Site d'avocat, de médecin ou de profession réglementée piraté
Site d'avocat, de médecin ou de profession réglementée piraté : le secret et les données de santé ou de dossiers changent le niveau. Coupez les formulaires, figez, faites constater. La communication publique se calibre avec un conseil. Ce n'est pas « un petit WordPress de cabinet ». Le prestataire technique horodate un périmètre ; il ne signe ni la CNIL ni « aucune donnée sortie ».
Le secret et les données de santé ou de dossiers changent le niveau. Coupez les formulaires, figez, faites constater. La communication publique se calibre avec un conseil.
Pourquoi le seuil n'est pas celui d'une vitrine
Un défacement de page d'accueil n'est pas automatiquement une violation de secret. Un formulaire « exposé de votre situation » ou un espace documents, si. On ne le sait qu'après constat. Fuite. Ne devinez pas en clientèle.
Santé : données particulières. Droit : correspondances, pièces. Même prudence. Asso / mairie pour le réflexe « petite structure » — ici le réflexe est l'inverse : trop grave pour bricoler.
Vitrine vs boutique : vous n'êtes pas une boutique, l'urgence données peut être plus haute. On ne le sait qu'après constat, pas en clientèle le soir J.
Couper les saisies, pas forcément tout le domaine
Formulaire, upload de pièces, prise de RDV, tunnel « espace ». Maintenance ciblée. Le site vitrine (horaires, mentions) peut rester. Phishing bancaire sur le domaine : coupez l'URL. Phishing. Faut-il couper.
Ne laissez pas un Doctolib / Calendly injecté ou un iframe douteux. Calendly.
Message d'attente sobre, sans détail d'attaque.
Figer : copie, accès, mentions
Copie hors compte, journaux, liste des plugins de formulaires. Panel. Preuves. Réinstall « pour rassurer les patients » le soir même : souvent la pire idée.
Comptes : secrétaire, associé, community. Revue. Moindre privilège. Ancien prestataire. Ancien développeur.
Compte suspendu : adresse perso, archive. Le mail du cabinet est souvent sur le même contrat. Mail coupé.
Formulaires, prises de RDV, espaces patients
Où allaient les e-mails ? SMTP du site, boîte, CRM ? Un PHP à la racine a-t-il pu tout voir ? Journal d'envoi. Pièces dans `uploads` : PHP interdit après, inventaire des fichiers étranges.
Espace « patient / client » WordPress bricolé n'est pas un DPI. S'il existait, il entre dans le périmètre. CMS métier (logiciel cabinet) hors site : autre contrat, à prévenir si SSO / liens.
Joomla / Drupal / PHP maison fréquents chez les cabinets anciens. Joomla, site PHP.
Hébergeur, HDS, pièces jointes
Un site vitrine n'est pas forcément HDS. Un recueil de données de santé, si les conditions sont réunies, pose la question de l'hébergement. Ça ne se tranche pas dans un ticket « malware » le soir J. Constatez d'abord où étaient les données.
Hébergeur classique (OVH, o2switch) : même protocole abus. OVH. Ils ne « gèrent pas le secret professionnel » pour vous.
Pièces jointes dans la messagerie du domaine : si le webmail a le même secret que le panel, élargissez le doute. Ne le niez pas par confort.
Constater avant de communiquer
Un post LinkedIn « nous avons été attaqués » sans périmètre crée plus de devoirs que de clarté. Calibrez avec un conseil (ordre, avocat AMI, DPO). Nous fournissons le technique, pas la doctrine.
Patients / clients concernés vs public. Canaux habituellement utilisés pour les RDV.
Rançon / chantage à la fuite : ne pas payer, documenter, conseil. Rançongiciel. Pourquoi ne pas payer.
CNIL, ordres, assureur
72 h si notification due. CNIL. Ordre des médecins / barreau : selon les faits, pas automatique. Assureur cyber : ouvrez tôt, déclaration.
Le prestataire de nettoyage ne signe pas à votre place. Choisir un prestataire.
Créer un compte : constat horodaté, utile au dossier.
Après : moindre privilège et moins d'outils tiers
Moins de plugins de chat / heatmaps / pixels. Scripts tiers. Formulaires : le minimum de champs. PHP médias off. WAF après. WAF.
Trente jours de surveillance. Garantie.
Thèmes hors circuit : hors sujet pour un cabinet. Marketplace. Un thème Telegram sur un site de santé est un risque que le constat doit nommer, sans morale.
Moins de heatmaps, moins de chat tiers, moins de champs sur le formulaire. Chaque pixel est un sous-traitant de plus à tenir. Scripts tiers.
Ce que le prestataire technique ne signe pas
Ni la notification CNIL, ni l'information à l'Ordre, ni le courrier patients, ni « aucune donnée n'est sortie ». Nous horodatons un périmètre fichiers / bases / formulaires. Le conseil (DPO, confrère, assureur) calibre. Choisir un prestataire : fuyez qui « s'occupe de la CNIL à votre place ».
HDS : la question se pose sur ce qui était collecté, pas sur le logo de l'hébergeur dans le ticket malware. Ne mélangez pas les deux dans le premier e-mail d'abus. OVH restera un ticket d'abus, pas un audit de conformité.
Rançon / chantage : documentez, ne payez pas, conseil. Rançongiciel. Créer un compte : accès révocables, constat. Coupez les saisies ce soir ; le roman public attend le constat.