Frans ziekenhuis krijgt boete van 5 ton na datalek 727.000 personen
Beeld: met AI gemaakt
De Franse privacytoezichthouder CNIL heeft het Hôpital privé de la Loire (HPL) in Saint-Étienne een boete van 500.000 euro opgelegd wegens onvoldoende beveiliging van patiëntgegevens. Het ziekenhuis, onderdeel van de Ramsay Santé-groep en goed voor 60.000 patiënten per jaar met 333 bedden, werd in de zomer van 2025 gehackt. Daarbij raakten gegevens van 524.867 patiënten en 202.246 zogeheten vertrouwde derden gecompromitteerd.
Uit onderzoek van de CNIL blijkt dat externe gebruikers, waaronder artsen met een eigen praktijk, konden inloggen op het systeem zonder VPN of multifactorauthenticatie. Ook waren de toegangsrechten zo slecht ingesteld dat het gehackte account bij dossiers van alle patiënten kon.
Doordat realtime monitoring ontbrak, kon de aanvaller dagenlang ongemerkt data buitmaken. HPL informeerde de patiënten zelf, maar liet na de 202.246 vertrouwde derden rechtstreeks te waarschuwen, wat volgens de CNIL in strijd is met de artikelen 32 en 34 van de AVG.
Een tienerhacker die zich Marak noemt, claimde de aanval en meldde aan het Franse medium Le Progrès dat hij via het account van één arts toegang kreeg tot het volledige interne systeem van HPL. Hij probeerde de data voor 2.000 tot 5.000 euro aan één koper te verkopen, maar volgens latere berichten is de data niet verkocht of gepubliceerd.
HPL heeft inmiddels aanvullende beveiligingsmaatregelen genomen.
Meer details staan op de pagina van BleepingComputer.
