La secrétaire de nuit et 13 millions de numéros PESEL. Deux histoires de MyDr que l’on confond facilement

Il fait nuit. Le cabinet est fermé depuis plusieurs heures, l’accueil est éteint, les ordinateurs dorment. Et pourtant, l’un des comptes de ce cabinet travaille comme jamais : il demande à un système de l’État si la personne portant tel numéro PESEL — le numéro d’identification national polonais — est assurée. Il reçoit une réponse : prénom, nom, statut. Il interroge le numéro suivant. Puis le suivant. Il ne prend pas de pause-café, ne se trompe pas de chiffre, ne rentre pas chez lui.

Personne n’a vu cette scène, et nous ne savons ni à quelle heure ni depuis combien de comptes cela s’est réellement produit — les enquêteurs n’ont pas communiqué ces détails. Nous connaissons en revanche l’addition finale : environ 18 millions de requêtes et les données de plus de 13 millions de personnes. C’est la première des deux histoires où apparaît le nom de MyDr. La seconde, plus retentissante, s’est déroulée deux ans plus tard et concerne près de 19 millions de personnes. Pendant quelques jours d’août 2026, les deux se sont fondues en une seule — à tort.

Acte premier : printemps 2024. La secrétaire qui ne dort jamais

Pour comprendre ce qui s’est passé, il faut savoir ce qu’est eWUŚ. C’est un service du Fonds national de santé polonais (NFZ) qui permet à l’accueil de vérifier en quelques secondes si un patient a droit aux prestations. La secrétaire saisit le PESEL, le système répond. C’est ainsi que cela doit fonctionner : vite, sans papier, au guichet.

Les logiciels de gestion de cabinet — comme MyDr, utilisé par des milliers d’établissements — intègrent cette requête. Et c’est précisément là que commence l’intrigue. Il ressort d’un communiqué du parquet régional de Poznań que les auteurs ont obtenu un accès non autorisé aux comptes d’employés de plusieurs établissements médicaux utilisant la plateforme. Puis, en tirant parti de la conception du logiciel, ils ont lancé un script qui envoyait des requêtes à eWUŚ en masse.

Personne n’a forcé de porte au NFZ. Personne n’a sorti de base de données d’une salle des serveurs. Les auteurs sont entrés par l’entrée du personnel et ont fait exactement ce à quoi cette entrée sert — mais des millions de fois. Le système voyait un employé de cabinet connecté et répondait poliment : prénom, nom, PESEL, droit à l’assurance ou absence de droit.

Il n’y avait dans ce butin ni dossiers médicaux, ni ordonnances, ni diagnostics. C’est important, et nous y reviendrons.

Acte deux : quatre jours

Le 8 avril 2024, à la suite de signalements du président du NFZ, le parquet ouvre une enquête. Le 12 avril, une limite quotidienne de requêtes entre en vigueur dans eWUŚ pour les entités utilisant les services dédiés — « pour des raisons de sécurité ».

Quatre jours d’écart. CyberDefence24, en relatant l’affaire, s’arrête sur cette coïncidence et pose la question sans détour : comment a-t-il été possible, auparavant, de récupérer les données de tant de millions de personnes ?

La réponse dérange par sa simplicité. Un service qui, interrogé sur un PESEL, répond par un prénom et un nom est un oracle pour un attaquant. Le numéro PESEL a une structure connue et une somme de contrôle, de sorte que des numéros valides peuvent être fabriqués à la chaîne. Si l’oracle ne compte pas les questions et ne s’étonne pas qu’un petit cabinet s’intéresse soudain à la moitié du pays, la seule protection de tout le registre devient le mot de passe d’un compte de l’accueil.

Acte trois : deux ans de silence

Puis l’affaire disparaît des radars. L’opinion publique n’en sait rien ; l’enquête suit son rythme. Le parquet, avec le Bureau central de lutte contre la cybercriminalité, identifie les suspects et — comme il l’annoncera plus tard — récupère l’intégralité de la base obtenue illégalement avant qu’elle ne soit revendue.

C’est une bonne nouvelle, même s’il faut la lire attentivement. « Récupérer » des données signifie mettre en sûreté les copies auxquelles les enquêteurs ont eu accès. Ce n’est pas la preuve mathématique qu’aucune autre n’a jamais existé.

Pendant deux ans, cette histoire a donc un début et un milieu, mais pas de public. Elle n’en aura un que lorsque surviendra quelque chose de bien plus grand.

Acte quatre : août 2026. Le même nom, une tout autre affaire

En août 2026, le nom de MyDr fait la une. Cette fois, les données n’ont pas été extraites d’un registre de l’État au moyen de comptes d’autrui — elles ont fuité de la plateforme elle-même. Selon les informations gouvernementales, l’incident pourrait concerner environ 18,8 millions de personnes et plus de 12 000 établissements ; le chiffre qui circule est arrondi à 19 millions. Et, surtout, les données comprennent des informations de santé.

La société indique qu’elle achève de déterminer l’étendue de la violation et qu’elle n’a pas constaté de publication des données. Le président de l’UODO, l’autorité polonaise de protection des données, annonce un contrôle des mesures techniques et organisationnelles de l’entreprise, analyses de risques comprises. Au 17 septembre, l’autorité a reçu plus de 50 plaintes et signalements de citoyens et plus de 2 000 notifications de violation émanant d’établissements. En septembre, elle décide de contrôles plus larges du traitement des données de santé.

Et c’est alors, le 18 août, en pleine tempête, que le parquet régional de Poznań publie un communiqué sur l’affaire vieille de deux ans. Treize millions de personnes. MyDr en arrière-plan. Les chiffres concordent presque, le nom est le même — et, en une soirée, les deux histoires se soudent dans les commentaires en un seul récit sur « la fuite que l’on connaissait depuis longtemps ».

Acte cinq : le démêlage

Les premiers à rectifier sont des gens du métier. Zaufana Trzecia Strona, site polonais d’actualité de la sécurité cité par CyberDefence24, écrit que les chiffres se ressemblent par hasard et que l’entreprise en arrière-plan est la même, mais que les auteurs sont différents, tout comme la méthode, la cible, la source des données et le déroulement des faits.

Mettons les deux affaires côte à côte :

La différence n’a rien d’académique. Un prénom, un nom et un PESEL suffisent pour tenter des escroqueries. Les informations de santé, elles, sont une matière première pour le chantage, la discrimination et les arnaques où l’appelant « du cabinet » connaît vos médicaments et la date de votre dernière consultation. Un mot de passe se change. Un dossier médical, non.

Acte six : octobre 2026. Une salle d’audience, mais pas encore de jugement

En août, le parquet parlait de cinq suspects et de la phase finale de la procédure. Le 5 octobre 2026, il a annoncé avoir saisi le tribunal régional de Poznań d’un acte d’accusation contre cinq hommes.

Les chefs d’accusation portent notamment sur le contournement de dispositifs de sécurité, l’accès non autorisé à des informations, le traitement non autorisé de données personnelles, la création et la mise à disposition de programmes destinés à de telles infractions et, dans un cas, le blanchiment d’argent. Ils sont passibles de peines allant jusqu’à 8 et jusqu’à 12 ans d’emprisonnement. Selon le parquet, certains suspects ont reconnu les faits et fourni des explications détaillées.

La précision s’impose ici : à la date de publication de ce texte, aucun jugement n’a été rendu. Dans de nombreux comptes rendus, les cinq hommes sont déjà qualifiés de « condamnés » — c’est une étape trop tôt. Ils sont accusés, et c’est le tribunal qui statuera sur leur culpabilité.

La morale : ce que cette histoire enseigne

Le plus simple serait de conclure par « encore MyDr ». Ce serait commode et faux. Il serait tout aussi faux d’affirmer que rien ne relie les deux affaires. Le printemps 2024 a montré qu’un compte dans un logiciel de cabinet est une porte d’entrée à part entière vers les systèmes de l’État — et que le signal d’alarme a retenti bien avant août 2026.

• Le compte d’une secrétaire est un compte à privilèges. Si le logiciel de cabinet permet d’interroger des registres de l’État, l’identifiant et le mot de passe protègent bien plus que l’agenda des rendez-vous.
• Un service de vérification ne doit pas être un oracle. Il lui faut des limites par compte et par établissement, ainsi qu’une alerte lorsque quelqu’un interroge des personnes qui n’ont jamais été ses patients.
• Une intégration hérite de la confiance. Le registre fait confiance au logiciel, le logiciel fait confiance à l’utilisateur connecté. Il suffit de prendre le contrôle du maillon le plus faible pour profiter de la confiance de toute la chaîne.
• Un fournisseur unique, c’est un seul grand risque. Une plateforme qui dessert des milliers d’établissements donne à un incident isolé l’échelle d’un pays — quelle que soit la rigueur de tel ou tel cabinet.
• La détection compte autant que la prévention. Dix-huit millions de requêtes ne se font pas en une heure. Chaque jour d’alerte gagné, c’est une base plus petite entre les mains des auteurs.

Si vous êtes patient

• Bloquez votre numéro PESEL dans l’application mObywatel ou auprès de l’administration. C’est la protection la plus efficace contre des engagements contractés avec vos données.
• Vérifiez si la fuite vous concerne — sur le service gouvernemental Bezpieczne Dane, auquel l’ajout de ce jeu de données a été annoncé — et lisez les notifications des établissements où vous avez été soigné.
• Activez les alertes auprès des bureaux d’information sur le crédit et d’information économique.
• Ne vous fiez pas aux appels « du cabinet » qui connaissent les détails de votre traitement et demandent un supplément, un code, l’installation d’une application ou un clic sur un lien. Connaître vos données médicales n’est plus la preuve que c’est l’établissement qui appelle.
• Changez le mot de passe du portail patient de votre cabinet et ne l’utilisez nulle part ailleurs.

Si vous dirigez un établissement

• Authentification multifacteur pour chaque compte du logiciel de cabinet — sans exception « parce que l’accueil est pressé ».
• Des comptes nominatifs, sans partage. Un identifiant commun sur un poste empêche d’établir qui a lancé une requête et quand.
• Aucun compte d’ancien employé ni compte de test.
• Examen des journaux : requêtes sur des personnes hors de la liste des patients, activité en dehors des heures d’ouverture, nombre inhabituel d’opérations. La secrétaire nocturne du premier paragraphe laisse des traces — il suffit de les regarder.
• Un contrat de sous-traitance ne dispense pas de la surveillance. Le responsable du traitement reste l’établissement : c’est lui qui notifie la violation à l’UODO et informe les patients.
• Un plan en cas d’incident chez le fournisseur : qui notifie, dans quel délai, comment informer les patients et comment travailler lorsque le système est indisponible.

Un épilogue qui n’existe pas encore

La première histoire attend un jugement. La seconde — que l’on établisse ce qui a exactement fuité, et les résultats du contrôle. Reste aussi ouverte la question que CyberDefence24 posait dès le mois d’août : a-t-on tiré, après le printemps 2024, des leçons allant au-delà d’une limite quotidienne de requêtes ?

Car si le seul enseignement de la nuit où un compte usurpé a interrogé la moitié de la Pologne a été un compteur sur la porte — alors la seconde histoire n’est pas un hasard. C’est une suite.

Sources

Cet article s’appuie sur le texte d’Oskar Klimczuk « Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób » (« La deuxième histoire de MyDr. Il y a deux ans, les données de 13 millions de personnes ont été volées »), publié le 18 août 2026 sur CyberDefence24.pl. En proviennent les éléments relatifs à l’incident de 2024, rapportés d’après le communiqué du parquet régional de Poznań, la distinction entre les deux affaires et l’observation sur la date d’introduction de la limite de requêtes dans eWUŚ. La scène d’ouverture illustre le mécanisme décrit par le parquet ; ce n’est pas le récit d’un établissement précis. Les appréciations techniques et les recommandations sont les nôtres. Les informations sur la suite des deux affaires ont été complétées à partir des autres sources indiquées ci-dessous.

• CyberDefence24.pl, Oskar Klimczuk, « Druga historia z MyDr. 2 lata temu skradziono dane 13 mln osób », 18 août 2026 (en polonais) : cyberdefence24.pl
• TVN24 Biznes, sur l’acte d’accusation dans l’affaire de 2024, 5 octobre 2026 (en polonais) : tvn24.pl
• Office de protection des données personnelles (UODO), communiqué sur les contrôles après les fuites de données médicales, 25 septembre 2026 (en polonais) : uodo.gov.pl
• Polsat News, déclaration de la société sur la détermination de l’étendue de l’incident, 18 août 2026 (en polonais) : polsatnews.pl