Le groupe INICEA est concerné par une fuite de données revendiquée par le hacker ChimeraZ. Si la revendication a initialement été présentée sous le nom de la Clinique de Vontes, située à Esvres-sur-Indre, les données diffusées montrent un périmètre bien plus large : elles semblent provenir d’une base interne utilisée au sein du groupe INICEA.
Le fichier publié contient 4 111 enregistrements et représente environ 2,53 Mo au format JSON. Les éléments observés correspondent avant tout à des profils utilisateurs et à des informations d’organisation interne rattachés à différents établissements du groupe.
Une base interne du groupe INICEA
INICEA est un réseau d’établissements de santé privés spécialisé notamment dans la santé mentale et les soins médicaux et de réadaptation. La Clinique de Vontes fait partie de ce réseau et accueille des patients adultes dans plusieurs services de psychiatrie.
Les premières informations autour de cette fuite pouvaient laisser penser que seule la Clinique de Vontes était concernée. L’examen des données montre cependant que les enregistrements ne se limitent pas à cet établissement et font référence à différentes structures du groupe INICEA.
Des profils et droits internes dans les fichiers
Cyberattaque.org s’est procuré les échantillons diffusés avec la revendication. Les enregistrements observés contiennent notamment des informations liées à l’identité et au fonctionnement interne des comptes :
- nom, prénom ou libellé du compte ;
- adresse e-mail professionnelle ;
- numéros de téléphone lorsqu’ils sont renseignés ;
- établissement et entité de rattachement ;
- fonction et profil utilisateur ;
- groupes et responsabilités associés ;
- statut administrateur ;
- workflows et circuits internes accessibles au compte.
Les données font apparaître plusieurs environnements et établissements du groupe INICEA, confirmant que la fuite dépasse le seul périmètre de la Clinique de Vontes.
Une fuite qui expose l’organisation interne du groupe
Les données visibles permettent de cartographier une partie de l’organisation : établissement de rattachement, niveau de responsabilité, groupes internes ou encore droits fonctionnels. Ce type d’information peut offrir à un attaquant une vision précise de qui fait quoi et avec quels accès au sein des différentes structures concernées.
Le fait que certains champs fassent référence à des services de soins ou à des workflows médicaux ne signifie pas pour autant que des informations de santé concernant des patients figurent dans la base. Aucun élément fourni ne permet pour l’instant d’établir une telle exposition.
Un risque de phishing ciblé contre le personnel
La combinaison entre identité, e-mail professionnel, établissement, fonction et responsabilités peut être utilisée pour construire des campagnes de phishing particulièrement crédibles contre le personnel, en imitant par exemple une demande provenant d’un collègue, d’un responsable ou d’un autre établissement du groupe.
La connaissance des rôles et des circuits internes peut également faciliter des tentatives d’usurpation ou de fraude ciblant les utilisateurs disposant de fonctions sensibles.
La Clinique de Vontes comme point d’entrée probable
ChimeraZ ne détaille pas la méthode utilisée pour accéder à ces données. Le fait que la revendication ait été initialement associée à la Clinique de Vontes, alors que la base récupérée concerne plus largement INICEA, laisse toutefois penser que l’établissement a pu servir de point d’entrée à l’attaquant vers un outil ou une application interne au groupe.
Cette hypothèse ne peut toutefois pas être confirmée techniquement à ce stade. L’accès pourrait également provenir d’un compte compromis ou d’un service partagé entre plusieurs établissements.
La publication établit néanmoins l’exposition d’un ensemble structuré de plus de 4 000 profils et informations organisationnelles internes à INICEA. Le périmètre exact de l’incident et les conditions dans lesquelles cette base a été obtenue restent à déterminer.