Aesto Health : 9,5 millions de dossiers médicaux dans la nature

Le 1er septembre, une société de Birmingham, Alabama, a confirmé le chiffre exact : 9 540 683 personnes. C'est le nombre de patients dont les données ont été exfiltrées lors de l'intrusion chez Aesto Health, prestataire d'archivage et de migration de dossiers médicaux. Deuxième plus grosse fuite du secteur santé aux États-Unis cette année, derrière DentaQuest et ses 15 millions de victimes.

La plupart des personnes concernées n'ont jamais entendu ce nom. C'est précisément le problème.

Ce qui a été volé

La liste des catégories de données compromises est d'une exhaustivité désolante :

• nom complet et date de naissance partielle ;
• numéro de sécurité sociale (l'identifiant pivot aux États-Unis) ;
• numéro de permis de conduire et de carte d'identité d'État ;
• numéros de comptes financiers ;
• numéro d'identifiant fiscal ;
• dossiers médicaux et antécédents ;
• données de facturation et de remboursement ;
• informations d'assurance santé.

Autrement dit : de quoi ouvrir un crédit au nom de quelqu'un, obtenir des soins sous son identité, et savoir de quoi il souffre. Le triptyque complet.

Le trou : une infrastructure AWS

La chronologie technique tient en deux semaines. Entre le 2 et le 18 décembre 2025, un tiers non autorisé a eu accès à des portions de l'infrastructure Amazon Web Services d'Aesto Health, et en a extrait les données.

L'intrusion a été identifiée le 18 décembre 2025 — donc à peu près au moment où elle s'arrêtait.

Aesto Health n'est pas un hôpital. La société vend de la migration sécurisée de données, de l'échange de dossiers médicaux électroniques et de l'archivage de systèmes hérités. Traduction : quand une clinique change de logiciel ou ferme un service, quelqu'un doit récupérer vingt ans de dossiers et les stocker quelque part. C'est ce « quelque part » qui a été forcé.

Neuf mois entre la détection et l'information

La partie qui devrait fâcher, c'est le calendrier :

• 18 décembre 2025 : incident identifié.
• 26 juin 2026 : notification aux établissements de santé clients.
• 14 août 2026 : premières informations publiques.
• 1er septembre 2026 : périmètre définitif confirmé.

Huit mois entre la détection et l'avertissement des clients. Plus de huit mois et demi avant que les patients puissent l'apprendre. Sur ce laps de temps, un numéro de sécurité sociale a largement eu le temps d'être revendu, recyclé, exploité.

Une trentaine d'établissements, souvent ruraux

Au moins 30 organisations clientes figurent dans le périmètre. Parmi elles :

• Village Practice Management, plus de 25 000 patients ;
• Everside Health, 22 000 personnes pour le seul État de Washington ;
• Edwards County Medical Center et Graham County Hospital ;
• Marana Health, Nebraska Orthopedic Center, Women's Health Associates.

Les décomptes par État publiés jusqu'ici donnent une idée de la dispersion : 80 622 personnes en Caroline du Sud, 37 253 dans l'État de Washington, 731 en Oregon, 91 dans le Vermont. Beaucoup de petites structures rurales — exactement le type d'établissement qui n'a ni RSSI, ni budget d'audit, et qui sous-traite parce qu'il n'a pas le choix.

Pourquoi les données de santé valent si cher

Un numéro de carte bancaire volé se périme : la banque l'annule, la victime en reçoit un nouveau. Un dossier médical, non.

Ce qu'un attaquant en fait :

• Fraude à l'assurance santé : se faire soigner ou facturer des actes sous l'identité d'un tiers. Aux États-Unis, c'est un marché entier.
• Usurpation d'identité durable : le combo nom + date de naissance + numéro de sécurité sociale + permis de conduire ouvre des comptes.
• Hameçonnage ciblé et chantage : connaître la pathologie d'une personne rend n'importe quel message crédible. Un courriel qui parle de votre traitement en cours passe toutes les défenses.

Une pathologie chronique reste vraie dix ans plus tard. C'est ce qui rend ce type de fuite structurellement plus grave qu'une fuite bancaire, malgré la couverture médiatique inverse.

Le maillon faible s'appelle sous-traitance

Aucun des hôpitaux concernés n'a été piraté. Leurs pare-feux ont tenu, leurs comptes n'ont pas été compromis. Ils avaient simplement confié leurs archives à un prestataire — ce que la réglementation autorise, encourage même.

La surface d'attaque d'un établissement de santé ne s'arrête pas à son réseau. Elle inclut son éditeur de logiciel, son hébergeur, son prestataire d'archivage, son sous-traitant de facturation, et les sous-traitants de ceux-ci. Chaque maillon hérite du niveau de sensibilité des données sans hériter forcément du niveau d'exigence.

Aesto Health dit avoir mandaté des experts en cybersécurité externes et propose aux victimes une surveillance de crédit et une protection contre l'usurpation d'identité. C'est le standard du secteur. C'est aussi, il faut le dire, à peu près tout ce qu'une entreprise peut offrir une fois les données parties.

Ce que le cadre français change — et ne change pas

En France et dans l'Union européenne, deux garde-fous existent que le droit américain n'impose pas de la même manière :

• Le RGPD oblige à notifier l'autorité de contrôle — la CNIL — dans les 72 heures après la prise de connaissance d'une violation de données, et à informer les personnes concernées quand le risque est élevé. Comparez avec les huit mois de la présente affaire.
• La certification HDS (Hébergeur de Données de Santé) impose un référentiel technique et organisationnel spécifique à quiconque héberge des données de santé pour le compte d'un tiers.

Ces règles ne rendent pas une intrusion impossible. Elles raccourcissent le délai pendant lequel une victime ignore qu'elle est victime, ce qui est déjà considérable.

Ce qu'il faut faire si vous êtes concerné

Pour les patients américains figurant dans les listes publiées :

1. Activer les services de surveillance proposés, même s'ils arrivent tard.
2. Poser un gel de crédit auprès des trois bureaux (Equifax, Experian, TransUnion) — c'est gratuit et plus efficace qu'une simple alerte.
3. Relire chaque relevé d'assurance santé : des actes jamais réalisés y apparaissent parfois.
4. Se méfier de tout message évoquant vos soins ou votre dossier. L'expéditeur peut en savoir long.

Et une bonne question à poser, en France comme ailleurs, lors du prochain rendez-vous médical : où sont archivées les données du cabinet, et par qui.