Rofim Doctor

Rofim Doctor : une API expose 1,7 million d’entrées, mais l’essentiel des données est déjà public Une personne affirme avoir identifié une API de Rofim Doctor permettant de consulter environ 1,7 million d’enregistrements relatifs à des professionnels de santé. L’échantillon publié contient des noms, numéros RPPS, professions, spécialités, villes, identifiants FINESS et parfois des numéros de téléphone. Une grande partie de ces informations est toutefois déjà disponible publiquement dans l’Annuaire Santé officiel. Une publication concernant Rofim Doctor, service destiné aux professionnels de santé, a été mise en ligne le 1er octobre 2026 sur un forum fréquenté par des cybercriminels. Son auteur, utilisant le pseudonyme « Quantique », affirme avoir identifié une API permettant d’interroger une importante base de professionnels de santé. :::embed ::: Il évoque environ 1,7 million d’enregistrements et a publié un échantillon de 1 000 entrées pour étayer ses affirmations. L’analyse des champs présents conduit cependant à relativiser fortement la qualification de « fuite de données » employée dans la publication : l’essentiel des informations visibles dans l’échantillon correspond à des données professionnelles déjà disponibles publiquement dans les référentiels officiels français de santé. À ce stade, FrenchBreaches n’a pas identifié dans l’échantillon communiqué de dossiers médicaux, de données concernant des patients, de mots de passe ou d’informations médicales confidentielles. image Des données sur des professionnels de santé, pas sur des patients Les enregistrements observés concernent des professionnels de santé. L’échantillon comprend notamment différentes professions : • médecins ; • pharmaciens ; • chirurgiens-dentistes ; • sages-femmes ; • infirmiers ; • masseurs-kinésithérapeutes ; • autres professionnels référencés dans le système de santé. Les informations associées permettent notamment d’identifier la profession, la spécialité et le lieu d’exercice de certains professionnels. Il ne s’agit donc pas, au regard des éléments actuellement disponibles, d’une base de patients ou de dossiers médicaux. RPPS, profession et spécialité : des informations déjà publiques Parmi les champs observés dans les données présentées figurent notamment : • le nom ; • le prénom ; • la civilité ; • le numéro RPPS ; • la profession ; • la spécialité ; • le code de spécialité ; • la ville ou le lieu d’exercice ; • le numéro FINESS associé à certaines structures ; • dans certains cas, un numéro de téléphone ; • un identifiant technique propre à la base interrogée. Une grande partie de ces informations n’est toutefois pas confidentielle. L’Annuaire Santé, géré par l’Agence du Numérique en Santé, met officiellement à disposition en libre accès plusieurs catégories de données concernant les professionnels de santé. Il s’agit notamment des numéros RPPS, noms et prénoms d’exercice, professions, spécialités et coordonnées des lieux d’exercice. Ces informations peuvent être consultées dans l’Annuaire Santé mais également récupérées sous forme d’extractions de données ouvertes. Les identifiants FINESS et différentes informations concernant les établissements de santé sont eux aussi diffusés dans des référentiels publics. La présence d’un nom, d’un numéro RPPS, d’une profession, d’une spécialité ou d’un lieu d’exercice dans l’échantillon ne permet donc pas, à elle seule, de conclure à l’exposition d’une donnée confidentielle. image Les numéros de téléphone doivent être examinés au cas par cas Certains enregistrements de l’échantillon contiennent également un numéro de téléphone. Ce point nécessite davantage de prudence. Les coordonnées du lieu d’exercice d’un professionnel peuvent faire partie des informations diffusées publiquement par l’Annuaire Santé. En revanche, d’autres coordonnées personnelles ou de correspondance ne sont pas nécessairement accessibles au public. À partir du seul échantillon publié, FrenchBreaches ne peut pas déterminer si tous les numéros de téléphone présents correspondent exclusivement à des coordonnées professionnelles déjà publiques. Une comparaison plus large avec les référentiels officiels serait nécessaire pour déterminer si Rofim Doctor expose également des informations qui ne figurent pas dans les données ouvertes. Une API de Rofim Doctor au cœur de la revendication L’auteur de la publication explique avoir découvert l’accès en étudiant le fonctionnement du processus d’inscription de Rofim Doctor. Selon son récit, le service effectuerait une recherche à partir des informations permettant d’identifier un professionnel de santé. En observant les échanges réalisés par l’application, l’auteur affirme avoir identifié une API retournant des résultats structurés. Une capture publiée montre effectivement une réponse au format JSON comprenant plusieurs professionnels ainsi qu’un mécanisme de pagination. La structure observée ressemble notamment à ceci : {"id":"[ID]","rpps":"[RPPS]","firstName":"[PRÉNOM]","lastN

Source : FrenchBreaches — fuites de données France

Voir l’alerte →