Fuite de données Jinko : 3 500 patients atteints de cancer exposés

La fuite de données Jinko est le genre d'incident qui rappelle brutalement ce que veut dire l'expression « donnée sensible ». Le 7 septembre 2026, un pirate publie une revendication sur un forum cybercriminel. Le lendemain, Jinko.care — une plateforme française d'accompagnement des personnes atteintes de cancer — confirme : oui, il y a eu accès non autorisé, oui, des données personnelles et de santé ont été exfiltrées.

Environ 3 500 patients sont concernés. Et le contenu de l'archive dépasse largement le classique « noms et adresses e-mail ».

Ce qui est sorti

L'archive revendiquée pèse 3,7 Go. D'après les descriptions publiées et les vérifications de plusieurs rédactions françaises, elle contient notamment :

• L'identité des utilisateurs : noms, adresses e-mail, numéros de téléphone.
• Le type de cancer, le stade de la maladie, la présence ou non de métastases, les récidives.
• Les traitements en cours et passés, les hormonothérapies, les antécédents chirurgicaux et familiaux.
• Les symptômes déclarés par les patients et leurs réponses aux questionnaires de qualité de vie.
• Plus de 20 000 messages issus d'environ 1 000 conversations privées, y compris des messages vocaux.
• Plusieurs centaines de photos et de documents médicaux : ordonnances, comptes rendus, documents émis par des instituts.
• Les coordonnées des soignants référents : oncologues, chirurgiens, radiothérapeutes.

Autrement dit, pas un fichier client. Un dossier de vie. Pour une partie de ces personnes, le contenu de l'archive suffit à reconstituer un parcours de soins complet, avec le pronostic implicite qui va avec.

Comment l'attaque a eu lieu

Selon les éléments techniques disponibles, l'attaquant a exploité une vulnérabilité connue dans la gestion de la base de données. La plateforme s'appuyait sur Firebase : l'accès obtenu portait sur 85 tables Firestore et plus de 2 600 fichiers stockés.

Ce détail compte. Les mauvaises configurations Firebase — règles de sécurité trop permissives, collections lisibles sans authentification suffisante — figurent depuis des années parmi les causes les plus banales de fuite dans les applications mobiles et web. Ce n'est pas une attaque sophistiquée d'État-nation. C'est, dans la plupart des cas de ce type, une porte laissée entrouverte.

Un autre élément est inhabituel : les données n'ont pas été monnayées. Aucune rançon n'a été réclamée. L'archive a été mise en ligne gratuitement. Ce mode opératoire — publier plutôt que négocier — vise généralement à humilier l'entreprise ou à exposer publiquement une défaillance de sécurité, pas à s'enrichir. Pour les victimes, la conséquence est pire : il n'y a aucune négociation possible, et le contenu circule immédiatement.

Pourquoi une donnée de cancer n'est pas une donnée comme une autre

Le RGPD classe les données de santé dans une catégorie particulière, à l'article 9, avec un régime de protection renforcé. La raison est simple : elles ne se changent pas. Un mot de passe se réinitialise, un numéro de carte bancaire s'oppose. Un diagnostic de cancer du sein métastatique reste vrai jusqu'à la fin.

Les risques concrets pour les personnes concernées :

• Chantage ciblé. Un patient qui n'a pas informé son employeur ou son entourage de sa maladie devient une cible idéale.
• Hameçonnage hyper-personnalisé. Recevoir un e-mail qui cite le nom de son oncologue et son protocole en cours désarme toutes les défenses habituelles.
• Discrimination assurantielle ou professionnelle, même si elle est illégale — encore faut-il pouvoir la prouver.
• Escroqueries au faux traitement. Le marché des « thérapies miracles » cible précisément ce profil.

S'ajoute une dimension moins juridique et plus humaine : des messages vocaux enregistrés dans un moment de détresse, échangés avec une communauté de pairs, se retrouvent lisibles par n'importe qui.

La réaction de Jinko, et les questions qui restent

L'entreprise indique avoir sécurisé ses systèmes dès la découverte de l'incident, informé directement les personnes concernées et annoncé son intention de déposer plainte. Sur le papier, c'est la procédure attendue.

Plusieurs points restent flous à ce stade :

• La date réelle de l'intrusion. Confirmer un piratage le lendemain d'une revendication publique ne dit rien de la durée pendant laquelle l'accès est resté ouvert.
• La notification à la CNIL, obligatoire sous 72 heures pour toute violation susceptible d'engendrer un risque, et la notification individuelle, exigée quand le risque est élevé — ce qui ne fait ici aucun doute.
• L'hébergement des données. Une plateforme traitant des données de santé à caractère personnel est en principe soumise à la certification HDS (Hébergeur de Données de Santé). Le périmètre exact appliqué ici reste à éclaircir.
• L'audit de sécurité. Une faille « connue » dans un composant de base de données pose la question de la politique de mise à jour et des tests d'intrusion.

Le contexte : la santé française passe à la caisse depuis trois ans

Jinko n'arrive pas dans un désert. Le secteur santé et assurance santé français a enchaîné les incidents majeurs : opérateurs de tiers payant, mutuelles, laboratoires, établissements hospitaliers. Le schéma se répète — un maillon périphérique, souvent une jeune structure numérique ou un sous-traitant, sert de porte d'entrée vers des données que les hôpitaux eux-mêmes protègent mieux.

Ce déséquilibre est structurel. Un CHU dispose d'un RSSI, d'un budget cyber et d'obligations réglementaires lourdes. Une start-up de e-santé de vingt personnes, qui a levé quelques millions et court après la croissance, arbitre souvent en faveur des fonctionnalités. Le patient, lui, ne voit aucune différence : il confie les mêmes informations aux deux.

Que faire si vous êtes concerné

• Considérez que vos données sont publiques. Elles le sont.
• Méfiez-vous de tout appel ou message qui cite votre pathologie, votre médecin ou votre traitement, même s'il paraît légitime. Rappelez toujours via un numéro que vous avez cherché vous-même.
• Changez le mot de passe utilisé sur la plateforme, et partout où vous l'aviez réutilisé.
• Vous pouvez déposer plainte, et signaler l'incident à la CNIL — les plaintes individuelles pèsent dans l'ouverture d'un contrôle.

La vraie leçon est ailleurs, et elle est désagréable : les applications de soutien aux malades collectent, par nature, les informations les plus intimes qui existent, souvent avec les moyens techniques les plus limités. Tant que la certification et l'audit ne suivront pas la sensibilité des données plutôt que la taille de la structure, ce type d'affaire se reproduira.