Exposition présumée de données chez PlexusMD

La présence conjointe du nom, de l’adresse e-mail, du nom d’utilisateur, de la date de naissance, de l’adresse IP et de l’empreinte du mot de passe sur une plateforme destinée aux professionnels de santé accroît les risques pour l’identité et le profil professionnel. L’empreinte du mot de passe n’est pas un mot de passe en clair; toutefois, un mot de passe faible ou un algorithme ancien peut permettre de retrouver le mot de passe à partir de cette empreinte. La date de naissance peut être utilisée lors d’une récupération de compte ou dans des démarches d’ingénierie sociale. Le contexte médical et professionnel rend plus crédibles les fausses offres d’emploi, les certificats de formation, les invitations à des conférences ou les messages de vérification de comptes au sein de communautés médicales. Le risque augmente si l’utilisateur a réutilisé le même mot de passe pour ses comptes hospitaliers, universitaires ou de messagerie.

Cette fiche apparaît dans des listes de données accessibles au public, avec des nombres et des champs similaires. Toutefois, l’indicateur de vérification sur LeakData est désactivé en l’absence de notification directe de l’entreprise. Le périmètre correspond à un nombre approximatif de lignes, qui ne doit pas être interprété comme un nombre de personnes distinctes. Toutes les lignes ne contiennent pas nécessairement l’ensemble des champs. Aucun dossier de patient, aucune note clinique, aucun document d’autorisation d’exercice ni aucun champ relatif aux cartes de paiement n’a été ajouté à la description; cette fiche a été évaluée uniquement à partir des champs de comptes et de profils utilisateurs. La sensibilité des données tient à l’association du contexte des professions de santé et des champs d’identité. Des mesures concrètes de protection sont proposées aux utilisateurs, plutôt que des affirmations catégoriques.

Les utilisateurs à risque sont les médecins ayant créé un compte sur PlexusMD, les étudiants en médecine, les personnels de santé, les personnes à la recherche d’un emploi et celles qui consultent des contenus de formation médicale. Les professionnels de santé utilisant une adresse e-mail professionnelle sont davantage exposés : des attaquants peuvent leur envoyer de fausses annonces d’emploi, des invitations à des conférences, des certificats CME, des formulaires de candidature auprès d’hôpitaux ou des messages de vérification de compte. Le nom et la date de naissance peuvent servir à personnaliser ces messages. L’adresse IP peut également contribuer à un ciblage géographique approximatif. En raison de la réputation des professions de santé, les utilisateurs peuvent être enclins à répondre rapidement à de fausses offres professionnelles.

Si une correspondance est trouvée pour vos données, n’utilisez pas le mot de passe de votre compte PlexusMD pour d’autres comptes liés à la santé, à la formation, à un hôpital, à la messagerie ou aux réseaux sociaux. Si vous utilisez ce même mot de passe pour des comptes professionnels, informez l’équipe de sécurité de votre établissement. Activez l’authentification multifacteur et vérifiez les sessions que vous ne reconnaissez pas. Vérifiez les offres d’emploi, les invitations à des conférences, les certificats ou les messages de mise à jour de compte suspects auprès de votre établissement, par ses canaux officiels. Examinez attentivement les formulaires demandant votre date de naissance ou des informations professionnelles, et ne donnez pas suite aux demandes de téléversement de documents sans vérification indépendante.

À long terme, utilisez des mots de passe uniques et des adresses e-mail distinctes sur les plateformes consacrées à la santé et à la carrière, et limitez les informations partagées dans vos profils. Les établissements de santé devraient mettre en place des règles empêchant leurs employés de réutiliser les mots de passe de l’établissement sur des sites de carrière tiers. Les plateformes devraient recourir à des méthodes modernes de hachage des mots de passe, réduire le nombre de comptes anciens, limiter la durée de conservation des données IP et proposer aux utilisateurs des options de suppression de leurs données. Comme l’identité d’un professionnel de santé et ses informations professionnelles peuvent servir à inspirer confiance dans le cadre d’une fraude, prenez l’habitude de vérifier les offres d’emploi et de formation par les canaux officiels.

La vérification sur LeakData indique si votre adresse e-mail correspond à votre inscription sur PlexusMD. En cas de correspondance, cessez d’utiliser ce mot de passe sur tous les comptes où vous l’avez réutilisé et activez une vérification supplémentaire sur vos comptes de messagerie et vos comptes professionnels. Vérifiez par un canal indépendant les messages inattendus concernant un emploi, une formation ou une certification dans le secteur de la santé. Si la vérification ne trouve aucune correspondance, elle peut néanmoins ne pas avoir pris en compte d’anciens profils créés avec une autre adresse e-mail. Bien que cette fiche n’ait pas été confirmée par une notification officielle, elle doit être considérée comme sensible en raison du contexte des professions de santé, de la date de naissance et du champ relatif au mot de passe.