Cyberattaque dans la santé: les données administratives de 15 millions de Français piratées

Les "données administratives" de quelque 15 millions de Français, mais aussi des commentaires rédigés par leur docteur, ont fait l'objet d'une fuite massive lors d'une cyberattaque qui a visé 1.500 médecins utilisateurs d'un logiciel de la société Cegedim Santé, a indiqué vendredi le ministère de la Santé.

Si cette fuite a principalement concerné des données telles que les nom, prénom, numéro de téléphone ou l'adresse postale des patients, elle a aussi, pour 169.000 d'entre eux, porté sur des annotations libres saisies par les médecins, "dont certaines peuvent être des données sensibles", soit "1% des cas", a précisé le ministère lors d'un point de presse.

"Il n'y a pas de documents de santé qui ont été diffusés, ni ordonnances, ni résultats d'examens de biologie", a-t-il affirmé, tout en admettant ne pas avoir de "visibilité exhaustive sur l'étendue des données administratives" des "15 millions de personnes figurant sur les bases de données" qui ont fuité.

Pour le ministère, le seul fait nouveau relatif à ce cyberpiratage qui "date de la fin 2025" est sa "revendication par le hacker", à "l'identité" et "la nationalité" pour l'heure non identifiées. "On ne sait pas dire s'il est lui-même à l'origine ou s'il a récupéré les fichiers dans le cadre d'une publication sur le dark web", a-t-on indiqué de même source.

Selon France 2, qui a révélé l'affaire jeudi soir, des données "très précises" émanant de la fuite sont "en libre accès" sur le net et des informations sur des dirigeants politiques de premier plan y figurent. Le ministère n'a pas apporté de précisions sur ce dernier point.

Vendredi, le ministère de la Santé a précisé à l'AFP avoir enjoint à la société Cegedim Santé, important fournisseur de logiciels médicaux, de mettre "immédiatement en oeuvre" des mesures correctives après cette cyberattaque et d'apporter "des garanties" pour prévenir toute nouvelle fuite de données.

Cette société a porté plainte le 27 octobre 2025. "Des salariés ont signalé avoir reçu des courriels d'extorsion revendiquant le piratage de plusieurs milliers de données personnelles", a relaté vendredi le ministère public.

- "Annotations personnelles" des médecins -

Acteur important du secteur de l'hébergement des données médicales en France, qui gère aussi la facturation des professionnels de santé, Cegedim Santé -filiale de Cegedim- a admis vendredi avoir été victime fin 2025, d'une cyberattaque ayant visé 1.500 praticiens sur les 3.800 médecins utilisateurs de son logiciel MLM , avec pour conséquence une fuite de données personnelles de patients.

Pour Cegedim, les données concernées proviennent "exclusivement" du dossier administratif des patients (nom, prénom, sexe, date de naissance, téléphone...) qui pouvait toutefois contenir, pour "un nombre très limité" d'entre eux, "des annotations personnelles du médecin concernant des informations sensibles".

Les "dossiers médicaux structurés des patients sont restés intègres", a affirmé la société, précisant avoir informé les autorités de cet incident qui a été "circonscrit".

- "Sous investissement" -

Le ministère a de son côté pointé la responsabilité du "prestataire privé, responsable du traitement des données", martelant que cette fuite "ne résulte ni d'une défaillance des systèmes du ministère, ni d'une infrastructure relevant directement de l'État".

Mais "les données de santé ont une dimension émotionnelle très forte, parce que ça touche à l'intimité" des personnes, souligne auprès de l'AFP l'expert Nicolas Arpagian, directeur de la stratégie de la société Jizô AI.

Pour Gérôme Billois, expert en cybersécurité au cabinet Wavestone, la fuite "très grave", qui pourrait être "la plus grosse en France" dans la santé, aura des "conséquences irrémédiables". Car "une information de santé qui dit: +Vous avez le sida+ ou +vous avez telle maladie+, une fois qu'elle est sortie, vous ne pourrez plus jamais revenir en arrière", dit-il à l'AFP.

Il y voit la conséquence d'un "sous-investissement en cybersécurité depuis des années" dans le secteur de la santé.

Selon le ministère, le fait pour un médecin, de consigner des annotations concernant "le quotidien et l'intimité des patients", n'enfreint pas le règlement général sur la protection des données (RGPD).

En septembre 2024, la Commission nationale de l'informatique et des libertés (Cnil) avait infligé à Cegedim Santé une amende de 800.000 euros, pour avoir notamment traité des données de santé sans autorisation, pointant "la gravité des manquements" observés et le "caractère massif" du traitement des données concernées.

jt-ref-cra-pgr-clw/ito/tes