROOM @GossipRoomOff]

🚨 Heureuse nouvelle pour Punch, le petit macaque rejeté à la naissance au zoo d’Ichikawa : longtemps isolé et accroché à sa peluche pour se rassurer, il a enfin été accepté par le groupe.

Après des débuts difficiles, il a commencé à jouer avec d’autres jeunes singes et a même été câliné et toiletté par un adulte pour la première fois.

Un tournant essentiel chez les primates, où le lien social est vital. 🐒💛 (via Prisme Média)

[Justine @_____Anne___]

@Fraslin

[Seb @seblatombe]

🚨🔴 ALERTE | Fuite de données - 23 535 médecins concernés 🇫🇷 ⤵️

Un hacker a piraté une base de données de médecins remplaçants exerçant en France.
Le fichier regroupe les informations personnelles de 23 535 docteurs, dont leur nom, prénom, localisation et numéros de téléphone.

Ces données exposent les professionnels de santé à des risques élevés de phishing ciblé, d’escroqueries et d’usurpation d’identité.

📂 Données compromises :
👉🏻 Nom et prénom
👉🏻 Email professionnel
👉🏻 Numéro de téléphone / mobile
👉🏻 Localisation (ville, code postal)
👉🏻 Numéro d’autorisation professionnelle

[Justine @_____Anne___]

@Fraslin En effet, il est pré-ouvert s'il n'y a pas eu opposition mais l'assuré doit l'activer s'il souhaite l'ouvrir complètement.

[Justine @_____Anne___]

@Petit_Lay On reconnaît bien le H sur la clôture. J'espère que la promenade a été folklorique !

[Justine @_____Anne___]

@aeris_v2 @seblatombe @_SaxX_ @Ced_haurus @CNIL Merci pour votre retour !

[Justine @_____Anne___]

@aeris_v2 @seblatombe @_SaxX_ @Ced_haurus @CNIL Bonjour,
Juste pour être sûre, nous pouvons vous mandater pour les fuites de données et l'impact dans nos vies du coup ? Cela peut avoir le pouvoir de faire bouger les choses, je suppose, mais individuellement, cela peut-il m'aider pour gérer l'impact ? Avez-vous des exemples ?

[Christophe Boutry @Ced_haurus]

❌ Ils ont laissé fuiter vos données en 2025.
Et pour 2026, on fait quoi : on subit… ?

Je vous mets ci-dessous la liste (mois par mois) d’une année désastreuse. Partagez pour informer ℹ️

Décembre 2025

➡️ @REDbySFR @SFR (données clients : nom, email, adresse, téléphone)
➡️ @Sports_gouv (Pass’Sport : 3,5 millions de foyers)
➡️ ParaShop (données d’identité et adresses)
➡️ @SoundCloud (≈ 20 % des utilisateurs)
➡️ @Pornhub (données d’analytics liées à certains comptes Premium : activité/consultation/recherches)
➡️ @Interieur_Gouv (“un certain nombre de fichiers”)
➡️ Euromatik (données clients + mots de passe chiffrés)
➡️ FranceVentil (coordonnées bancaires : n° de carte, expiration, CVV)
➡️ Résidence du Parc – Champdeniers-Saint-Denis (ransomware)
➡️ @FFCyclisme (≈ 1 million d’adhérents)
➡️ @UFOLEP (UFOLEP / Exalto : données d’identité et de contact)
➡️ @Cuisinella (données de contact)
➡️ Schmidt France (données de contact)
➡️ @FFHandball (GestHand : données d’identité et contact)
➡️ Itelis Officiel (ASAF & AFPS / Itelis : données de santé, NIR, remboursements)
➡️ @medecindirect (données de santé / téléconsultations / NIR)
➡️ @leroymerlinfr (données de fidélité et de contact)
➡️ @FranceTravail (≈ 1,6 million de jeunes)

Novembre 2025

➡️ LCFinancement (dossiers de financement)
➡️ La Rochelle (La Rochelle / Synbird : données de rendez-vous)
➡️ SoftwayMedical (Weda – MSP Givors Presqu’��le : données de santé)
➡️ @FFF (Footclub : données de licence)
➡️ SoftwayMedical (Weda – MSP du Pré Vicinal : données de santé)
➡️ SoftwayMedical (Weda – Clinique du Millénaire : données de santé)
➡️ ffdanse (ITAC : données de licence)
➡️ Itelis Officiel (≈ 5 millions de patients)
➡️ @AG2RLAMONDIALE (AG2R / Itelis : données de santé + NIR)
➡️ Itelis Officiel (APRS / Itelis : données de santé + NIR)
➡️ Murfy_fr (données de contact)
➡️ Mairie de Saint-Aubin d’Aubigné : données de contact)
➡️ villedechatou (RDV360 : données de contact)
➡️ VilledeQuimper (RDV360 : données de contact)
➡️ @MalakoffHumanis (Itelis : demandes de devis optique)
➡️ @Michelin (ransomware / données d’entreprise)
➡️ @ColisPrive (données de contact)
➡️ @Alfortville_94 (RDV360 : données de contact)
➡️ Synbird_com (données de rendez-vous)
➡️ Resana Interieur_Gouv (données non précisées)
➡️ @Urssaf (Pajemploi : ≈ 1,2 million / IBAN + NIR)
➡️ EurofiberGroup (≈ 3 600 entreprises : accès VPN, code source, etc.)
➡️ Brest (RDV360 : ≈ 50 000 concitoyens)

Octobre 2025

➡️ SoftwayMedical (Weda : données de santé)
➡️ fedecardio (données de contact)
➡️ @OuiHeberg (données de contact)
➡️ fans_mym (≈ 5 millions de clients)
➡️ FranceTravail (16 479 personnes / auth en clair, RIB, avis d’imposition)
➡️ Poltronesofa (ransomware)
➡️ tir_ff (ITAC : données de licence)
➡️ @Assur_Maladie (ARS : ≈ 34 millions de patients)
➡️ ChiComte (CH Intercommunal de Haute-Comté : ransomware)
➡️ @Mango (données de contact)
➡️ @ars_hdf (identité, NIR, statut donneur)
➡️ @hautsdefrance (pièces d’identité, CV, notes)
➡️ FranceTravail (≈ 5 500 demandeurs d’emploi)
➡️ @discord (paiement, support, pièces d’identité)

Septembre 2025

➡️ FranceTravail (9 971 demandeurs d’emploi)
➡️ Lanef_banque (adresses email)
➡️ @GroupeInovie (Inovie Labosud : données médicales + sécurité sociale)
➡️ dcs_global (Digital Charging Solutions : noms + emails)
➡️ ffttofficiel (ITAC : données de licence)
➡️ @ClarinsFR (100 000+ clients)
➡️ @plex (emails + mots de passe hachés)
➡️ @eklohotels (données non précisées)

Août 2025

➡️ @auchan_france (fidélité + contact)
➡️ @GoogleFR (2,25 millions de données)
➡️ Partner Immo (ransomware)
➡️ France Link Interactive (≈ 20 Go / ransomware)
➡️ alltricks_com (liste de diffusion)
➡️ FranceTravail (contact + identifiants)
➡️ @optic2000 (NIR, date de naissance, n° client)
➡️ @airfrance (Flying Blue + contact)
➡️ @bouyguestelecom (≈ 6,4 millions / IBAN)
➡️ @Pandora_FR (noms + emails)

Juillet 2025

➡️ @orange_france (données non précisées)
➡️ 5asec_France (≈ 290 Go)
➡️ FranceTravail (identifiants + statut)
➡️ @LouisVuitton (achats + préférences)
➡️ @Sorbonne_Univ_ (données employés + familles)
➡️ @CNFPT (≈ 34 000 / pièces d’identité, IBAN, CV)
➡️ @unss (≈ 8 millions d’élèves)

Juin 2025

➡️ @RamsaySante (Hôpital privé de la Loire : ≈ 530 000 / NIR + résultats)
➡️ @DisneylandParis (≈ 64 Go)
➡️ @Cartier (données de contact)
➡️ Kaviari_Paris (historique de commandes + mots de passe)

Mai 2025

➡️ Autosur (plaques + contact)
➡️ @Dior (données non précisées)
➡️ Pulsysante (données médicales + parcours de soin)

Avril 2025

➡️ @cerballiance (données non précisées)
➡️ @CarrefourFrance (Carrefour Mobile : ≈ 64 000 / mots de passe + passeports)
➡️ easycashfr (noms + dates de naissance)
➡️ Indigogroup_fr (plaques + contact)
➡️ ALAIN_AFFLELOU (données de contact + commerciales)
➡️ @HertzFR (permis, passeports, CB)
➡️ Harvest_Groupe (≈ 50 000 personnes + 5 000 entreprises)
➡️ UTWIN_Assurances (identité + contact)
➡️ Reporterre (données de contact)

Mars 2025

➡️ @MAIF (MAIF & BPCE : patrimoine, revenus, situation familiale)
➡️ oraclecloud (≈ 6 millions / LDAP)
➡️ CentraleNantes (code source + rapports privés)
➡️ cerballiance (NIR + données de mutuelle)
➡️ Autosur (Autosur & Diagnosur : plaques + contact)
➡️ EEdF_ (≈ 44 000 utilisateurs)
➡️ Intersport_FR (≈ 3,4 millions : transactions + fidélité)
➡️ DirectAssurance (données non précisées)
➡️ Laforet_france (dossiers locataires, pièces d’identité, RIB)
➡️ UTWIN_Assurances (identité + contact)
➡️ CoteSushi (fidélité + contact)
➡️ LaPosteBusiness (identité + contact)

Février 2025

➡️ @EDFofficiel (EDF DPIH : plans maintenance centrales)
➡️ Zephir (IBAN + contact)
➡️ École Nationale de la Sécurité (≈ 30 000 / NIR + diplômes)
➡️ departement59 (Nord Emploi : dossiers RSA, CAF, CV)
➡️ FFF (ITAC : justificatifs d’identité + photos)
➡️ sdis86 (logins + mots de passe hachés)
➡️ SportDecouverte (488 023 comptes)
➡️ Mutuelle Motards (données de contact)
➡️ caissedesdepots (≈ 70 000 personnes)
➡️ chronopost (signatures + coordonnées)
➡️ KingJouet_fr (détails de commandes)
➡️ Vorwerk FR (Espace-Recettes[.]fr : données Thermomix)

Janvier 2025

➡️ assoAIDES (données de santé, NIR, IBAN)
➡️ FFME_officiel (808 881 comptes)
➡️ Leclerc (dossiers de primes + montants)
➡️ FFF Tir à l’Arc (ITAC : 625 434 comptes)
➡️ FFForce_ (ITAC : 64 512 comptes)
➡️ FFRollerSkate (ITAC : données de licence)
➡️ KiabiFrance (IBAN / credential stuffing)

Liste non exhaustive….
(Sources Bonjourlafuite[.]org - 19/12/2025)

[Justine @_____Anne___]

@blaise_boussel Une question, concernant Ameli annuaire santé, c'est donc les Professionnels de Santé qui sont impactés et en même temps, l'annuaire santé est public déjà. Autre chose m'échappe ? Merci

[Justine @_____Anne___]

@Fraslin @MCazeneuve @ThomasFatome https://t.co/j8B3gwWDnH