Une plateforme de commande en ligne liée à Santé publique France a été victime d'une cyberattaque, exposant les données de contact de près de 80 000 personnes, a affirmé l'agence jeudi. L'incident, repéré par un site recensant des fuites de données, a conduit à la mise en maintenance immédiate du service et à des mesures de sécurité pour limiter les risques.
Une plateforme « indépendante » ciblée
La mise à nu concerne le site moncoupon.santepubliquefrance.fr, une plateforme d'où sont commandés des documents associés aux campagnes de prévention de l'agence. Santé publique France précise que ce service est « hébergé par un prestataire » et « complètement indépendant des autres sites de l'agence ». Selon l'agence, la base affectée « comprend uniquement des données de contact (adresses mail et postale et numéro de téléphone de contact) pour l'acheminement des produits commandés », et ne contient « aucune donnée de santé ».
« La base de données de cette plateforme comprend uniquement des données de contact… aucune donnée de santé. »
Mesures immédiates et notification à la CNIL
Dès le signalement de l'intrusion, l'accès au service a été suspendu et l'ensemble des mots de passe de la plateforme a été supprimé « par sécurité », indique l'agence. Une notification de violation de données a été déposée auprès de la Commission nationale de l'informatique et des libertés (CNIL), conformément aux obligations réglementaires en cas d'atteinte aux données personnelles.
Santé publique France assure que ses équipes « travaillent activement pour rétablir l'accès à ce service » et que la résolution de l'incident était prévue jeudi en fin de matinée. Le site French Breaches, spécialisé dans le recensement d'exfiltrations, a signalé qu'un pirate a revendiqué la compromission de près de 80 000 enregistrements ; ce chiffre a été confirmé par l'agence sanitaire.
Conséquences et risques
Selon les informations communiquées par Santé publique France, les données exposées se limitent aux coordonnées nécessaires à l’acheminement des supports commandés (courriel, adresse postale, numéro de téléphone). L'agence insiste donc sur l'absence de données médicales ou de santé sur la plateforme affectée. Toutefois, la divulgation de coordonnées peut faciliter des tentatives de phishing, d'usurpation d'identité ou d'appels frauduleux.
- Nature des données : adresses e‑mail, adresses postales, numéros de téléphone de contact.
- Nombre de personnes concernées : près de 80 000 enregistrements selon French Breaches et confirmé par l'agence.
- Actions prises : mise en maintenance du service, suppression des mots de passe, notification à la CNIL.
Contexte réglementaire et bonnes pratiques
La notification à la CNIL est une étape obligatoire pour les organismes publics et privés en cas de violation de données susceptibles d'engendrer un risque pour les droits et libertés des personnes. Elle permet d'ouvrir le cas échéant des investigations et d'informer les personnes concernées si le risque l'exige.
Pour les personnes dont les coordonnées ont pu être divulguées, les recommandations usuelles consistent à se montrer vigilantes face aux courriels ou appels inattendus sollicitant des informations personnelles ou des paiements, à ne pas cliquer sur des liens suspects et à vérifier l'authenticité des messages en contactant directement l'émetteur par des canaux officiels.
| Point | Statut |
|---|---|
| Service affecté | moncoupon.santepubliquefrance.fr (hébergé par un prestataire) |
| Données compromises | Coordonnées de contact (mail, adresse, téléphone) |
| Nombre estimé | ~80 000 |
| Action réglementaire | Notification à la CNIL |
Si l'agence minimise l'impact en précisant l'absence de données sanitaires, l'incident illustre la vulnérabilité des services numériques, y compris lorsqu'ils sont hébergés par des prestataires tiers. Il souligne aussi l'importance pour les autorités sanitaires et pour toute organisation manipulant des données personnelles de maintenir des procédures robustes de sécurité, de surveillance et de réponse aux incidents.
Les autorités compétentes, dont la CNIL, pourront préciser dans les prochains jours l'ampleur réelle des risques et les mesures complémentaires éventuelles à mettre en œuvre pour protéger les personnes concernées.
