Une plateforme gérée pour le compte de Santé publique France a été victime d'une cyberattaque, a annoncé l'agence sanitaire le 13 août 2026. Selon l'organisme, les fichiers compromis contiennent les coordonnées d'environ 80 000 personnes mais « aucune donnée de santé » n'aurait été divulguée.
La nature de la fuite et les données affectées
La plateforme visée est celle de commande en ligne des documents distribués lors des campagnes de prévention (moncoupon.santepubliquefrance.fr), qui est hébergée par un prestataire extérieur et fonctionne de façon distincte des autres services informatiques de l'agence. Santé publique France précise que la base concernée contient uniquement des informations permettant l'acheminement des produits demandés : adresses électroniques, adresses postales et numéros de téléphone de contact.
« Uniquement des données de contact »
Le chiffre d'environ 80 000 personnes a été relayé par un site de surveillance des fuites de données, French Breaches, et confirmé par l'agence lors de l'enquête interne engagée après la découverte de l'intrusion.
Mesures prises et obligations réglementaires
Immédiatement après le signalement, la plateforme a été placée en maintenance et, par mesure de sécurité, tous les mots de passe associés ont été supprimés, a indiqué l'agence. Une notification formelle a également été transmise à la Commission nationale de l'informatique et des libertés (Cnil) pour signaler la violation de données, conformément aux obligations légales en vigueur.
- Plateforme affectée : service de commande des documents de prévention (hébergée par un prestataire).
- Données compromises : adresses mail, adresses postales, numéros de téléphone.
- Nombre de personnes concernées : environ 80 000.
- Action immédiate : mise en maintenance, suppression de tous les mots de passe.
- Suivi réglementaire : déclaration effectuée auprès de la Cnil.
Enjeux pour la confiance et la sécurité des données
Si l'absence de données médicales limite le risque direct pour la confidentialité des dossiers de santé, la divulgation de contacts personnels peut toutefois entraîner des conséquences concrètes : tentatives de hameçonnage, usurpation d'identité ou campagnes de démarchage ciblées. Les services publics de santé sont particulièrement exposés, car leurs bases recensent souvent un grand nombre de personnes — usagers, professionnels, partenaires — dont la mise en relation doit rester protégée.
| Élément | Précision |
|---|---|
| Type de plateforme | Service de commande en ligne pour campagnes de prévention |
| Données concernées | Adresses mail, adresses postales, téléphones |
| Nombre d'enregistrements | ~80 000 |
| Action immédiate | Mise en maintenance et suppression des mots de passe |
Ce qu'il reste à vérifier
Plusieurs questions restent à trancher au terme des investigations techniques : l'origine précise de l'accès non autorisé, la durée de la compromission, l'éventuelle réutilisation des identifiants sur d'autres services et la nature exacte des fichiers exportés ou copiés. L'agence a confirmé qu'elle poursuivait ses analyses avec le prestataire hébergeur et, si nécessaire, avec des experts indépendants.
Sur le plan pratique, les personnes concernées devront être informées des risques et des précautions à prendre (vigilance face aux courriels ou appels suspects, vérification des transactions inhabituelles). Les autorités de protection des données pourront, le cas échéant, prescrire des mesures complémentaires et évaluer d'éventuelles sanctions administratives si des manquements à la sécurité sont identifiés.
Ce nouvel incident rappelle que la sécurité des systèmes d'information demeure une priorité pour les institutions de santé, qui traitent des volumes importants de données personnelles et doivent concilier accessibilité des services et protection renforcée des informations des usagers.
