התוקף לא פרץ שום דבר מתוחכם. הוא נכנס לחשבון של רופא אחד שעובד עם בית החולים מהמרפאה הפרטית שלו, ומשם, לפי ממצאי הרשות הצרפתית, הגיע לתיקים הרפואיים של כל מטופלי בית החולים. במשך כמה ימים הוא הסתובב שם ושאב מידע. איש לא הבחין בזה.

מה קרה

רשות הגנת הפרטיות הצרפתית, CNIL, הטילה קנס של 500 אלף יורו על Hôpital privé de la Loire, בית חולים פרטי בסן-אטיין שמטפל בכ-60 אלף מטופלים בשנה. הקנס לא הוטל על עצם הפריצה, שהתרחשה בקיץ 2025, אלא על מה שהחקירה מצאה כשבדקה איך היא התאפשרה.

הרשות מנתה שלושה ליקויים עיקריים. משתמשים חיצוניים, ובהם רופאים מהפרקטיקה הפרטית, יכלו להתחבר למערכת בלי חיבור מוצפן לרשת הארגונית ובלי אימות דו-שלבי, כלומר בלי הקוד הנוסף שנשלח לטלפון ומונע כניסה עם סיסמה גנובה בלבד. ההרשאות לא הופרדו, כך שחשבון אחד שנפרץ יכול היה לקרוא את התיקים של כל המטופלים ולא רק את אלה של אותו רופא. ולא הייתה מערכת שמתריעה בזמן אמת, ולכן משיכה של כמות מידע חריגה לאורך ימים עברה בלי שאיש שם לב.

בסך הכול נחשפו פרטיהם של 524,867 מטופלים ועוד 202,246 אנשים שנרשמו כמלווים או כאיש קשר של מטופל. את המטופלים בית החולים עדכן. את 202 אלף המלווים הוא לא עדכן, וגם על זה קיבל קנס.

צעיר שמכנה עצמו Marak פנה בזמנו לעיתון הצרפתי Le Progrès וטען שהוא זה שתקף, ושהכול התחיל בחשבון של רופא יחיד. לדבריו הוא ניסה למכור את המידע לקונה אחד בשניים עד חמישה אלפים יורו, ולפי דיווחים מאוחרים יותר המידע לא נמכר ולא פורסם. זאת גרסה שנשענת בעיקר עליו.

למה זה חשוב לכם

התיק הרפואי שלכם יושב במערכת מאותו סוג בדיוק. קופות החולים, בתי החולים והמרפאות בישראל מחזיקים את אותו מידע, וגם כאן רופאים מתחברים מבחוץ ומרפאות עצמאיות מתממשקות פנימה. מה שהרשות הצרפתית מצאה חסר אינו טכנולוגיה יקרה ומתקדמת, אלא שלוש הגנות בסיסיות שפשוט לא הופעלו.

מה עושים?

הפעילו אימות דו-שלבי בחשבון של קופת החולים שלכם, גם באתר וגם באפליקציה. זאת בדיוק ההגנה שחסרה בסן-אטיין, ואצלכם היא במרחק דקה בהגדרות החשבון.

אם מידע רפואי עליכם דלף פעם, השיחות שמגיעות בעקבותיו נשמעות אמינות במיוחד. מי שיודע מתי טופלתם ובאיזו מחלקה יכול להישמע בדיוק כמו המרפאה. אל תמסרו פרטים או קודי אימות בשיחה נכנסת, נתקו והתקשרו בעצמכם למספר הרשמי של הקופה.

מותר לכם לדעת מה מוחזק עליכם. אפשר לפנות לקופה או לבית החולים, לבקש לעיין במידע השמור עליכם ולדרוש לתקן פרטים שגויים.

הקנס בסן-אטיין לא הוצא על כך שמישהו הצליח להיכנס. הוא הוצא על כך שאחרי שנכנס, שום דבר לא עצר אותו ואיש לא ראה אותו.