Les chiffres
Chronologie
🚫Pas de donnée médicale observée — un point qui compte
Les fichiers revendiqués, tels que décrits par les sources ayant pu les examiner, contiennent des données administratives — identité, contact, numéro de dossier, éléments de paiement partiels — mais aucun diagnostic ni dossier médical. C'est une différence importante avec d'autres dossiers du Laboratoire portant sur des données de santé au sens strict : la gravité de cet incident, s'il est confirmé, resterait circonscrite à un risque d'usurpation d'identité et de vishing ciblé, pas à une exposition d'informations cliniques.
Constat Egidio à partir de Cyberattaque.org et Fuites Infos, 24/09/2026.🏨Tabhotel, un fournisseur tiers en piste
Plusieurs établissements hospitaliers délèguent la pré-admission — accueil, formulaires administratifs, parfois paiement — à des logiciels tiers connectés à leurs systèmes internes. Des comptes administrateurs liés à un tel logiciel, Tabhotel, sont évoqués comme piste technique possible pour cet incident. Un fournisseur périphérique mal sécurisé peut, dans ce type d'architecture, devenir un point d'entrée vers des données qu'il n'était censé que transmettre — un schéma déjà documenté sur d'autres dossiers impliquant des prestataires tiers, mais non confirmé ici.
Cyberattaque.org, 19/09/2026.Ce que ça change pour vous
Les personnes concernées sont, par construction, des patients récemment pris en charge par un établissement parisien identifié — un contexte que des données de contact et un numéro de dossier rendent immédiatement exploitable pour un faux appel « de l'hôpital », « de votre mutuelle » ou « de votre médecin traitant ». C'est exactement ce qui rend ce type de fuite, même sans donnée médicale, utile à un vishing crédible : l'appelant peut citer un nom de service ou un élément administratif réel pour gagner votre confiance avant de demander un paiement ou une confirmation de carte bancaire. Si vous avez été patient ou professionnel de l'Hôpital Paris Saint-Joseph, la prudence sur les appels et SMS inattendus se justifie — sans que cela ne prouve, à ce stade, que vos données précises figurent dans les fichiers revendiqués.
Questions fréquentes
La fuite de données de l'Hôpital Paris Saint-Joseph est-elle confirmée ?
Non. Le 19 septembre 2026, un acteur signant weykofa a publié sur un forum cybercriminel plusieurs fichiers revendiqués comme issus de l'Hôpital Paris Saint-Joseph. À la date de vérification de ce dossier, l'établissement n'a fait aucune déclaration publique confirmant ou infirmant cette revendication, et aucune source primaire indépendante ne l'a corroborée.
Des données médicales sont-elles concernées ?
Non, d'après les fichiers observés par les sources spécialisées. Le fichier principal contient des identifiants administratifs (noms, e-mails, numéros de dossier, informations de paiement partielles pour un sous-ensemble de patients), mais aucun diagnostic ni dossier médical n'a été identifié dans les fichiers revendiqués. C'est un point important qui limite la gravité de cet incident par rapport à une fuite de données cliniques.
Combien de personnes sont concernées et par quel type de données ?
Le fichier principal revendiqué compte 15 060 identifiants patients distincts, avec pour environ 226 d'entre eux les quatre derniers chiffres d'une carte bancaire (jamais le numéro complet). Un second fichier concerne 738 médecins et professionnels de santé (spécialités, lieux d'exercice, services, e-mails professionnels), soit 736 lignes pour 732 noms distincts.
Pour aller plus loin
Egidio — Laboratoire des menaces, « Hôpital Paris Saint-Joseph : 15 060 identifiants patients revendiqués », egidio.app/laboratoire/hopital-paris-saint-joseph-fuite-15000-patients/. Licence CC BY 4.0.
Réutilisation libre, y compris commerciale, avec attribution. Conditions de réutilisation.
Sources. Revendication du 19 septembre 2026 (15 060 identifiants patients, 738 professionnels, weykofa, piste Tabhotel) : Cyberattaque.org, Fuites Infos. Article spécifique cité en complément (non consulté directement, robots.txt de FrenchBreaches interdisant la collecte automatisée) : FrenchBreaches. Aucune déclaration de l'Hôpital Paris Saint-Joseph ni de la CNIL sur cette revendication n'a été identifiée lors de la vérification du 24/09/2026.