Faille de sécurité informatique tests Covid : 700.000 données personnelles des clients accessibles !

Une crise crée aussi des gisements d’opportunités. Une société l’a compris, Francetest SAS, qui a été créée très récemment pour offrir aux pharmaciens une plate-forme de saisie des données relatives aux tests antigéniques de dépistage du Covid-19 réalisés en officine. À charge, pour cette société, de transmettre les données recueillies à la plate-forme des autorités sanitaires, le SI-DEP (pour Système d’information de dépistage). Sauf que l’ergonomie du SI-DEP développé « à l’arrache » par l’AP-HP laisserait à désirer. Alors, Francetest propose aux pharmaciens une ergonomie plus soignée, moyennant un euro par dossier traité. En termes juridiques, Francetest serait un tiers déclarant qui a reçu un mandat de chaque pharmacien.

Mediapart a révélé, le 31 août, qu’une faille de sécurité existait chez Francetest : l’état civil, les informations de contact, l’identifiant de Sécurité sociale et le résultat du test de 700.000 clients des pharmaciens auraient été accessibles. Et quelles données concernant combien de pharmaciens ? Pas de chance, le mot de passe nécessaire pour y accéder était indiqué en clair sur le site Internet de la société. L’existence de la faille ne veut pas dire qu’une fuite a eu effectivement lieu. Bien sûr, tout est maintenant rentré dans l’ordre, le plombier a étanchéifié le système. Il n’y a pas de problème et, d’ailleurs, il a été résolu.

Sauf que...

Nous apprenons, à cette occasion, que Francetest n’était pas agréée, mais que cela n’a pas empêché les autorités de santé d’intégrer les données transmises. Francetest a contourné la difficulté technique en récupérant auprès de ses clients pharmaciens les identifiants nécessaires et s’est fait passer pour eux. Ce n’est ni plus ni moins qu’une usurpation d’identité numérique, certes, à laquelle les pharmaciens ont consenti. Dans ce cas précis, une procédure d’agrément, ça devrait servir à discriminer quelle contrepartie peut m’envoyer des données pour compte de tiers dont il sera présumé qu’elles sont exactes et authentiques, parce que la confiance a été établie entre l’émetteur, le prestataire et le destinataire. Bref, toute cette histoire a le goût, la couleur et l’odeur du bricolage. D’ailleurs, ça en est.

Blâmer Francetest pour n’avoir pas assez sécurisé ses systèmes est une option, mais que faut-il penser de la sécurité d’un système régalien qui intègre des centaines de milliers de données qui émaneraient de centaines de pharmaciens différents mais proviendraient toutes d’un seul et même ordinateur ayant une et une seule adresse Internet ? C’est comme de voir surgir le même coursier plusieurs centaines de fois par jour à l’accueil pour y déposer un pli.

Depuis le début de l’épidémie, nous sommes bombardés de données, des tableaux de bord tous azimuts sont tenus à jour et largement publiés et commentés. Mais puisqu’il semble si facile de falsifier une base de données publique qui fournit, en temps de pandémie, des données essentielles (le nombre de tests réalisés et les résultats), que penser de la fiabilité des données de synthèse qui devraient servir à prendre des décisions de santé publique ? Ne pourrait imaginer, à l'extrême, qu’un pirate informatique tendance « vaccinolâtre » inonde la base de données de résultats positifs inventés pour faire croître l’angoisse ? Ou qu’au contraire, un « rassuriste » anonyme minimise la proportion d’occurrences positives en faisant l’inverse ? Raisonner sur des chiffres auxquels il n’est pas possible d’accorder confiance me semble périlleux.

Toute cette focalisation quantitative – même si la quantification est indispensable – me fait penser à la gestion d’un cheptel où un taux de perte acceptable serait normé et prédéterminé, comme la démarque dans la grande distribution. Serait-ce trop demander que de voir des soignants soigner des patients ? Un pas de plus vers le transhumanisme ?

Imprimer, enregistrer en PDF cet article