Ampath Laboratories : ByteToBreach revendique 80 millions d'enregistrements patients

Les faits

Le 2 octobre 2026, Ampath Laboratories, principal opérateur de laboratoires d'analyses médicales en Afrique du Sud avec plus de 300 sites de collecte et plusieurs millions de patients annuels, détecte et contient un incident de cybersécurité affectant une partie de son infrastructure informatique. L'entreprise, filiale du groupe Amsure et principal fournisseur de services de pathologie au pays, confirme l'intrusion dans un avis officiel publié sous le régime de la loi sud-africaine POPIA (Protection of Personal Information Act).

Quelques jours après la détection, le groupe ByteToBreach publie sur un forum de cybercriminalité darkweb une revendication affirmant avoir exfiltré des données issues d'au moins 10 bases de données d'Ampath. La pièce maîtresse de la revendication : une table d'admissions de laboratoire contenant prétendument 80 millions d'enregistrements. Le chiffre, repris immédiatement par plusieurs médias technologiques, provoque une vague d'inquiétude considérable, notamment compte tenu du fait que l'Afrique du Sud compte environ 63 millions d'habitants.

Ampath répond rapidement à la confusion créée par ce chiffre. Dans un communiqué officiel, le laboratoire précise que 80 millions d'enregistrements de base de données ne correspondent pas à 80 millions de patients individuels. Chaque visite d'un patient pour un test différent génère une entrée distincte dans le système de gestion des admissions. Un patient régulier peut ainsi représenter des dizaines ou des centaines d'enregistrements au fil des années. La différence entre enregistrements et individus uniques est fondamentale dans l'évaluation du périmètre réel d'une compromission.

La firme d'intelligence sur les menaces KELA a évalué ByteToBreach et conclut qu'il s'agit vraisemblablement d'un individu opérant seul, probablement basé en Algérie. Malgré cette envergure limitée, l'acteur a démontré une capacité réelle à compromettre des organisations dans plusieurs pays africains. Ses cibles précédentes documentées incluent des banques et des entités gouvernementales au Nigeria et aux Seychelles. L'attaque contre Ampath marque une escalade significative tant par la taille de la victime que par le volume de données revendiqué.

Selon l'avis POPIA publié par Ampath, les catégories de données potentiellement exposées comprennent : les noms complets des patients, les numéros d'identité nationale, les coordonnées (adresses, numéros de téléphone), ainsi que les informations d'assurance maladie et de paiement. En revanche, Ampath affirme n'avoir trouvé aucune preuve que les résultats d'analyses médicaux, les diagnostics, ou les informations bancaires ont été compromis. Cette distinction est importante du point de vue médico-légal, bien que les données d'identité et d'assurance exposées restent suffisantes pour des fraudes ciblées.

L'ampleur potentielle de cet incident, même en réduisant drastiquement le chiffre de 80 millions à un nombre réaliste de patients uniques, soulève des questions profondes sur la cybersécurité du secteur de la santé en Afrique subsaharienne. Les laboratoires médicaux constituent des cibles particulièrement attractives pour les cybercriminels : leurs bases de données combinent informations personnelles, données médicales sensibles, et souvent des connexions avec des réseaux d'assurance maladie contenant des informations financières.

Pour le secteur de la santé mondial, cet incident rappelle un schéma récurrent : des acteurs de taille modeste (un individu ou un petit groupe) peuvent compromettre des organisations de santé critiques qui manquent de maturité en cybersécurité, en exploitant des vulnérabilités basiques ou des accès insuffisamment sécurisés. La question du vecteur d'attaque initial n'a pas encore été confirmée publiquement par Ampath.

À la date du 24 octobre 2026, l'enquête forensique d'Ampath est toujours en cours selon la société, qui collabore avec les autorités de protection des données sud-africaines dans le cadre des obligations POPIA. Les patients potentiellement affectés sont invités à surveiller toute utilisation frauduleuse de leurs informations personnelles et à contacter directement Ampath pour obtenir des précisions sur leur situation.

Impact et exposition

Les patients d'Ampath Laboratories ayant réalisé des analyses entre la date d'accès initial des attaquants et la détection le 2 octobre 2026 sont potentiellement concernés. Compte tenu de la présence nationale d'Ampath en Afrique du Sud (plus de 300 points de collecte), l'exposition géographique est maximale. Les données d'identité et d'assurance maladie exposées peuvent être exploitées pour des fraudes à l'assurance, du phishing ciblé, ou des tentatives d'usurpation d'identité.

Recommandations

• Les patients d'Ampath : surveiller les communications suspectes utilisant vos données personnelles, signaler toute tentative de fraude à l'assurance maladie.
• Les professionnels de santé et assureurs partenaires d'Ampath : vérifier l'intégrité des échanges de données récents avec le laboratoire.
• Pour les DSI du secteur santé : auditer les accès aux bases de données patients, implémenter une authentification forte sur tous les systèmes de gestion de laboratoire.
• Appliquer le principe du moindre privilège sur les accès aux bases de données médicales ; limiter les exports massifs via des contrôles DLP.