La faille Amazon One Medical : quand le stockage de fichiers par des tiers devient un risque pour les informations médicales protégées (PHI)
La faille Amazon One Medical illustre une réalité que la communauté de la sécurité en santé connaît bien, mais peine à appliquer : peu importe la robustesse de vos systèmes cliniques, si les données qui en sortent vers des espaces de stockage, des workflows de facturation ou des environnements gérés par des prestataires ne bénéficient pas des mêmes contrôles, la sécurité globale est compromise. ShinyHunters, le groupe malveillant déjà à l’origine de violations chez Ticketmaster, Santander et des clients Snowflake, a publié des exemples présumés de dossiers patients Amazon One Medical sur un forum du dark web, affirmant détenir 8,8 téraoctets de données exfiltrées depuis un stockage de fichiers tiers. Des experts indépendants ont confirmé l’authenticité de ces échantillons, qui incluent noms, dates de naissance, informations d’assurance, diagnostics et notes de traitement – un ensemble qui correspond à la définition HIPAA des informations médicales protégées dans plusieurs catégories.
L’incident s’inscrit dans un schéma que les chercheurs en sécurité documentent depuis des années : les établissements de santé investissent massivement dans la sécurisation de leurs plateformes EHR et réseaux cliniques, puis exposent involontairement les mêmes données patients en les laissant transiter vers des environnements de stockage, des plateformes d’intégration ou des systèmes gérés par des prestataires qui n’offrent pas de contrôles de sécurité équivalents. Les données stockées dans ces environnements en aval manquent souvent des protections de chiffrement appliquées aux systèmes cliniques principaux, sont soumises à un ABAC bien moins rigoureux et sont surveillées par des prestataires dont les obligations issues de l’HIPAA Business Associate Agreement n’ont peut-être pas été vérifiées récemment ou de façon approfondie.
Le rapport annuel Kiteworks 2026 sur la sécurité des données et les risques de conformité a identifié l’exposition des données à des tiers dans la santé comme l’une des catégories de risques majeurs pour l’année, soulignant que la multiplication des échanges de données dans les réseaux de coordination des soins, la monétisation agressive des données de santé par des acteurs malveillants et le sous-investissement persistant dans la sécurité des environnements hors EHR créent les conditions idéales pour ce type de violation. L’incident Amazon One Medical est à ce jour l’exemple le plus marquant de ce profil de risque en 2026.
Cet article analyse ce que l’on sait de la faille, ce que cette exposition implique pour les patients concernés et pour les obligations réglementaires d’Amazon One Medical, ainsi que les enseignements à tirer pour les organisations de santé qui doivent réévaluer leur propre exposition.
Résumé des points clés
1. Une mauvaise configuration d’un stockage de fichiers tiers, et non un système clinique compromis, a servi de point d’entrée
La faille ne provient pas des systèmes de dossiers médicaux électroniques ou des systèmes cliniques d’Amazon One Medical, mais d’un environnement de stockage de fichiers tiers. Cela illustre le risque persistant que représente l’infrastructure gérée par des prestataires pour les établissements de santé, même lorsque les systèmes internes sont correctement sécurisés.
2. L’affirmation de ShinyHunters concernant les 8,8 To reste à confirmer, mais une vérification partielle suffit à aggraver la situation
L’affirmation de ShinyHunters selon laquelle ils auraient exfiltré 8,8 téraoctets de données patients n’a pas été totalement confirmée de manière indépendante, mais des échantillons publiés sur des forums du dark web ont été authentifiés – ce qui signifie que même une fraction du volume annoncé représente une violation HIPAA majeure.
3. L’exposition des informations médicales protégées concerne neuf grandes métropoles américaines
Les dossiers patients confirmés dans l’ensemble de données exposé incluent des personnes issues de neuf grandes métropoles américaines où Amazon One Medical opère, ce qui élargit considérablement la population potentiellement concernée par la notification de violation et accroît d’autant l’exposition à la conformité et aux litiges.
4. Les établissements de santé protègent insuffisamment les données en transit et au repos hors des systèmes cliniques
Le schéma de la faille – des données sensibles de patients stockées dans un système de fichiers non soumis aux mêmes contrôles de sécurité que l’infrastructure clinique principale – reflète une faille systémique dans tout le secteur de la santé, et non une défaillance isolée d’Amazon One Medical.
5. Les exigences HIPAA du Business Associate Agreement engagent la responsabilité directe de l’organisation, quel que soit le lieu de la faille
La relation d’Amazon One Medical avec son prestataire de stockage tiers déclenche des obligations issues du Business Associate Agreement HIPAA ; une faille dans cet environnement crée la même exposition en termes de notification et de responsabilité qu’une faille dans les propres systèmes de l’entité couverte, un point que de nombreux établissements de santé sous-estiment encore lors de l’évaluation de leur TPRM.
Vous pensez que votre organisation est sécurisée. Mais pouvez-vous le prouver ?
Pour en savoir plus :
Que s’est-il passé : chronologie et attribution de la faille
La faille a été rendue publique lorsque ShinyHunters a publié un échantillon de données sur une place de marché du dark web, affirmant qu’il provenait de 8,8 téraoctets de données patients Amazon One Medical obtenues via l’exploitation d’une mauvaise configuration dans un stockage de fichiers tiers. Le groupe a fourni des exemples de dossiers comme preuve, et des chercheurs en sécurité indépendants ont ensuite vérifié qu’une partie de ces dossiers correspondaient bien au format et au contenu des dossiers patients Amazon One Medical, incluant des notes de coordination des soins et des données de facturation d’assurance.
ShinyHunters est un acteur malveillant bien documenté, spécialisé dans le vol massif de données depuis des environnements cloud et SaaS. Leurs opérations précédentes ciblaient des buckets de stockage cloud mal configurés, des environnements SaaS compromis et l’exploitation de vols d’identifiants chez des fournisseurs de plateformes d’intégration. Leur revendication concernant Amazon One Medical suit la même méthodologie : au lieu d’attaquer directement les systèmes cliniques durcis, ils ont identifié un environnement de stockage moins surveillé dans la supply chain et y ont exfiltré des données. Si le volume annoncé de 8,8 To est exact, il s’agirait de l’une des plus grandes violations de données de santé en volume pour 2026.
Amazon a confirmé enquêter sur « un accès non autorisé à un environnement de stockage de fichiers tiers » lié aux opérations d’Amazon One Medical et avoir notifié les patients concernés conformément aux exigences HIPAA. L’entreprise a précisé que ses systèmes cliniques principaux n’avaient pas été compromis et que l’accès était limité à l’environnement tiers. Les forces de l’ordre ont été informées, conformément au protocole standard d’incident response pour une faille de cette ampleur.
La distinction entre « systèmes cliniques principaux non compromis » et « stockage de fichiers tiers compromis » est importante sur le plan juridique et opérationnel – mais elle n’apporte que peu de réconfort aux patients et aux régulateurs. Selon la HIPAA, l’entité couverte (Amazon One Medical) reste responsable de la protection des informations médicales protégées, qu’elles résident dans ses propres systèmes ou chez un Business Associate. Les obligations de notification de faille, l’enquête de l’Office for Civil Rights et la responsabilité civile potentielle sont identiques dans les deux cas.
Les catégories d’informations médicales protégées à risque
Les échantillons vérifiés par des chercheurs indépendants montrent que le jeu de données compromis inclut des combinaisons d’informations médicales protégées couvrant plusieurs catégories d’identifiants définies par la HIPAA. Les catégories les plus sensibles confirmées comprennent les noms complets associés aux dates de naissance, les numéros d’adhérent d’assurance santé et les informations de payeur, les codes de diagnostic et notes cliniques, les ordonnances et les messages de coordination des soins entre professionnels. Ensemble, ces éléments constituent ce que les spécialistes HIPAA considèrent comme des informations médicales protégées « à haut risque » – le type de dossiers qui permet l’usurpation d’identité, la fraude à l’assurance et des attaques de social engineering ciblées contre les patients.
L’ampleur géographique aggrave la gravité de la situation. Amazon One Medical opère dans neuf grandes métropoles américaines, et la faille semble inclure des dossiers de patients issus de tous ces marchés. Les obligations de notification multi-États imposent à Amazon One Medical de gérer non seulement les exigences fédérales de la HIPAA, mais aussi potentiellement des lois étatiques différentes, dont certaines – comme la CCPA/CPRA de Californie – imposent des obligations et des délais supplémentaires au-delà des 60 jours de notification prévus par la HIPAA. Les organisations soumises à la CCPA doivent, pour certaines catégories de faille, notifier dans les 30 jours suivant la découverte, ce qui réduit considérablement le délai de réponse.
La règle du minimum nécessaire HIPAA mérite d’être examinée ici. Elle impose aux entités couvertes et à leurs Business Associates d’accéder et d’utiliser uniquement la quantité minimale d’informations médicales protégées nécessaire à l’objectif poursuivi. Si l’environnement de stockage compromis contenait des dossiers au-delà de ce qui était réellement nécessaire à ses opérations – ce qui est fréquent lorsque les organisations de santé migrent des données vers des environnements gérés sans revue systématique de minimisation – cela constitue à la fois un problème de conformité et un facteur aggravant dans l’évaluation de la gravité de la faille.
La combinaison de l’étendue (neuf villes), de la profondeur (plusieurs catégories d’informations médicales protégées par patient) et de la fraîcheur (données issues de relations patients actives) fait de cet incident une faille de gravité élevée du point de vue de la notification et de la responsabilité, que le chiffre de 8,8 To soit confirmé ou non. Le cadre d’évaluation des risques de faille HIPAA impose aux entités couvertes d’évaluer la probabilité que des informations médicales protégées aient été compromises sur la base des éléments disponibles, et la vérification d’échantillons authentiques franchit clairement ce seuil.
Pourquoi le stockage de fichiers tiers reste la vulnérabilité persistante du secteur santé
Les investissements en sécurité du secteur santé se concentrent massivement sur les systèmes utilisés directement par les cliniciens – plateformes EHR, systèmes d’imagerie, réseaux de dispositifs médicaux, infrastructures de télésanté. Cet investissement est justifié : ces systèmes sont des cibles de choix et leur compromission peut avoir des conséquences immédiates sur la sécurité des patients. Mais cette concentration laisse un vide systémique dans les environnements où les informations médicales protégées s’accumulent en tant que sous-produit des opérations courantes : transferts de fichiers entre prestataires et payeurs, plateformes de facturation et de codage gérées par des prestataires, outils de coordination des soins qui agrègent les dossiers à travers les réseaux, et les multiples environnements de stockage de fichiers qui s’intègrent à l’ensemble.
La gestion des risques liés aux tiers dans la santé relève souvent plus de l’intention que de la réalité opérationnelle. Les organisations signent généralement un Business Associate Agreement lors de l’engagement du prestataire, réalisent une évaluation de sécurité au démarrage du contrat, puis n’y reviennent que rarement – parfois uniquement lors du renouvellement. Entre-temps, la posture de sécurité du prestataire peut avoir évolué, le volume de données détenues peut avoir fortement augmenté, et les points d’intégration par lesquels les données transitent peuvent s’être multipliés. Aucun de ces changements ne déclenche une revue de sécurité obligatoire dans la plupart des programmes de gestion des risques fournisseurs du secteur santé.
L’environnement de stockage de fichiers qui a servi de point d’entrée dans la faille Amazon One Medical représente une catégorie d’infrastructure que les établissements de santé considèrent souvent comme peu risquée : ce n’est pas un système clinique, il ne gère pas de soins en temps réel, il n’a pas d’interface directe avec les patients. Pourtant, les données qu’il contient sont tout aussi sensibles que celles des systèmes cliniques principaux – et, dans bien des cas, elles y résident plus longtemps, avec moins de contrôle, accumulant des dossiers qui auraient dû être soumis à des politiques de minimisation et de rétention jamais appliquées.
Les établissements de santé qui réévaluent leur paysage fournisseurs à la lumière de cette faille retrouvent souvent le même schéma : des informations médicales protégées stockées dans des espaces de fichiers, des archives de plateformes de facturation ou des middleware d’intégration, sans bénéficier des exigences de chiffrement, de contrôle d’accès ou de journalisation d’audit appliquées à leurs environnements EHR. Ce n’est pas l’échec d’un prestataire isolé – c’est une caractéristique structurelle du flux de données dans les écosystèmes complexes de prestataires et de payeurs. Pour y remédier, il faut adopter une approche systématique de la gouvernance des données qui suit la donnée, au lieu de s’arrêter à la frontière des systèmes principaux de l’entité couverte. Les organisations qui souhaitent vraiment combler cette faille doivent également revoir leurs pratiques de gestion des risques supply chain pour s’assurer que les prestataires en aval respectent les mêmes standards de sécurité que les Business Associates directs.
Conséquences réglementaires : HIPAA, OCR et obligations au niveau des États
Les conséquences réglementaires d’une faille de cette ampleur sont majeures et multiples. Selon la règle de notification des failles HIPAA, Amazon One Medical doit informer les personnes concernées dans les 60 jours suivant la découverte, notifier le Department of Health and Human Services, et – la faille concernant plus de 500 personnes dans plusieurs États – informer les médias majeurs de chaque État concerné. L’Office for Civil Rights du HHS mènera une enquête, au cours de laquelle Amazon One Medical devra prouver que son programme de conformité HIPAA, y compris la gestion de ses Business Associates, répondait au niveau d’exigence requis.
La règle de sécurité HIPAA impose aux entités couvertes de mettre en place des mesures administratives, physiques et techniques pour protéger les informations médicales électroniques. En cas de faille chez un tiers, l’enquête de l’OCR portera sur la qualité des exigences de sécurité spécifiées dans le Business Associate Agreement, sur la diligence raisonnable lors du choix et du suivi du prestataire, et sur la capacité du programme de sécurité à détecter la mauvaise configuration ayant permis la faille.
Les obligations au niveau des États ajoutent une couche de complexité. La CPRA de Californie accorde aux consommateurs le droit de savoir si leurs données personnelles ont été compromises et impose des délais et contenus de notification spécifiques, différents de ceux de la HIPAA. La Federal Trade Commission montre aussi une volonté croissante de sanctionner les défaillances de sécurité des données dans la santé sous son autorité générale, indépendamment de la HIPAA, créant ainsi une seconde piste réglementaire pour d’éventuelles sanctions.
L’exposition réglementaire cumulée d’une faille multi-États de ce type – enquête fédérale HIPAA, amendes civiles potentielles de l’OCR, enquêtes des procureurs d’État, contrôle de la FTC – peut facilement dépasser 10 millions de dollars, avant même de prendre en compte les litiges privés. Les amendes civiles HIPAA peuvent atteindre 1,9 million de dollars par catégorie de violation et par an, et l’OCR n’hésite pas à réclamer le maximum lorsque les entités couvertes n’ont pas mené d’évaluations de risques adéquates ou n’ont pas assuré un suivi suffisant de leurs Business Associates.
Pour les établissements de santé qui réévaluent leur exposition à la lumière de cette faille, les questions pratiques sont : vos Business Associate Agreements spécifient-ils les exigences de contrôle de sécurité pour les données détenues par vos prestataires ? Quand avez-vous réalisé pour la dernière fois une évaluation de sécurité des environnements de stockage et d’intégration de vos principaux prestataires ? Les informations médicales protégées dans ces environnements bénéficient-elles du même chiffrement AES-256, du même contrôle d’accès et des mêmes standards de journalisation d’audit que vos systèmes cliniques ? Si la réponse n’est pas claire, cette incertitude constitue en soi un risque de conformité.
Construire une architecture de sécurité des données santé adaptée au modèle de menace réel
La faille Amazon One Medical met en lumière une question d’architecture que les programmes de sécurité santé doivent aborder de front : comment appliquer des contrôles de sécurité cohérents aux informations médicales protégées, quel que soit leur emplacement dans votre écosystème ?
La réponse passe par l’abandon du modèle « périmètre et cœur » – où les contrôles de sécurité se concentrent autour des systèmes cliniques et le reste de l’environnement est considéré comme moins risqué – au profit d’un modèle centré sur la donnée, où chiffrement, contrôle d’accès et journalisation d’audit suivent la donnée partout où elle circule. Cela inclut les environnements de stockage gérés par des prestataires, les plateformes d’intégration, les systèmes de facturation et tous les flux de données qui les relient.
Le chiffrement de bout en bout des informations médicales protégées en transit et au repos doit devenir la norme, et non une mesure avancée. Les données détenues dans des environnements gérés par des prestataires doivent être chiffrées avec un chiffrement validé FIPS 140-3 niveau 1, et les clés gérées de manière à ce que le prestataire ne puisse accéder aux données en clair – supprimant ainsi la surface d’attaque créée par les mauvaises configurations de stockage. Si l’environnement est mal configuré et que les données sont exposées, des données chiffrées avec des clés contrôlées par le client offrent une protection réelle, contrairement à des données non chiffrées.
L’ABAC appliqué à l’accès aux fichiers – y compris dans les environnements gérés par des prestataires – limite ce qu’un compte compromis ou une autorisation mal configurée peut atteindre. Plutôt que d’accorder un accès large à un environnement de stockage et de compter sur les contrôles périmétriques pour empêcher l’exfiltration, l’ABAC impose des contrôles d’accès fins selon les attributs utilisateur, la sensibilité des données et le contexte. Si un attaquant compromet un compte dans un environnement de stockage, il n’accède qu’aux données autorisées à ce compte – rien de plus.
Un audit trail unifié sur tous les environnements où résident des informations médicales protégées offre aux équipes sécurité et conformité la visibilité nécessaire pour détecter les accès anormaux, enquêter sur les incidents et prouver la conformité lors des contrôles de l’OCR. La fonction CISO Dashboard de la plateforme Réseau de données privé de Kiteworks fournit cette visibilité unifiée sur tous les canaux de communication de contenu – y compris le transfert sécurisé de fichiers, la messagerie électronique sécurisée, le partage sécurisé de fichiers et les intégrations d’entreprise – avec une vue centralisée de qui a accédé à quoi, quand et depuis où.
Les établissements de santé qui souhaitent combler la faille structurelle révélée par l’incident Amazon One Medical doivent aussi revoir leur architecture sécurité sous l’angle du DSPM pour la santé – en particulier, s’ils disposent d’une visibilité sur l’emplacement de toutes les informations médicales protégées dans leur écosystème, et pas seulement dans leurs systèmes cliniques principaux. L’application de la classification des données au contenu stocké chez les prestataires est indispensable pour savoir ce qui est sensible, où cela se trouve et si c’est suffisamment protégé.
Pour en savoir plus sur la façon dont Kiteworks aide les établissements de santé à protéger les informations médicales protégées dans tout leur écosystème de données, réservez une démo personnalisée dès maintenant.
Foire aux questions
Les échantillons vérifiés incluent les noms des patients, dates de naissance, numéros d’adhérent d’assurance santé, codes de diagnostic, notes cliniques et ordonnances – autant de catégories que la HIPAA classe comme informations médicales protégées. La faille concerne des patients issus de neuf grandes métropoles américaines où Amazon One Medical opère, ce qui en fait un incident multi-États avec des obligations de notification HIPAA fédérales et des exigences spécifiques selon les lois de certains États comme la CCPA et la CPRA en Californie. Le volume total revendiqué de 8,8 téraoctets n’a pas été confirmé dans son intégralité, mais la vérification d’échantillons authentiques signifie que les patients concernés doivent considérer que leurs informations médicales protégées ont pu être compromises et surveiller leurs comptes d’assurance et dossiers médicaux pour détecter toute activité suspecte. Les patients en Californie disposent de droits supplémentaires pour demander des informations sur la faille selon les dispositions de notification de la CPRA.
Selon la HIPAA, l’entité couverte reste responsable de la protection des informations médicales protégées, qu’elles résident dans ses propres systèmes ou chez un Business Associate. Si un BA subit une faille, l’entité couverte doit tout de même respecter la règle de notification HIPAA – notamment informer les patients sous 60 jours, signaler à l’HHS et notifier les médias pour les failles concernant plus de 500 personnes dans un État. L’enquête de l’OCR examinera si le Business Associate Agreement d’Amazon One Medical avec le prestataire de stockage spécifiait correctement les exigences de sécurité, si une diligence raisonnable a été menée et si les exigences techniques de la règle de sécurité HIPAA étaient respectées dans l’environnement du prestataire. L’exposition à la responsabilité inclut des amendes civiles et des accords de règlement pouvant imposer un suivi de conformité pendant plusieurs années après l’incident. Les établissements de santé ayant une structure fournisseur similaire doivent vérifier que leurs plans de réponse aux incidents couvrent explicitement les scénarios de faille chez un BA.
Trois contrôles, appliqués ensemble, auraient réduit l’impact de la faille. D’abord, le chiffrement des informations médicales protégées au repos dans l’environnement de stockage avec des clés gérées en externe – ainsi, une mauvaise configuration exposant l’environnement ne révèle pas de données lisibles. Ensuite, un ABAC régissant l’accès aux dossiers individuels dans l’environnement de stockage, limitant ce qu’un identifiant compromis ou une autorisation mal configurée peut atteindre. Enfin, un audit trail continu enregistrant les accès dans l’environnement géré par le prestataire et les corrélant à des comportements de référence – ainsi, toute exfiltration massive déclenche une alerte d’anomalie. Les établissements de santé doivent vérifier que leurs Business Associate Agreements imposent ces contrôles comme condition de détention des informations médicales protégées, et pas seulement comme recommandation. Un cadre de gestion des risques sécurité qui s’étend explicitement aux environnements BA est essentiel pour combler cette faille.
Les établissements de santé doivent considérer la faille Amazon One Medical comme un signal pour auditer leur propre paysage fournisseurs. Première étape : recenser quels prestataires détiennent des informations médicales protégées, en quels volumes et sous quels contrôles de sécurité. Deuxième étape : revoir les Business Associate Agreements pour s’assurer qu’ils spécifient les exigences de chiffrement, de contrôle d’accès et de journalisation d’audit en phase avec les meilleures pratiques actuelles. Troisième étape : mener des évaluations de sécurité des prestataires à risque – notamment ceux qui détiennent de gros volumes d’informations médicales protégées dans des espaces de stockage ou d’intégration – plutôt que de se fier à des évaluations ponctuelles réalisées au début du contrat. Les organisations qui identifient des lacunes doivent prioriser la remédiation TPRM comme priorité de conformité, en documentant leurs efforts comme preuve de bonne foi vis-à-vis des exigences de gestion des risques de la règle de sécurité HIPAA. L’application de politiques de gouvernance des données imposant une revue périodique des volumes détenus par les prestataires permet d’éviter l’accumulation de données sans contrôle.
Kiteworks comble la faille architecturale révélée par l’incident Amazon One Medical – l’absence de contrôles de sécurité cohérents pour les informations médicales protégées hors des systèmes cliniques principaux – grâce à son Réseau de données privé. La plateforme applique un chiffrement validé FIPS 140-3 niveau 1 à tous les contenus en transit et au repos, impose des règles ABAC qui régissent l’accès selon le rôle, la sensibilité des données et le contexte, et journalise chaque accès dans un audit trail unifié couvrant tous les canaux de communication de contenu. Pour la conformité spécifique au secteur santé, Kiteworks répond aux exigences de conformité HIPAA, y compris les obligations techniques de la règle de sécurité, et fournit la documentation et les capacités de reporting requises lors des enquêtes de l’OCR. Le CISO Dashboard offre aux responsables sécurité et conformité une visibilité en temps réel sur l’accès aux informations médicales protégées dans toute l’organisation, y compris dans les environnements d’intégration gérés par des prestataires – comblant ainsi l’angle mort qui a rendu possible la faille Amazon One Medical. Pour les établissements de santé soumis à d’autres obligations de conformité sectorielles, Kiteworks propose une plateforme unifiée qui consolide les contrôles de sécurité sur tous les workflows de contenu sensible.
Ressources complémentaires
- Article de blog
Comment concevoir un workflow de transfert sécurisé de fichiers pour les prestataires et sous-traitants tiers - Article de blog
L’importance de la gestion des risques fournisseurs pour les RSSI - Article de blog
Comment protéger la propriété intellectuelle lors de collaborations avec des tiers externes - Article de blog
Lutter contre les menaces grâce à la sécurité et à la gestion des risques supply chain - Article de blog
Failles chez les partenaires : votre sécurité n’est jamais supérieure à celle de votre maillon le plus faible