CNIL multa hospital francês após cinco dias de exfiltração sem detecção
A CNIL confirmou e multou o Hôpital Privé de la Loire em €500.000 após uma intrusão de cinco dias em junho/julho de 2025 que exfiltrou dados de 727.113 pessoas — 524.867 pacientes e 202.246 terceiros de confiança. O vetor foi comprometimento de credencial de médico externo sem MFA, sem VPN e sem monitoramento de logs; o atacante operou livremente por cinco dias antes de ser descoberto acidentalmente por um praticien que não conseguia mais se autenticar.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O incidente é confirmado por fonte regulatória (deliberação CNIL SAN-2026-009 de 21/07/2026, publicada em 03/09/2026) e pelo comunicado da própria vítima (Ramsay Santé, 07/07/2025): não há margem para contestar a ocorrência.
O volume de dados de saúde genuinamente sensíveis é significativamente menor do que o número total de registros sugere: apenas 43 fichas continham dados médicos propriamente ditos; a maioria das 524.867 fichas de pacientes continha dados administrativos e identificadores. O risco de usurpação de identidade é real (46.185 cópias de RG exfiltradas), mas o risco de dano médico direto é baixo.
A atribuição ao grupo 'Marak' é corroborada por: (a) reivindicação pública ao veículo Le Progrès via Telegram; (b) interpelação de cinco jovens de 16 a 22 anos pela OFAC em 23/06/2026; (c) indiciamento de dois menores e um maior pelo Parquet de Paris em 25/06/2026. A atribuição é sólida, mas a identidade final dos indivíduos permanece sujeita ao processo judicial.
O dado mais relevante e menos coberto: a análise de impacto de segurança (AIPD) de 2021 já havia identificado os riscos que permitiram o ataque — o hospital conhecia as lacunas há quatro anos e não as corrigiu. A CNIL qualificou isso como negligência agravante.
O hacker tentou vender os dados por €2.000–€5.000 para um comprador único. Relatórios posteriores indicam que os dados não foram vendidos nem publicados; se confirmado, o risco residual de disseminação é moderado, mas não pode ser descartado — os dados exfiltrados permanecem fora do controle do hospital.
A CNIL calculou a multa com base nos recursos financeiros do grupo Ramsay Santé (não do hospital isolado, que opera em déficit de €5,2 milhões). Essa abordagem segue jurisprudência europeia, mas significa que €500.000 equivale a uma fração mínima da capacidade econômica do grupo — valor possivelmente abaixo do limiar dissuasório real para uma holding de grande porte.
Análisis
O incidente do Hôpital Privé de la Loire (HPL) é um caso de comprometimento de credencial com acesso persistente não detectado — não ransomware, não vulnerabilidade de sistema, não supply chain. O vetor foi simples: um médico liberal externo tinha acesso ao DPI (dossier patient informatisé) do hospital diretamente pela web, com usuário e senha, sem VPN, sem MFA. O 2FA estava tecnicamente disponível na plataforma mas havia sido desabilitado pela equipe de TI, que pretendia implementá-lo de forma mais ampla — uma decisão que acabou não sendo executada. O atacante obteve essas credenciais, conectou-se, e passou cinco dias navegando livremente pelo sistema antes de ser descoberto por acidente.
O detalhe técnico mais grave, documentado pela deliberação SAN-2026-009 e pela cobertura da associação P·U·R·R (que assistiu à audiência de 18/06/2026), é o seguinte: a política de controle de acesso não era granular. Qualquer usuário autenticado no DPI podia acessar as fichas de todos os pacientes do hospital — não apenas dos seus. Isso transformou um único par de credenciais comprometidas em chave mestra de 524.867 registros. Agravante adicional: o fornecedor do software (Expert Santé) tinha acesso permanente e irrestrito ao sistema como parte do contrato de manutenção, sem qualquer controle de sessão ou log auditável.
Há uma dissonância relevante entre o que o hospital comunicou e o que a CNIL documentou. No comunicado de 07/07/2025, Ramsay Santé descreveu os dados como 'essencialmente administrativos'. Isso é parcialmente verdadeiro: apenas 43 fichas continham dados de saúde stricto sensu (diagnóstico, motivo de internação). Porém, 46.185 fichas incluíam cópia do documento de identidade — dado que eleva substancialmente o risco de usurpação. O hospital notificou pacientes individualmente, mas não notificou os 202.246 'tiers de confiance' (terceiros de confiança designados pelos pacientes), violando o Art. 34 do RGPD. A CNIL tratou essa omissão como manquement autônomo.
O ator identificado é o grupo 'Marak', composto por jovens franceses de 16 a 22 anos. O grupo foi além do HPL: também atacou a CNAM (Caisse Nationale d'Assurance Maladie) e serviços de e-saúde no verão de 2025, além de dados de agentes alfandegários em outubro de 2025 e janeiro de
2026. O motivo econômico é modesto e revelador: o atacante tentou vender os dados de 727.000 pessoas por €2.000 a €5.000 a um único comprador — valor que sugere oportunismo de baixa sofisticação, não operação de crime organizado estruturado. Segundo relatos posteriores, a venda não se concretizou e os dados não foram publicados, embora isso não seja verificável de forma independente com confiança alta.
A questão mais incômoda do caso não é o ataque — é o que veio antes. A análise de impacto de 2021 já havia catalogado os riscos que viabilizaram a intrusão. Quatro anos se passaram sem que VPN, MFA ou controles granulares fossem implementados. A CNIL qualificou esse histórico como agravante de negligência, e é a razão pela qual o regulador decidiu multar — o que, segundo Next.ink e Clubic, foge do padrão habitual da autoridade, que prefere acompanhar hospitais em vez de sancioná-los. A multa de €500.000 foi calculada não sobre o balanço do HPL (que opera em déficit de €5,2 milhões), mas sobre a capacidade financeira do grupo Ramsay Santé, o maior grupo hospitalar privado da França — abordagem validada por jurisprudência europeia, mas que levanta a pergunta sobre proporcionalidade dissuasória real.
Cronología
- 01 ene 2021O hospital realiza análise de impacto relativa à proteção de dados (AIPD) que já identifica os riscos de acesso remoto sem MFA e sem controles granulares. Nenhuma medida corretiva é implementada (fonte: deliberação SAN-2026-009, relatada pela associação P·U·R·R que assistiu à audiência de 18/06/2026).
- 26 jun 2025Início da intrusão: atacante usa credenciais comprometidas de um médico liberal externo para acessar o DPI (dossier patient informatisé) do hospital sem VPN nem MFA. Início da exfiltração de dados (fonte: deliberação CNIL SAN-2026-009 / P·U·R·R / kohenavocats.fr).
- 01 jul 2025A intrusão é descoberta acidentalmente quando um praticien relata não conseguir mais se autenticar no sistema. A descoberta não resulta de qualquer monitoramento ativo (fonte: Clubic / CNIL).
- 07 jul 2025Ramsay Santé publica comunicado oficial confirmando o incidente, descrevendo os dados como 'essencialmente administrativos' e anunciando boletim de ocorrência (fonte: comunicado de imprensa Ramsay Santé / Activradio).
- 10 jul 2025Hospital notifica pacientes por e-mail; segundo um responsável citado pela AFP, mais de 126.000 pacientes são notificados por e-mail; os 40 com dados médicos comprometidos são contatados individualmente. Os 202.246 'tiers de confiance' NÃO são notificados — violação do Art. 34 do RGPD (fonte: L'Informaticien / AFP).
- 29 jul 2025A CNIL realiza inspeção in loco no hospital após notificação obrigatória da violação (fonte: Clubic).
- 18 jun 2026Audiência da formation restreinte da CNIL — o órgão sancionador — sobre o caso do Hôpital Privé de la Loire. A associação P·U·R·R acompanha a sessão (fonte: asso-purr.eu.org).
- 23 jun 2026A OFAC (Office Anticybercriminalité) interpela cinco jovens franceses de 16 a 22 anos suspeitos de pertencer ao grupo 'Marak' (fonte: franceinfo / Clubic).
- 25 jun 2026Dois menores (nascidos em 2009) e um maior (nascido em 2005) são indiciados pelo Parquet de Paris por 'atteintes aux systèmes de traitement automatisé de données'. São acusados do ataque ao HPL, à CNAM e a serviços de e-saúde (fonte: franceinfo).
- 21 jul 2026A formation restreinte da CNIL emite a deliberação SAN-2026-009: multa de €500.000, injeção de conformidade com astreinte e publicação nominal por dois anos (fonte: CNIL / kohenavocats.fr).
- 03 sep 2026CNIL torna pública a deliberação SAN-2026-009 e a sanção de €500.000 contra o Hôpital Privé de la Loire (fonte: cnil.fr / BleepingComputer / Clubic / CNEWS).
Datos involucrados
Impacto
727.113 pessoas tiveram dados pessoais exfiltrados: 524.867 pacientes (estado civil, número de seguridade social, endereço postal e eletrônico, número IPP, nome do médico tratante, informações de seguro; em 46.185 casos, cópia do documento de identidade) e 202.246 'tiers de confiance' (terceiros de confiança). Apenas 43 fichas continham dados de saúde em sentido estrito. O risco principal é usurpação de identidade, especialmente para os 46.185 com cópia de RG exfiltrada. Os 202.246 terceiros de confiança não receberam notificação direta do hospital — ficaram expostos sem ciência do fato. Nenhum impacto operacional sobre o atendimento clínico foi registrado. O hospital recebeu nove reclamações formais junto à CNIL. A sanção inclui, além da multa de €500.000, injeção de conformidade com prazo de 3 a 15 meses (dependendo da medida) sob pena de penalidades diárias, e publicação nominal da deliberação por dois anos.
Enlaces técnicos
Recomendaciones
- Eliminar acesso remoto a sistemas de prontuário eletrônico via web simples: exigir VPN com MFA para qualquer usuário externo (médicos liberais, fornecedores, secretarias). O 2FA disponível na plataforma mas desabilitado é o exemplo exato do que não fazer — habilitar o que já existe é ação imediata de custo zero.
- Implementar controle de acesso baseado em atributos (ABAC) ou, no mínimo, RBAC granular no DPI: o acesso de um médico ao sistema deve ser limitado aos pacientes sob seu cuidado ativo, não à base inteira do hospital.
- Monitorar logs do DPI em tempo real ou próximo disso, com alertas para volume anômalo de consultas por usuário/sessão. Cinco dias de exfiltração sem detecção é falha de monitoramento básico, não de capacidade técnica — a infraestrutura de logs existia, a análise automática não.
- Revisar contratos com fornecedores de software que incluam acesso permanente e irrestrito a dados de produção: segmentar esse acesso com sessões auditadas, break-glass controlado e logs separados.
- Executar as análises de impacto (AIPD/DPIA) como documento vivo com plano de remediação datado e responsável nomeado — não como exercício de compliance arquivado. O HPL tinha análise de 2021 que identificou os riscos; o gap entre identificar e corrigir foi o que a CNIL puniu.
- Estabelecer procedimento de notificação que cubra explicitamente terceiros afetados indiretamente (no caso francês, 'tiers de confiance'): mapear todos os titulares cujos dados são processados, não apenas pacientes diretos, e garantir que o plano de resposta a incidentes os inclua.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Situação atual dos dados exfiltrados: nenhuma fonte independente confirmou de forma definitiva que os dados não foram vendidos nem publicados em outros canais após a tentativa frustrada com um único comprador. Uma busca técnica em fóruns de vazamento e um acompanhamento do processo judicial resolveriam essa lacuna.
Extensão real do comprometimento de credenciais: não está claro se apenas um par de credenciais foi usado ou se outros contas de médicos externos foram também comprometidas. Os logs do DPI auditados pela CNIL poderiam esclarecer isso, mas o conteúdo detalhado da deliberação técnica não foi tornado público.
Acesso do fornecedor de software: o contrato entre o HPL e o fornecedor Expert Santé previa acesso permanente irrestrito ao sistema. Não se sabe se esse canal foi auditado como vetor alternativo ou descartado formalmente pela CNIL — o relatório de inspeção completo não está disponível publicamente.
Desdobramento judicial do grupo Marak: o processo dos indiciados está em fase de instrução. A confirmação de condenações, a identidade completa dos envolvidos e o papel de cada um no ataque ao HPL especificamente ainda dependem do Tribunal correctionnel de Paris.
Medidas corretivas implementadas: o hospital alegou em audiência (06/2026) ter iniciado medidas após o incidente, incluindo implantação futura do HospiConnect. Não há confirmação independente do estado atual de conformidade técnica.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.