En santé, le credential stuffing produit un préjudice d'une nature particulière : il expose des données que rien ne permet de révoquer. Un numéro de carte bancaire se remplace ; un diagnostic, une grossesse, un traitement psychiatrique restent divulgués à vie. Le rejeu automatisé de couples identifiant / mot de passe issus de fuites publiques atteint deux surfaces distinctes — les portails patients grand public et les comptes professionnels — avec des mécaniques et des parades très différentes.
Côté patient : des comptes que personne ne surveille
Un portail patient, un espace de prise de rendez-vous ou un service de résultats d'analyses partage le profil de risque des comptes rarement utilisés : secret ancien, choisi une fois, souvent réemployé d'un service à l'autre. Les identifiants volés, réutilisés ou partagés figurent parmi les tout premiers vecteurs d'intrusion recensés par le Verizon DBIR, et rien n'exempte la santé de cette règle.
Ce que l'attaquant en tire ne se monétise pas comme un compte bancaire. Il se monétise par le chantage, par la revente ciblée, ou par la fabrication d'un dossier d'usurpation d'identité particulièrement crédible — un dossier médical contient l'état civil, l'adresse, l'affiliation et souvent des coordonnées bancaires.
Côté professionnel : le compte partagé, dette structurelle
Dans les unités de soins, l'ouverture de session doit être immédiate. Cette contrainte a produit une pratique durable : des comptes utilisés par plusieurs soignants, avec un secret connu de l'équipe, parfois écrit à proximité du poste.
Un tel compte cumule tous les défauts face au rejeu. Il ne peut pas être associé à un facteur personnel, il ne peut pas être révoqué sans perturber le service, son secret ne change jamais, et aucun journal ne permet d'imputer une consultation à une personne. Ce dernier point pose un problème au-delà de la sécurité : sans imputabilité, la traçabilité exigée pour des données de l'article 9 du RGPD n'est pas réellement assurée.
| Type de compte | Vecteur de rejeu | Donnée exposée | Traitement recommandé |
|---|---|---|---|
| Portail patient | Réutilisation depuis une fuite grand public | Résultats, antécédents | Filtrage des secrets compromis, élévation sur le détail |
| Compte soignant nominatif | Réutilisation personnelle / professionnelle | Dossiers du service | Facteur lié à l'origine, badge de proximité |
| Compte partagé d'unité | Secret connu de l'équipe | Dossiers, prescriptions | Suppression progressive, nominativation |
| Compte de praticien libéral | Poste personnel non maîtrisé | Dossiers de ses patients | Facteur fort obligatoire sur l'accès distant |
| Compte de prestataire biomédical | Secret contractuel figé | Équipements, parfois données | Nominativation, ouverture à la demande |
| Compte administratif | Réutilisation classique | Facturation, identité patient | Filtrage des secrets, MFA sur les gestes sensibles |
Une chaîne de conséquences propre au secteur
La compromission d'un compte soignant ne s'arrête pas à la lecture. Elle permet la modification d'identité patient, opération qui peut entraîner un rattachement erroné de résultats ou de prescriptions. Le risque bascule alors du champ de la confidentialité vers celui de la sécurité des soins.
Elle permet aussi la fabrication de fausses prescriptions, notamment sur des produits détournés, avec des conséquences pénales pour le professionnel dont le compte a servi. C'est un argument efficace pour obtenir l'adhésion des équipes soignantes à un renforcement de l'authentification : le facteur ne protège pas seulement le patient, il protège le professionnel de l'imputation.
Parades compatibles avec la contrainte de soin
Séparer les problèmes. L'ouverture rapide d'une session sur un poste partagé relève de la proximité physique — badge, verrouillage automatique court, reprise de session. L'accès distant et la messagerie relèvent d'un facteur lié à l'origine. Traiter ces deux besoins avec la même réponse échoue à chaque fois.
Assainir les secrets. Interdire les mots de passe présents dans les corpus de fuites publiques, et déclencher un renouvellement sur les comptes reconnus comme compromis. Cette mesure ne modifie aucun parcours de soin.
Réduire l'exposition par défaut. Un portail patient peut afficher les rendez-vous sans exposer d'emblée les comptes rendus et les résultats. L'élévation d'authentification sur le détail limite fortement la valeur d'un compte rejoué.
Planifier la sortie des comptes partagés. C'est un projet organisationnel long, à mener service par service, avec une solution d'ouverture rapide comme préalable — sinon, les équipes recréeront des contournements.
Ancrer les gestes lourds. Export massif de dossiers, modification d'identité patient, création d'un accès prestataire : ces actions gagnent à exiger une preuve d'intention indépendante du compte utilisé. Le facteur cognitif apporte cette preuve sans identifiant ni mot de passe, traite la biométrie localement et ne détient aucune donnée identifiante — trois propriétés qui comptent dans un environnement soumis au RGPD et à l'hébergement de données de santé.
FAQ
Un compte partagé peut-il être protégé par une MFA ?
Pas utilement : un facteur partagé n'est plus un facteur de possession personnelle, et il ne restaure pas l'imputabilité. La seule réponse durable est la nominativation, avec un mécanisme d'ouverture rapide pour ne pas dégrader le soin.
Le RGPD impose-t-il un niveau d'authentification en santé ?
Il n'impose pas de méthode. Il exige des mesures adaptées au risque, et les données de l'article 9 appellent un niveau élevé. Un secret réutilisable seul se défend mal en cas de contrôle.
Comment protéger les praticiens libéraux qui accèdent depuis leur cabinet ?
Facteur lié à l'origine obligatoire sur l'accès distant, session courte, et périmètre de données limité à leur patientèle. Le poste n'étant pas maîtrisé, la force doit venir du facteur et du cloisonnement.
Une prise de contrôle par rejeu est-elle notifiable ?
L'appréciation dépend du cas, mais dès lors que des données de santé sont accessibles, l'hypothèse d'une violation notifiable doit être examinée sérieusement. La capacité à établir quels dossiers ont été consultés conditionne cette analyse.
Aller plus loin : authentification cognitive · AiTM dans la santé · RGPD et données de santé · réinitialisation de mot de passe au helpdesk