Les données personnelles représentent une valeur marchande élevée pour les hackers, en particulier lorsqu’il s’agit d’informations  conservées sur l’ordinateur d’un médecin. En cas de faille de sécurité sur un site ou dans un service en ligne, ces données peuvent être dérobées et se retrouver sur internet, avec un double risque : pour la vie privée des patients et pour la responsabilité du praticien si des dossiers médicaux sont exposés.

En principe, le site victime d’un piratage prévient ses utilisateurs par courrier électronique. Mais ce message peut facilement passer inaperçu, être classé en spam ou supprimé par mégarde. D’où l’intérêt de disposer d’un outil indépendant permettant de vérifier si une adresse e-mail ou un mot de passe ont été impliqués dans une fuite de données.

Le service le plus connu est « Have I Been Pwned ? » Est-ce que je me suis fait avoir ? En y introduisant une adresse e-mail, le site vérifie si celle-ci apparaît dans des bases issues de fuites connues (sites piratés, violations massives). L’utilisateur obtient la liste des services concernés et, en général, la date approximative de la fuite. Le même principe peut être appliqué à un mot de passe, via un module dédié, pour savoir si celui-ci circule déjà dans des listings compromis. Ce service est utilisé par des institutions, des services de cybersécurité et des autorités publiques dans plusieurs pays.

Deux situations principales peuvent se présenter. Si l’adresse e-mail n’apparaît pas dans les bases de données suivies par « Have I Been Pwned ? », un écran vert s’affiche. Il s’agit d’un signal rassurant, mais qui ne constitue pas une garantie absolue : certaines attaques ne sont pas détectées, d’autres ne sont pas rendues publiques ou ne sont pas encore intégrées dans l’outil. Il reste donc prudent de changer ses mots de passe régulièrement, même en l’absence de signal d’alerte.

À l’inverse, un écran rouge apparaît lorsque l’adresse figure dans une ou plusieurs bases compromises. Plus bas sur la page, les sites concernés sont listés, ce qui permet d’identifier les services qui n’ont pas su protéger correctement les données. Dans ce cas, il est recommandé de modifier immédiatement le mot de passe du compte concerné, puis de vérifier s’il n’était pas réutilisé pour d’autres services. Une vérification complémentaire du mot de passe via l’outil dédié permet de savoir s’il circule déjà dans des bases accessibles aux cybercriminels.

« Have I Been Pwned ? » a été développé par l’informaticien indépendant Troy Hunt, expert reconnu en sécurité informatique, récompensé notamment par Microsoft pour ses travaux.

D’autres outils existent pour affiner ce contrôle ou mettre en place une surveillance plus systématique. Firefox Monitor, basé sur les données de « Have I Been Pwned ? », propose par exemple d’alerter automatiquement l’utilisateur lorsque son adresse apparaît dans une nouvelle fuite. Google intègre un contrôle similaire dans Chrome via la fonction Password Checkup, qui signale les mots de passe compromis enregistrés dans le navigateur. À cela s’ajoute désormais Cybernews Data Leak Checker, outil de vérification alternatif qui permet de rechercher si une adresse e-mail apparaît dans des bases de données issues de fuites récemment documentées, offrant ainsi un second niveau de contrôle.

En parallèle de ces vérifications, certains indices doivent alerter le médecin dans sa pratique quotidienne : connexions suspectes à ses comptes, demandes de réinitialisation de mot de passe non sollicitées, activité inhabituelle sur les réseaux sociaux ou sur des services en ligne, notifications répétées de tentatives de connexion depuis des appareils ou des pays inconnus.

En cas de fuite avérée, plusieurs mesures s’imposent : changer immédiatement le mot de passe concerné, utiliser pour chaque service un mot de passe unique et complexe, activer la double authentification lorsqu’elle est disponible, surveiller les comptes sensibles (bancaires, messageries, accès au logiciel de dossiers médicaux) et vérifier qu’aucun mot de passe n’est réutilisé d’une plateforme à l’autre. Pour un médecin, la sécurisation de l’accès au poste de travail et aux logiciels métiers reste essentielle, compte tenu de la sensibilité des données traitées.

L’usage d’un gestionnaire de mots de passe peut faciliter l’application de ces bonnes pratiques. Des solutions comme Bitwarden, 1Password ou Dashlane permettent de générer et de stocker des mots de passe complexes sans devoir les mémoriser. Certains antivirus intégrant une protection web et des modules anti-phishing (par exemple Bitdefender ou ESET) peuvent également contribuer à réduire le risque d’infection ou de vol d’identifiants, à condition d’être maintenus à jour.

Pour les médecins, l’enjeu dépasse la simple protection de leur identité numérique : il s’agit aussi de préserver la confidentialité des dossiers patients et de limiter le risque de voir des informations médicales circuler en ligne après un piratage évitable. Un contrôle régulier via des outils spécialisés, associé à une hygiène numérique rigoureuse, constitue une première ligne de défense.

> Est-ce que je me suis fait avoir ? Contrôlez ici

Lire aussi : L’APD fixe à 12 caractères le seuil minimal pour les mots de passe des médecins