San Francisco Frontiers - Cyberattaque dans la santé: les données administratives de 15 millions de Français piratées

Le ministère a enjoint à la société de "mettre en oeuvre des mesures correctives" de toute urgence.

Si cette fuite a principalement concerné des données telles que les nom, prénom, numéro de téléphone ou encore l'adresse postale des patients, elle a aussi, pour 169.000 d'entre eux, porté sur des annotations libres saisies par les médecins, "dont certaines peuvent être des données sensibles", soit "1% des cas", a précisé le ministère lors d'un point de presse.

"Il n'y a pas de documents de santé qui ont été diffusés, ni ordonnances, ni résultats d'examens de biologie", a-t-il affirmé, tout en admettant ne pas avoir de "visibilité exhaustive sur l'étendue des données administratives" des "15 millions de personnes figurant sur les bases de données" qui ont fuité.

Pour le ministère, le seul fait nouveau relatif à ce cyberpiratage qui "date de la fin 2025" est sa "revendication par le hacker", à "l'identité" et "la nationalité" pour l'heure non identifiées. "On ne sait pas dire s'il est lui-même à l'origine ou s'il a récupéré les fichiers dans le cadre d'une publication sur le dark web", a-t-on indiqué de même source.

Selon France 2, qui a révélé l'affaire jeudi soir, des données "très précises" émanant de la fuite sont "en libre accès" sur le net et des informations sur des dirigeants politiques de premier plan y figurent. Le ministère n'a pas apporté de précisions sur ce dernier point.

Vendredi, le ministère de la Santé a précisé à l'AFP avoir enjoint à la société Cegedim Santé, important fournisseur de logiciels médicaux, de mettre "immédiatement en oeuvre" des mesures correctives après cette cyberattaque et d'apporter "des garanties" pour prévenir toute nouvelle fuite de données.

- "Annotations personnelles" des médecins -

Acteur important du secteur de l'hébergement des données médicales en France, qui gère aussi la facturation des professionnels de santé, Cegedim Santé -filiale de Cegedim- a admis vendredi avoir été victime fin 2025, d'une cyberattaque ayant visé 1.500 praticiens sur les 3.800 médecins utilisateurs de son logiciel MLM , avec pour conséquence une fuite de données personnelles de patients.

"Après investigations poussées, il ressort que des données personnelles de patients du parc logiciel MLM ont été consultées ou extraites illégalement", a indiqué la société, sans estimer le nombre de personnes touchées.

Pour Cegedim, les données concernées proviennent "exclusivement" du dossier administratif des patients (nom, prénom, sexe, date de naissance, téléphone...) qui pouvait toutefois contenir, pour "un nombre très limité" d'entre eux, "des annotations personnelles du médecin concernant des informations sensibles".

Les "dossiers médicaux structurés des patients sont restés intègres", a affirmé la société, précisant avoir informé les autorités de cet incident qui a été "circonscrit" et déposé plainte auprès du procureur de la République.

- "Sous investissement" -

Le ministère a de son côté pointé la responsabilité du "prestataire privé, responsable du traitement des données", martelant que cette fuite "ne résulte ni d'une défaillance des systèmes du ministère, ni d'une infrastructure relevant directement de l'État".

Mais "les données de santé ont une dimension émotionnelle très forte, parce que ça touche à l'intimité" des individus, c'est pourquoi elles "bénéficient d'un régime de protection juridique plus élevé que la liste de vos courses dans votre carte de fidélité au supermarché", souligne auprès de l'AFP l'expert Nicolas Arpagian, directeur de la stratégie de la société Jizô AI.

Pour Gérôme Billois, expert en cybersécurité au cabinet Wavestone, cette fuite "très grave", qui pourrait être "la plus grosse en France" dans la santé, aura des "conséquences irrémédiables". Car "une information de santé qui dit: +Vous avez le sida+ ou +vous avez telle maladie+, une fois qu'elle est sortie, vous ne pourrez plus jamais revenir en arrière", dit-il à l'AFP.

Il y voit la conséquence d'un "sous-investissement en cybersécurité depuis des années" dans le secteur de la santé.

Selon le ministère, le fait pour un médecin, de consigner des annotations concernant "le quotidien et l'intimité des patients", n'enfreint pas le règlement général sur la protection des données (RGPD).

En septembre 2024, la Commission nationale de l'informatique et des libertés (Cnil) avait infligé à Cegedim Santé une amende de 800.000 euros, pour avoir notamment traité des données de santé sans autorisation, pointant "la gravité des manquements" observés et le "caractère massif" du traitement des données concernées.

Contactée par l'AFP, la Cnil n'a pas réagi dans l'immédiat.

U.Lee--SFF