AP-HP : comment le choix des repas à l’hôpital a exposé les données de 1 015 patients

Le choix des repas à l’hôpital devait devenir plus simple. Mais le 7 octobre, l’AP-HP a confirmé le vol de données d’identité de 1 015 patients après une intrusion dans un module de commande des menus en ligne. Selon son communiqué, le logiciel concerné est utilisé dans 23 établissements, dont 22 répartis entre Paris, les Hauts-de-Seine, la Seine-Saint-Denis et le Val-de-Marne.

L’intrusion révèle une réalité peu visible de l’hôpital : derrière chaque plateau-repas, des logiciels échangent des informations sur les patients, les prescriptions alimentaires et les commandes destinées aux cuisines.

Du dossier patient au plateau-repas

L’AP-HP produit environ 15 millions de repas par an, selon un rapport publié en 2025 par la chambre régionale des comptes d’Île-de-France. Leur préparation dépasse largement le choix entre viande et poisson.

Allergies, régimes prescrits, textures adaptées aux difficultés de déglutition, préférences alimentaires : les cuisines doivent préparer le bon repas pour la bonne personne. Le rapport décrit ainsi, à l’hôpital gériatrique Émile-Roux, une moyenne de 32 plats différents pour un même service.

Cette organisation repose notamment sur SRD Restauration, un logiciel de l’entreprise Dedalus. Il gère les menus, les commandes, la production et la distribution des repas. Selon le rapport, il échange des informations avec ORBIS, le dossier patient informatisé de l’AP-HP, ainsi qu’avec SAP pour les approvisionnements.

L’identité du patient circule donc aussi dans cet environnement informatique. Elle permet notamment d’imprimer des étiquettes nominatives pour attribuer chaque plateau à son destinataire.

Une application lancée pour libérer du temps soignant

L’AP-HP modernise depuis plusieurs années la manière dont les repas sont commandés.

Jusqu’en 2020, les commandes dans SRD pouvaient encore nécessiter un terminal mobile transporté de chambre en chambre, impossible à utiliser simultanément par plusieurs soignants. L’AP-HP a entrepris de moderniser ce fonctionnement pour faciliter les commandes et réduire le temps consacré à leur saisie.

En juin 2024, elle a lancé « Mes repas », d’abord expérimenté à l’hôpital Ambroise-Paré de Boulogne-Billancourt. Depuis un téléphone ou une tablette, le patient peut choisir ses plats, signaler ses préférences ou renoncer à un repas. Le dispositif doit aussi contribuer à réduire le gaspillage alimentaire.

Le déploiement était déjà avancé : dans son bilan de mai 2026, l’AP-HP indiquait que le service était proposé dans 22 de ses 38 hôpitaux, avec une généralisation prévue avant la fin de l’année. Son communiqué sur le vol de données ne précise toutefois pas si le module compromis correspond exactement à cette application.

Un logiciel commun, mais pas une seule base de données

Le progiciel SRD est utilisé dans des établissements aussi différents que Necker à Paris, Avicenne à Bobigny, Ambroise-Paré dans les Hauts-de-Seine ou Bicêtre dans le Val-de-Marne.

Son utilisation dans plusieurs hôpitaux ne signifie pourtant pas que toutes leurs données sont regroupées. Selon l’organisation décrite par la chambre régionale des comptes en 2025, SRD comptait 27 bases de données pour 37 sites, certaines cuisines mutualisées partageant une même base.

L’AP-HP n’a pas détaillé le périmètre technique exact de l’intrusion. Elle confirme uniquement le vol de noms, prénoms, informations relatives à la naissance et identifiants internes concernant 1 015 patients. Selon les premières vérifications, aucune donnée médicale, bancaire ou coordonnée de contact ne figure parmi les informations dérobées.

Les auteurs de l’attaque revendiquent un volume supérieur, encore non authentifié.

Le service en ligne fermé, les repas toujours à organiser

Alertée le 24 septembre de la vente de données sur un forum cybercriminel, l’AP-HP a fermé le module de commande en ligne jusqu’à nouvel ordre. Les mots de passe des utilisateurs ont été réinitialisés et des corrections de sécurité engagées. Une plainte a été déposée.

La commande par le personnel soignant faisait déjà partie des solutions prévues pour les patients ne pouvant pas utiliser « Mes repas ». L’AP-HP n’a toutefois pas précisé comment l’organisation des commandes avait été adaptée après l’intrusion, ni annoncé de date de réouverture dans ses communications publiques identifiées au 20 octobre.

Le choix des menus sur téléphone pouvait rendre les patients plus autonomes et alléger la prise de commandes par les soignants. L’accès en ligne compromis a été fermé : pour le rétablir, l’AP-HP devra permettre aux patients de choisir leur prochain repas sans exposer à nouveau leur identité.