SickKids : possible vol de données personnelles après une attaque contre une application tierce

L’incident a touché le portail de recrutement

Le 21 août 2026, le Hospital for Sick Children de Toronto, le principal hôpital pédiatrique du Canada, a fait état d’un nouvel incident de cybersécurité susceptible d’avoir entraîné le vol de données personnelles.

L’attaque serait liée à une application logicielle gérée par un prestataire tiers. Pendant un certain temps, l’incident a rendu indisponible le site utilisé pour les candidatures. SickKids a donc lancé une enquête afin de déterminer l’ampleur de l’accès et d’identifier les informations susceptibles d’avoir été récupérées.

L’hôpital n’a pas précisé quand l’attaque s’était produite. Le nom de l’application concernée, l’identité du fournisseur, la technique utilisée par les attaquants ni la durée de l’éventuelle exposition n’ont été divulgués.

Les personnes potentiellement concernées appartiennent à plusieurs catégories :

• employés actuels ;
• anciens employés ;
• candidats à des postes ;
• salariés d’organisations affiliées ;
• personnel de la SickKids Foundation.

SickKids n’a pas précisé quelles catégories de données ont effectivement été exfiltrées. Il est donc impossible, à ce stade, de déterminer si l’incident concerne uniquement des informations administratives ou également des données plus sensibles liées aux relations de travail.

Les systèmes cliniques et les données des patients ne semblent pas concernés

Selon la communication de l’hôpital, l’incident n’a touché ni les systèmes cliniques ni les informations relatives aux patients. Cela limite l’impact direct sur les soins et distingue cet événement d’une attaque susceptible d’interrompre les diagnostics, les traitements ou les activités des services.

L’exposition potentielle concerne plutôt des personnes ayant, ou ayant eu, une relation professionnelle avec SickKids et des organisations affiliées. Pour les employés et anciens employés, les données disponibles dans une application de recrutement ou de gestion du personnel pourraient inclure des informations d’identification, des coordonnées ou des détails relatifs aux candidatures. Toutefois, ces catégories n’ont pas été confirmées par l’hôpital.

Pour les candidats, on ignore également si l’ensemble des utilisateurs du portail a été concerné ou seulement une partie d’entre eux. L’enquête devra déterminer quels comptes, enregistrements et fonctionnalités de l’application étaient accessibles.

L’absence de données cliniques n’élimine pas les risques pour les personnes concernées. Des informations professionnelles et personnelles peuvent servir à élaborer des messages d’hameçonnage crédibles, usurper l’identité de l’organisation, mener des fraudes ciblées ou faciliter un vol d’identité.

Deux ans de surveillance du crédit pour les personnes concernées

SickKids a déclaré avoir informé directement les personnes potentiellement concernées. Un service de surveillance du crédit pendant deux ans leur a également été proposé.

La surveillance peut aider à détecter des demandes de crédit, des ouvertures de comptes ou des modifications inhabituelles associées à l’identité de la victime. Elle n’empêche toutefois pas l’utilisation frauduleuse des données et ne remplace pas la prudence face aux communications reçues.

Les personnes qui reçoivent une notification doivent vérifier que les coordonnées utilisées proviennent bien de l’hôpital ou du prestataire chargé de l’assistance. Il est recommandé de ne jamais communiquer de mots de passe, de codes d’authentification ou de documents via des liens reçus par email ou SMS sans vérification indépendante.

Il convient également de se méfier des messages faisant référence à des candidatures, des avantages sociaux, des fiches de paie, des assurances ou des procédures internes. En cas de fraude présumée, il est conseillé de contacter directement son établissement financier et d’utiliser les canaux officiels pour signaler l’incident.

Aucun indicateur de compromission, tel qu’un domaine, une adresse email, un fichier malveillant ou un hash, n’a été publié. Il n’est donc pas possible d’établir une liste technique d’éléments à rechercher sur les appareils des utilisateurs.

Un précédent ransomware avait déjà paralysé une partie de l’hôpital

Ce nouvel incident s’ajoute à une précédente attaque par ransomware subie par SickKids en 2022. Cette opération avait rendu certains systèmes indisponibles, et leur restauration avait pris plusieurs semaines.

Parmi les composants touchés figuraient :

• les systèmes de la pharmacie ;
• les résultats d’imagerie médicale ;
• les outils internes de saisie des heures travaillées par le personnel.

L’attaque avait été associée à l’opération LockBit. Par la suite, le groupe avait déclaré s’être excusé auprès de l’hôpital, avoir fourni gratuitement un décrypteur et avoir exclu l’affilié responsable de l’attaque.

Le précédent met en évidence une différence importante avec l’événement actuel. En 2022, l’impact principal avait été opérationnel, avec l’indisponibilité de systèmes utilisés par l’hôpital. Dans le cas plus récent, l’impact connu concerne une application tierce et un accès potentiel aux données de travailleurs et de candidats.

Les deux incidents ont néanmoins un point commun : la dépendance d’une organisation de santé à des systèmes qui ne sont pas nécessairement cliniques. Un portail de recrutement ne gère pas directement les soins, mais sa compromission peut exposer des informations utiles à de futures attaques.

D’autres incidents récents accentuent la pression sur le secteur de la santé

SickKids fait partie des organisations de santé ayant annoncé une violation de données au cours de la même semaine.

Baylor Genetics a indiqué qu’une fuite de données survenue en juin comprenait des informations relatives à des examens médicaux, des résultats de laboratoire, une assurance santé et des numéros de sécurité sociale. Ces catégories de données peuvent être utilisées pour commettre des fraudes financières et des vols d’identité.

CareCloud, qui fournit des systèmes de dossiers médicaux électroniques, a pour sa part déclaré qu’un incident survenu en mars avait concerné 3,7 millions de personnes.

Ces affaires diffèrent par leur ampleur et par les types de données concernés, mais elles mettent en évidence le même problème : la surface d’attaque du secteur de la santé englobe les fournisseurs, les plateformes administratives, les services cloud et les applications destinées au personnel, en plus des systèmes hospitaliers traditionnels.

Dans le cas de SickKids, aucune CVE, vulnérabilité précise ni information technique permettant d’attribuer l’incident à une faille connue n’a été communiquée. L’incident n’a pas non plus été signalé dans le catalogue Known Exploited Vulnerabilities (KEV) de la CISA ; il n’existe donc aucune date d’ajout ni échéance de remédiation à rapporter.

L’enquête devra déterminer si l’accès résulte d’une vulnérabilité de l’application, de identifiants compromis, d’une erreur de configuration ou d’une autre technique. Tant que SickKids et le fournisseur ne publieront pas d’informations supplémentaires, le périmètre de la compromission reste limité aux éléments déjà communiqués : possible vol de données personnelles, indisponibilité temporaire du portail de recrutement et absence d’éléments publics indiquant un accès aux systèmes cliniques ou aux données des patients.