Ce qui a été touché
L’EFS est le service public du sang en France. Par communiqué, il annonce un « incident de cybersécurité » chez un prestataire d’équipement frigorifique 1. Selon ce texte, « les installations de supervision et de pilotage de chambres froides déployées sur trois sites de l’EFS ont été touchées » 8.
Le communiqué précise que « des seuils de température et de dégivrage ont été portés à de très hautes températures » 2.
Deux sites sont nommés. Besançon, selon ICI Besançon 3. Et Bois-Guillaume, près de Rouen, selon France 3 4. Le troisième site n’a pas été rendu public.
Dans ces chambres, il y avait du plasma pour les transfusions. Il y avait aussi du plasma qui sert à fabriquer des médicaments 2,4. Selon Le Canard enchaîné, l’EFS a d’abord parlé d’échantillons de veille sanitaire. Il a ensuite reconnu la présence de plasma congelé destiné à la transfusion 5.
Ce qui a été piraté, c’est le pilotage à distance d’appareils de froid, chez un prestataire.
Un prestataire, et le prestataire de ce prestataire
L’EFS dit ne pas avoir été visé directement 7. Il a été atteint « par ricochet », selon Sophie Le Cam, de la direction nationale de l’établissement 2.
Le prestataire serait Coolworld, un loueur d’équipements de froid. C’est Le Canard enchaîné qui le nomme, et lui seul. L’AFP le reprend en citant ce journal 1,5.
Coolworld reconnaît un incident sur son logiciel de surveillance à distance. Il écrit que « only a limited number of Coolworld units were affected » (seul un nombre limité de ses appareils a été touché), sans chiffre 6. Il ne nomme pas l’EFS.
Coolworld situe la faille plus loin. Elle viendrait d’un composant fourni par un tiers, « outside Coolworld’s direct control » (hors de son contrôle direct), écrit l’entreprise 6. Ce tiers n’est pas nommé.
110 °C : une consigne, pas une mesure publiée
Le chiffre de 110 °C a fait le tour des titres. Il désigne une consigne programmée, selon le texte du Canard enchaîné 5. Le chapô du même journal écrit pourtant que les chambres ont été « réchauffées jusqu’à 110 degrés » 5. Une consigne n’est pas une température atteinte.
À Besançon, un responsable de l’EFS parle de températures « montées à 110 voire 150 degrés ». Il ne précise pas s’il s’agit de la consigne ou d’une mesure 3. Le communiqué de l’EFS, tel que le cite RTL, parle de « très hautes températures », sans chiffre 2.
Aucune source publiée ne dit à quelle température les poches sont montées.
Le bilan vient de l’EFS et de son ministère
« Aucun impact sanitaire n’a été identifié et aucune perte de produits sanguins n’est à déclarer », annonce l’EFS 1. Le ministère de la Santé, qui tient sa tutelle, parle de « zéro conséquence opératoire » 5. En Normandie, le directeur régional de l’EFS l’assure : « aucun produit n’a été altéré » 4.
Ce bilan est celui de l’établissement touché et de son ministère. Aucun constat indépendant n’a été publié au 5 novembre. Le ministère a annoncé un nouveau bilan 1. Au 5 novembre, il n’était pas publié.
Des recherches techniques sont en cours. Elles doivent dire comment l’attaque a été menée, combien d’appareils sont concernés et quand ils seront remis en service 1.
La règle, elle, est écrite. Les bonnes pratiques de la transfusion imposent des alarmes de température, avec des mesures prévues en cas d’alarme 10. Un produit altéré est isolé puis détruit, et la cause est enregistrée 10.
Stéphane Noël dirige l’EFS dans les Hauts-de-France et en Normandie. Il distingue la panne de l’attaque 4.
« Un dysfonctionnement de chambre froide, cela peut arriver. »
Une cyberattaque, en revanche, « c’est une première », dit-il 4.
Qui est derrière : aucun nom, aucune revendication
Aucune revendication n’a été publiée sur l’attaque contre l’EFS. Aucune attribution officielle non plus, ni preuve visant un État ou quiconque 7,8.
L’attaque arrive peu après une vague présumée d’attaques contre les frigos de supermarchés en Europe 1. Pour cette vague, The Guardian écrit qu’aucun mobile n’est connu et que personne ne l’a revendiquée 7. En octobre, une alerte du centre de veille de l’État visait des boîtiers de commande de frigos branchés sur Internet. Elle demandait de changer leurs mots de passe d’usine 9. Ce texte ne mentionne pas l’EFS.
Le lien entre les deux affaires n’est pas établi. « On ignore à ce stade s’il y a un lien », écrit l’AFP 1.
Pour les malades qui attendent une transfusion
Selon l’EFS, rien ne change. Aucune perte, dit son communiqué, et « la continuité des activités de prélèvement et de distribution est garantie » 1,2.
Les durées de conservation situent ce bilan, sans le mesurer. Le plasma congelé se garde de un à trois ans 11. C’est le produit du sang qui se conserve le plus longtemps.
Les globules rouges tiennent 42 jours 11. Les plaquettes, 7 jours 11. Ces deux produits, les plus fragiles, ne figurent pas parmi ceux que l’EFS cite dans les chambres touchées 2.
En juin, l’EFS comptait environ 75 000 unités de globules rouges 12. Des réserves « stables », selon lui, en demandent 90 000 12. Au 5 novembre, son site affiche « Réserves faibles », sans chiffre et sans lien affiché avec l’attaque 16.
Pour un malade ou ses proches, il n’y a aucune démarche à faire. Le prochain point à suivre est le nouveau bilan du ministère, qui n’a pas de date 1.
Les globules rouges et les plaquettes ne se gardent pas longtemps. L’EFS demande donc des dons « réguliers, quotidiens » 18.
Le don de sang est ouvert de 18 à 70 ans 11,15. Il faut peser au moins 50 kg 11,15. Il faut 8 semaines entre deux dons 11,15. Pour le plasma et les plaquettes, la limite est 65 ans 11. Un test pour savoir si l’on peut donner, la carte des collectes et l’appli « Don de sang » sont sur le site de l’EFS 16.
Pour les donneurs et leurs données
L’attaque décrite porte sur le pilotage de chambres froides, chez un prestataire. Dans leurs déclarations rapportées, ni l’EFS, ni le ministère, ni Coolworld ne parlent de données de donneurs 1,2,6,8. Aucun des articles cités ici non plus. Aucune source publique ne relie les fichiers des donneurs au logiciel du frigoriste. Aucune ne dit non plus ce qui passait par ce logiciel. Aucune démarche n’est établie comme nécessaire pour un donneur au titre de l’attaque. Au 5 novembre, le site de don de l’EFS n’affichait aucune information à ce sujet 16.
Les droits d’un donneur sur ses données valent en tout temps, attaque ou pas. L’EFS garde sur chaque donneur son identité, ses coordonnées et son groupe sanguin 13. Il garde aussi ses réponses sur sa vie, comme ses voyages ou ses tatouages. Et il garde ses résultats d’analyses, dont le VIH et les hépatites B et C 13. Ces données restent de 15 à 30 ans après le dernier passage au don. Quarante ans si le sang a servi à fabriquer des médicaments 13.
Un donneur a le droit de savoir ce que l’EFS détient sur lui. Il écrit au directeur de l’établissement de sa région, ou au délégué à la protection des données de l’EFS, à l’adresse efs.dpo@efs.sante.fr 13. Il peut faire corriger une erreur et refuser les relances par SMS ou par mail. Il ne peut pas faire effacer les données du don, sauf si elles sont fausses. La chaîne du sang doit rester traçable 13.
L’organisme doit répondre sous un mois. Sans réponse, ou après un refus, le donneur peut porter plainte auprès de la CNIL, l’autorité qui contrôle l’usage des fichiers 14.
Le maillon du prestataire
Selon l’EFS, l’alerte n’est pas venue du système piraté. Trois responsables de l’établissement, dont un à la direction nationale, l’attribuent à des systèmes de surveillance des températures propres à l’EFS 2,3,4. L’un d’eux les dit « indépendants de ceux du frigoriste » 4. Aucun constat indépendant n’a été publié.
Ce qui a cédé, c’est le pilotage confié à un prestataire. Et la faille, selon ce prestataire, vient du fournisseur d’un de ses composants 6. En octobre, Les Mousquetaires ont écrit à CNBC que l’attaque contre certains de leurs magasins était passée, elle aussi, par un prestataire chargé de leurs frigos 17. Aucun lien n’est établi entre les deux affaires 1. Dans les deux cas, l’entrée s’est faite par un sous-traitant.