Privacy

privacy

05 Novembre 2026

---

Tre farmacie francesi sono finite nel mirino di hacker nell'arco di 48 ore, con la presunta sottrazione di oltre 436mila dossier di pazienti, contenenti informazioni anagrafiche, previdenziali e sanitarie. Gli episodi, avvenuti tra il 31 ottobre e il 1° novembre, riguardano farmacie di Parigi, Strasburgo e Digione. Secondo gli osservatori specializzati nel monitoraggio delle violazioni di dati diverse centinaia di altre farmacie sarebbero attualmente prese di mira o monitorate da cybercriminali

Tre farmacie coinvolte, i dati sottratti

La prima rivendicazione, secondo quanto riporta FrenchBreaches, uno degli osservatori specializzati, risale al 31 ottobre 2026 e riguarda la Pharmacie des Congrès di Digione. Un hacker ha dichiarato di aver sottratto quattro copie di backup di database contenenti informazioni relative a circa 23mila persone, oltre a prescrizioni mediche e documenti assicurativi.
Nella stessa giornata un secondo hacker ha rivendicato un attacco alla Pharmacie de la Cigogne di Strasburgo, sostenendo di essere in possesso di dati relativi a circa 110mila persone, insieme a prescrizioni e documentazione collegata all'assicurazione sanitaria.
Il 1° novembre è stata pubblicata una terza rivendicazione riguardante la Grande Pharmacie Bailly di Parigi. In questo caso l'hacker ha dichiarato di aver ottenuto un database relativo a oltre 303mila persone, oltre a prescrizioni mediche.

Secondo FrenchBreaches, i dati rivendicati contengono informazioni quali nomi, cognomi, indirizzi, recapiti telefonici, date di nascita, numeri di previdenza sociale e riferimenti alle assicurazioni sanitarie e alle coperture integrative.
In una delle farmacie su un campione di mille registrazioni hackerate, è stata rilevata la presenza di 941 record con il numero di previdenza sociale, 945 con una data di nascita, 937 con riferimenti all'assicurazione sanitaria e 751 con informazioni sulle coperture integrative. Inoltre, 334 registrazioni erano classificate nella categoria relativa ai bambini.

Modalità di accesso ancora da chiarire

Non è stato ancora chiarito come i responsabili siano riusciti ad accedere ai sistemi informatici delle farmacie. L'Union des syndicats de pharmaciens d'officine (USPO) ha ipotizzato un possibile accesso attraverso fornitori esterni coinvolti nella gestione del tiers payant, il sistema francese che consente il pagamento diretto delle prestazioni da parte dell'assicurazione sanitaria e delle coperture complementari.

Si tratta di un'ipotesi non confermata. Non sono state individuate pubblicamente vulnerabilità comuni ai tre episodi né elementi sufficienti per attribuire gli attacchi a uno specifico software gestionale o fornitore di servizi. FrenchBreaches sottolinea inoltre che le rivendicazioni non dimostrano l'esistenza di una campagna coordinata o di un unico gruppo responsabile.

Farmacie nel mirino e sicurezza dei dati  

Un ulteriore elemento che emerge dall’indagine di FrenchBreaches è che diverse centinaia di farmacie francesi sarebbero attualmente prese di mira o monitorate da hacker e che non vi sono elementi per affermare che queste farmacie abbiano già subito intrusioni o furti di dati. La presenza di due pseudonimi nelle tre rivendicazioni, con lo stesso soggetto che avrebbe rivendicato gli episodi di Parigi e Digione, non consente neppure di stabilire se gli attacchi siano collegati o siano stati condotti attraverso le stesse modalità.

Sulla testata di settore Le Quotidien du Pharmacien, si parla di un potenziale “tsunami in farmacia” vista la particolare delicatezza delle informazioni conservate dalle farmacie: la disponibilità di queste informazioni potrebbe essere sfruttata per tentativi di frode, furto d'identità o messaggi fraudolenti particolarmente credibili, presentati come comunicazioni provenienti dalla farmacia o dall'assicurazione sanitaria. L'eventuale presenza di prescrizioni mediche potrebbe inoltre esporre informazioni relative ai trattamenti dei pazienti.

Protezione dei dati personali e sanitari custoditi dalle farmacie

La vicenda richiama infine il tema della protezione dei dati personali e sanitari custoditi dalle farmacie. In Francia, la Commission nationale de l'informatique et des libertés (CNIL), autorità nazionale per la protezione dei dati, precisa che, in applicazione del Regolamento generale sulla protezione dei dati (GDPR), le violazioni che comportano un rischio per i diritti e le libertà delle persone devono essere notificate all'autorità entro 72 ore da quando il responsabile del trattamento ne viene a conoscenza. Se il rischio è elevato, devono essere informate anche le persone interessate. In ogni caso, la violazione deve essere documentata internamente.

La CNIL ha inoltre elaborato, insieme all'Ordre national des pharmaciens, una guida specifica sulla protezione dei dati nelle farmacie territoriali, che richiama tra gli esempi di incidenti da notificare anche il furto di dati sanitari e gli attacchi informatici ai sistemi gestionali delle officine. Non risultano al momento informazioni pubbliche sufficienti per stabilire se, nei tre casi segnalati, siano già state effettuate notifiche alla CNIL o comunicazioni ai pazienti.

TAG: DATI PERSONALI, PRIVACY, FARMACIE, FRANCIA