Le Medizinisches Zentrum Gleis D, un centre médical de Coire, dans les Grisons, et sa pharmacie Medi Porta ont subi une cyberattaque, a rapporté le média informatique suisse Inside IT le 6 novembre 2026. Des données de patients et d'employés ont fuité : noms, adresses, ordonnances et radiographies. Le groupe de rançongiciel Cloak revendique le vol de 87 gigaoctets (Go).
Ce que le centre médical de Coire confirme
Le centre reconnaît une fuite partielle mais réelle. Selon sa communication, citée par Inside IT, l'attaque a été stoppée rapidement avec son partenaire informatique. La sortie de données sensibles de patients et d'employés n'a toutefois pas pu être entièrement empêchée.
Les données touchées se trouvaient sur des espaces de stockage locaux. Le dossier électronique des patients, tenu dans une application séparée, n'a pas été atteint, précise l'avis « Cybervorfall » publié sur le site du centre. Gleis D y indique avoir pris aussitôt des mesures pour combler les failles de sécurité identifiées.
Les soins continuent. Le centre et Medi Porta restent pleinement opérationnels, et l'incident n'a eu d'effet ni sur les diagnostics ni sur les traitements, selon la communication relayée par Inside IT. Medi Porta associe une pharmacie et un cabinet médical au rez-de-chaussée du centre, d'après le site de Gleis D.
Le centre a porté plainte pénale. Il a aussi annoncé l'incident à l'Office fédéral de la cybersécurité (OFCS) et au Préposé fédéral à la protection des données et à la transparence (PFPDT). Ses partenaires informatiques et des experts externes poursuivent l'analyse, pour savoir si d'autres mesures de sécurité s'imposent.
Ce que revendique le groupe Cloak
Le volume volé n'est connu que par les pirates. Sur le darknet, Cloak affirme avoir dérobé 87 Go de données, selon Inside IT. Le groupe dit y avoir aussi trouvé des pièces d'identité et des documents financiers. Le centre n'a confirmé ni ce volume ni ces catégories.
| Élément | Statut | Qui l'affirme |
|---|---|---|
| Fuite de noms, d'adresses, d'ordonnances et de radiographies | Confirmé | Gleis D, cité par Inside IT |
| Dossier électronique des patients épargné | Affirmé | Gleis D |
| Vol de 87 Go de données | Revendiqué | Cloak |
| Pièces d'identité et documents financiers | Revendiqué | Cloak |
| Demande de rançon | Inconnu | Le centre ne s'exprime pas |
La revendication publique fait partie de la méthode. Les autorités fédérales décrivent une « double extorsion », reprise dans notre guide sur le rançongiciel en entreprise : les pirates copient les données, puis les chiffrent. Sans paiement dans le délai fixé, ils les publient sur un site de fuite du darknet, selon le communiqué du Ministère public de la Confédération, de l'Office fédéral de la police (fedpol) et de l'OFCS du 16 octobre 2025. La communication de Gleis D ne parle pas d'un chiffrement de ses systèmes.
L'OFCS déconseille de payer une rançon. Rien ne garantit que les criminels renonceront ensuite à publier les données, rappelle l'office.
Fuite de données de santé : ce que prévoit la loi
Ces informations comptent parmi les plus protégées en droit suisse. La loi fédérale sur la protection des données (LPD) range les données sur la santé parmi les « données sensibles », à son article 5. Notre analyse : ordonnances et radiographies relèvent clairement de cette catégorie.
L'article 24 de la LPD fixe la marche à suivre après une fuite. Le responsable du traitement annonce « dans les meilleurs délais » au PFPDT une violation qui entraîne vraisemblablement un risque élevé pour les personnes concernées. L'annonce indique au moins la nature de la violation, ses conséquences et les mesures prises ou envisagées. Le responsable doit aussi informer les personnes concernées quand leur protection l'exige, ou quand le Préposé le demande.
Les deux guichets fédéraux peuvent se parler. Depuis le 1er avril 2025, le PFPDT peut transmettre une annonce à l'OFCS pour analyse, avec l'accord du responsable, selon l'alinéa 5bis du même article.
L'OFCS a ses propres règles d'annonce. Depuis le 1er avril 2025, les exploitants d'infrastructures critiques doivent lui signaler une cyberattaque dans les 24 heures suivant sa détection, selon le communiqué du Conseil fédéral du 7 mars 2025. Les autres organisations peuvent le faire de façon volontaire. Gleis D n'a pas précisé à quel titre il a signalé l'attaque.
Cyberattaque en Suisse : une série de vols de données
Gleis D s'ajoute à plusieurs vols de données en Suisse cet automne. Holcim, le groupe de matériaux de construction basé à Zoug, a confirmé un vol de données, selon ICTjournal le 4 novembre 2026. Lors de la cyberattaque contre Holcim, le groupe de rançongiciel Emperador a revendiqué 360 Go.
Les institutions publiques et les prestataires sont aussi visés. Fin septembre 2026, des données de la caisse de pension de Zurich ont été volées chez un fournisseur de logiciel externe. Après la cyberattaque à Vaud, annoncée le 31 octobre 2026, le canton a signalé l'incident à l'OFCS et à son autorité de protection des données.
Les chiffres officiels confirment une pression durable. Selon le communiqué de l'OFCS du 24 août 2026, le nombre d'attaques par rançongiciel a stagné à 79 au premier semestre 2026. Le Préposé fédéral, Adrian Lobsiger, avait reçu 455 annonces de violations de données en Suisse depuis le début de 2026, contre 343 sur toute l'année 2025. Il l'a indiqué le 25 octobre 2026.
Ce que les patients de Gleis D peuvent surveiller
Le centre met lui-même en garde ses patients contre de possibles tentatives de fraude, selon Inside IT. Ce risque s'est déjà concrétisé ailleurs. Après la fuite chez TCS Camping, des escrocs se servaient de vraies informations de réservation pour paraître crédibles. Quelque 15'000 clients avaient été avertis de ces messages WhatsApp, selon ICTjournal le 27 octobre 2026.
Notre analyse : un appel, un SMS ou un courriel qui cite une adresse exacte, une ordonnance ou un examen ne prouve pas que l'expéditeur est le centre. Les consignes données par le canton de Vaud à ses utilisateurs s'appliquent ici :
- ne jamais communiquer son mot de passe ;
- se méfier des messages urgents ou inhabituels ;
- signaler tout message suspect.
Un particulier peut annoncer un cyberincident à l'OFCS, qui reçoit les signalements volontaires de la population. D'autres cas figurent dans notre rubrique menaces et attaques informatiques.
Ce qu'on ne sait pas encore
- Le nombre de personnes touchées : Gleis D n'a pas publié combien de patients et d'employés sont concernés.
- Une éventuelle demande de rançon : interrogé par Inside IT, le centre ne s'est pas exprimé sur ce point.
- Le contenu réel des 87 Go : seuls les pirates évoquent des pièces d'identité et des documents financiers.
Sources
- Inside IT : « Cyberangriff auf Bündner Gesundheitszentrum », 6 novembre 2026
- Medizinisches Zentrum Gleis D : avis « Cybervorfall »
- Conseil fédéral : « L'obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025 », communiqué du 7 mars 2025
- Loi fédérale sur la protection des données (LPD), RS 235.1
