Les données de 80 000 personnes ont été volées : un prestataire de Santé publique France victime d’une cyberattaque massive

Une cyberattaque visant un prestataire de Santé publique France a entraîné le vol des données de contact de près de 80 000 personnes, a confirmé l’agence sanitaire jeudi 13 août 2026. L’incident cible la plateforme de gestion utilisée pour les enquêtes de santé publique, un maillon technique dont la compromission interroge sur la sécurité des données sensibles du secteur sanitaire français. ## Un prestataire sous tension : la nature de la fuite Selon des informations rapportées par Midi Libre, l’attaque aurait été perpétrée contre un sous-traitant de Santé publique France, chargé notamment de la collecte et du stockage de données de contact. Les éléments dérobés concerneraient des adresses électroniques, des numéros de téléphone et, dans certains cas, des informations démographiques partielles, sans toutefois inclure de données médicales ou de santé au sens strict. L’agence sanitaire aurait toutefois précisé, dans un communiqué diffusé en fin de journée, que les fichiers exfiltrés ne contenaient ni antécédents cliniques, ni résultats d’examens, ni identifiants de sécurité sociale, limitant ainsi le risque d’usurpation d’identité médicale. Cette précision, bien que rassurante sur le fond, ne masque pas l’ampleur du volume touché : près de 80 000 personnes, un chiffre qui place cet incident parmi les plus importants enregistrés dans le périmètre des agences sanitaires françaises ces dernières années. Les premières analyses techniques, menées conjointement par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et les équipes internes de Santé publique France, sembleraient indiquer une intrusion par exploitation d’une faille de sécurité sur un serveur de sauvegarde, plutôt qu’une compromission par ingénierie sociale ou rançongiciel. ## Les implications pour les personnes concernées Pour les 80 000 individus dont les coordonnées ont été dérobées, les risques immédiats résident principalement dans une recrudescence potentielle de campagnes de hameçonnage ciblé. En effet, la possession d’une adresse électronique ou d’un numéro de téléphone associé à un contexte sanitaire pourrait permettre à des acteurs malveillants de concevoir des messages frauduleux plus crédibles, se faisant passer pour des organismes de santé ou des caisses d’assurance maladie. Santé publique France aurait d’ores et déjà recommandé aux personnes potentiellement affectées de redoubler de vigilance face aux courriels inhabituels et de ne jamais communiquer de données bancaires ou de mots de passe par ces canaux. Par ailleurs, cet incident soulève des questions plus structurelles sur la mutualisation des prestataires dans le secteur public sanitaire. La plateforme visée serait utilisée pour plusieurs enquêtes épidémiologiques en cours, notamment sur les habitudes de vie et les facteurs de risque environnementaux, ce qui pourrait entraîner un retard dans le calendrier de ces études. Les équipes de l’agence travailleraient actuellement à la sécurisation des accès et à la migration des données vers une infrastructure isolée, une opération qui pourrait prendre plusieurs semaines selon des sources proches du dossier. ## Un précédent dans un contexte de durcissement réglementaire Cette cyberattaque intervient dans un climat où la protection des données de santé est devenue un enjeu prioritaire, tant au niveau national qu’européen. Depuis l’entrée en vigueur du Règlement général sur la protection des données (RGPD) et la transposition de la directive sur la cybersécurité des réseaux et systèmes d’information, les organismes publics sont tenus à des obligations renforcées de notification et de sécurisation. Toutefois, la chaîne de sous-traitance, souvent complexe et fragmentée, demeure un point de fragilité récurrent, comme l’ont montré plusieurs incidents similaires dans le secteur hospitalier français au cours des dernières années. L’agence sanitaire aurait indiqué son intention de déposer une plainte pénale et de notifier l’incident à la Commission nationale de l’informatique et des libertés (CNIL), conformément aux procédures en vigueur. Une enquête interne a également été ouverte afin de déterminer les circonstances exactes de l’intrusion et d’évaluer l’efficacité des mesures de protection existantes. À ce stade, aucune information ne permettrait d’identifier formellement les auteurs de l’attaque, ni de déterminer si celle-ci s’inscrit dans une campagne plus large visant les infrastructures de recherche en santé. Alors que les investigations se poursuivent, cet épisode rappelle que la sécurité des données personnelles ne dépend pas uniquement des organismes publics eux-mêmes, mais également de la robustesse de l’ensemble de leur écosystème technique. La transparence affichée par Santé publique France dans la gestion de cet incident pourrait toutefois servir de référence pour les autres agences sanitaires confrontées à des menaces similaires, dans un contexte où la cybercriminalité cible de plus en plus les secteurs jugés critiques.