Manipulation (ingénierie sociale) : Hôpital et EMS, Suisse 2026
Le 8 septembre 2026, le CHUV a annoncé qu’à la suite d’un cyberincident dans un laboratoire externe de diagnostic du cancer, des données de onze de ses patientes et patients s’étaient retrouvées sur le darknet : noms, dates de naissance, caisse maladie et médecins spécialistes traitants.
- Sinistre · 09.2026 · Lausanne VD, Suisse
- Source : confirmé par une autorité
- Manipulation (ingénierie sociale)
- Fuite de données
- Attaque via un fournisseur
État au
Ce qui s’est passé
Selon les premières constatations, les auteurs ont exploité une erreur humaine chez le prestataire au moyen du vishing. Les propres systèmes du CHUV n’étaient pas touchés ; l’hôpital a suspendu la collaboration par précaution et a informé les personnes concernées et les autorités.
- Concerné
- CHUV (Centre hospitalier universitaire vaudois)
- Secteur
- Hôpital et EMS
- Dommage
- pas de chiffre fiable
- Interruption d’activité
- inconnu
- Rançon exigée / payée
- inconnu / inconnu
- Données concernées
- 11 patientes et patients (nom, date de naissance, caisse maladie, médecin spécialiste) ; aucune donnée de santé
- Faillite
- non
- Point d’entrée
- Vishing (hameçonnage par téléphone) auprès d’un laboratoire externe
Qu’aurait payé une assurance cyber ?
Cela dépend des conditions. Assurance des personnes concernées : inconnue.
-
Informer les personnes concernées
Lettres, centre d’appels, surveillance de la solvabilité
Le plus souvent couvert 6 sur 9 produits pour entreprises le couvrent entièrement, en option ou de façon limitée.
-
Prétentions de tiers après une fuite de données
Responsabilité civile en cas de violation de la protection des données et de la sécurité du réseau
Le plus souvent couvert 7 sur 9 produits pour entreprises le couvrent entièrement, en option ou de façon limitée.
-
Perte d’exploitation parce que les clients restent à l’écart après l’incident
Le plus souvent aucune indication 1 sur 9 produits pour entreprises le couvrent entièrement, en option ou de façon limitée.
Aperçu selon les conditions publiques, état au 06.11.2026. Seules votre police et les conditions générales d’assurance (CGA) correspondantes font foi. Aucune promesse de couverture.
Ce qu’on en apprend
Un seul appel au laboratoire peut coûter des données de patients ; les prestataires qui traitent des données de santé ont besoin de règles claires pour les demandes de précisions au téléphone.
Sources
- Cyberincident chez un prestataire externe (s’ouvre dans une nouvelle fenêtre) CHUV · 08.09.2026
« aucune donnée de santé n’a été divulguée »