Ampath Laboratories : violation massive de données patients

Les faits

Le 13 octobre 2026, le groupe de menace ByteToBreach a publié sur un forum cybercriminel une annonce revendiquant la compromission d'Ampath Laboratories et l'exfiltration de données issues de dix bases de données internes. Ampath est l'un des plus grands prestataires de services de pathologie médicale d'Afrique du Sud, réalisant plusieurs millions d'analyses par an pour des patients, des médecins et des établissements de santé à travers l'ensemble du pays.

Selon les données publiées par DarkWeb Informer le 13 octobre 2026, ByteToBreach affirme avoir copié l'intégralité de dix bases de données Ampath, dont une table d'admissions en laboratoire comportant 80 millions d'entrées, des données d'employés et des informations personnelles de patients. Le groupe indique être en cours de négociation avec Ampath pour le paiement d'une rançon, sans avoir obtenu d'accord à la date de publication.

La figure de 80 millions, reprise massivement dans la couverture presse, mérite d'être contextualisée avec précision. Ampath a indiqué dans sa déclaration officielle que ce chiffre réfère vraisemblablement à des entrées de bases de données et non à des patients uniques. Un seul patient peut générer des dizaines ou des centaines d'enregistrements sur plusieurs années d'analyses — bilan sanguin annuel, bilans lipidiques, analyses spécialisées, suivi de pathologies chroniques. Le nombre de patients uniques réellement concernés est probablement très inférieur à 80 millions, mais reste potentiellement dans les millions compte tenu de l'ancienneté d'Ampath et de sa couverture nationale.

Ampath a confirmé avoir détecté et contenu un incident de cybersécurité affectant une partie de son environnement informatique le 2 octobre 2026 — soit onze jours avant la revendication publique de ByteToBreach. La société a indiqué que des données personnelles et administratives pourraient avoir été accédées, mais soutient ne pas avoir de preuve que des résultats d'analyses médicales, des diagnostics ou des informations bancaires ont été compromis. Une investigation forensique est en cours avec le support de spécialistes externes en réponse aux incidents.

ByteToBreach est un acteur relativement récent dans le paysage des groupes d'extorsion de données médicales. Contrairement aux grandes opérations ransomware (LockBit, ALPHV/BlackCat, RansomHub), ByteToBreach opère principalement sur un modèle d'exfiltration-extorsion sans chiffrement des systèmes — ce qui explique que la continuité opérationnelle d'Ampath n'a pas été totalement interrompue après l'incident. Ce modèle dit "data-only extortion" est en forte croissance en 2026, notamment dans le secteur santé où les données de patients présentent une valeur marchande élevée sur les marchés cybercriminels clandestins.

L'incident Ampath illustre une tendance documentée par plusieurs rapports sectoriels : le secteur de la santé est devenu la cible prioritaire des attaques d'exfiltration de données. Les laboratoires d'analyses médicales sont particulièrement attractifs car ils centralisent des données longitudinales sur des millions de patients — historique médical complet, pathologies chroniques, données biologiques — avec souvent des niveaux de protection cyber structurellement en retard par rapport aux données financières. Selon le rapport Semperis 2026, 84% des attaques ransomware intègrent désormais une composante d'intelligence artificielle pour identifier et cibler les bases de données à haute valeur marchande.

Les données de santé ont une valeur persistante sur les marchés dark web, contrairement aux données de paiement qui peuvent être annulées rapidement. Un dossier médical complet se négocie entre 10 et 1 000 dollars selon sa richesse, contre moins d'un dollar pour un numéro de carte bancaire selon les analyses publiées par Recorded Future en 2026. Cette asymétrie de valeur explique pourquoi le secteur santé absorbe une part croissante des ressources des groupes d'extorsion les plus actifs.

L'investigation d'Ampath est en cours. La communication de la société reste prudente sur l'étendue réelle de la compromission — posture classique en phase de crise cyber pour limiter les dommages réputationnels et les implications légales au regard du POPIA (Protection of Personal Information Act), l'équivalent sud-africain du RGPD en vigueur depuis 2021. Les régulateurs sud-africains ont été notifiés conformément aux obligations légales en vigueur.

Impact et exposition

Les patients d'Ampath Laboratories dont les données pourraient avoir été exfiltrées sont principalement exposés au risque de phishing ultra-ciblé, d'usurpation d'identité médicale (demandes de remboursement frauduleuses) et de chantage personnel basé sur des informations médicales sensibles. À l'échelle systémique, l'incident illustre la vulnérabilité des systèmes d'information de santé face aux acteurs d'exfiltration, en particulier dans des contextes où les budgets cybersécurité sont structurellement limités.

Recommandations

• Pour les organisations de santé : auditer immédiatement les accès aux bases de données patients, notamment les comptes de service avec des droits de lecture en volume sur plusieurs tables
• Mettre en place une surveillance des transferts de données volumineux sur les segments réseau hébergeant les bases de données médicales
• Vérifier les politiques de segmentation réseau entre systèmes cliniques (LIS, RIS, PACS) et réseaux bureautiques ou Internet
• Tester la robustesse des sauvegardes face à un scénario de chiffrement ransomware, en parallèle des défenses contre l'exfiltration
• Former le personnel médical et administratif aux signaux d'alerte d'ingénierie sociale ciblant les établissements de santé