Un prestataire informatique a été victime d’une cyberattaque affectant l’activité de nombreux cabinets médicaux au Luxembourg. Des données de santé sensibles hébergées ont été compromises. Une fuite des informations de patients n’est pas exclue à ce stade.
Les cabinets médicaux clients de la firme informatique BMS Engineering ont eu un moment de frayeur – qui ne les a pas quittés pour certains – après la cyberattaque ayant visé leur prestataire et provoqué la paralysie des services digitaux. Détecté le samedi 22 août, l’incident de cybersécurité, présenté comme «majeur», suscite toujours, plus de dix jours après sa survenance, de vives inquiétudes dans le secteur de la santé.
Selon les recherches de Reporter.lu, les préoccupations principales concernent d’abord et concrètement la perte et la corruption de données personnelles. La société BMS Engineering traite, pour le compte de ses clients, des données de patients hébergées dans son «cloud», via le logiciel de gestion «eMed». Développé par une autre société luxembourgeoise, ce logiciel, permettant d’encoder toutes les données des patients, est très apprécié du secteur médical. La responsabilité, en cas de fuite de données dans la nature, incombe in fine aux médecins.
L’inquiétude s’explique aussi par les mystères entretenus autour de la nature et l’ampleur réelle de l’incident. Nul ne sait, à ce stade de l’affaire, si des pirates derrière l’attaque se sont déjà fait connaître en signant leur forfait, ni si des revendications financières ont été émises en échange de la restitution de données ou de la garantie qu’elles ne seront pas revendues. Les incohérences dans la communication de la firme informatique entretiennent la défiance.
Communication tardive et paradoxale
L’incertitude des clients a été amplifiée par le silence observé par la firme informatique pendant plus d’une semaine après l’attaque. Les services de BMS Engineering ont attendu en effet la nuit du dimanche 30 août et deux pannes de service successives avant de communiquer officiellement avoir été la cible d’une cyberattaque «majeure».
Si des personnes malveillantes sont derrière l’attaque et récupèrent des données, alors on est mal.“Témoignage d’un médecin généraliste
«Nous souhaitons vous informer en toute transparence qu’un incident majeur de cybersécurité a affecté une partie de notre infrastructure informatique à partir du 22 août 2026», signale la firme dans un e-mail adressé à ses clients dans la nuit du 30 août, peu après 22 h 30. Reporter.lu a pu consulter ce mail dans lequel la société reconnait «la complexité de l’attaque» qui l’oblige à «approfondir les analyses avant de pouvoir communiquer des informations fiables et vérifiées».
Selon les informations de Reporter.lu, le «désastre» concernerait au moins 80 cabinets médicaux et une trentaine de PME. Trois jours plus tôt, le 27 août, la rédaction avait contacté le prestataire pour se faire confirmer des informations. Le lendemain, celui-ci a fait répondre par avocat interposé que la problématique ne concernait pas la presse et qu’il ne répondrait donc pas aux sollicitations de la rédaction.
Une cyberattaque d’une ampleur inédite
Un incident informatique d’une telle ampleur est inédit dans le secteur de la santé au Luxembourg. Vu la sensibilité des données de santé des patients, son intérêt public est évident. BMS Engineering est un acteur majeur de la numérisation des données de santé. Outre l’hébergement dans le cloud, le prestataire intervient pour l’installation de matériel informatique dans les cabinets médicaux, principalement pour le logiciel médical «eMed», utilisé par de nombreux professionnels de santé.
La firme a également pris part, pour le compte de l’agence eSanté, plateforme nationale pour la digitalisation de la santé, au déploiement du paiement immédiat direct (PID), qui permet le tiers payant aux patients …
Déjà abonné? Connectez-vous!
