Cyberattaque Santé publique France : 80 000 contacts dans la nature

Le 11 août 2026, trois comptes se réclamant des pseudonymes « cybernox », « artemis » et « d'ont call me » publient sur un forum de revente de données une archive qu'ils présentent comme la base utilisateurs d'un site de l'agence sanitaire française. Deux jours plus tard, jeudi 13 août, Santé publique France confirme : une plateforme hébergée par un prestataire a bien été attaquée, et les données de contact de près de 80 000 personnes sont concernées. La cyberattaque Santé publique France n'a pas visé un entrepôt de dossiers médicaux. Elle a visé un site de commande de brochures. C'est précisément ce qui la rend intéressante.

Ce qui s'est passé, dans l'ordre

La cible s'appelle moncoupon.santepubliquefrance.fr. Ce n'est ni un système d'information hospitalier ni un registre épidémiologique : c'est le guichet en ligne par lequel pharmaciens, infirmiers, enseignants, associations et collectivités commandent les supports des campagnes de prévention — affiches sur le dépistage du cancer colorectal, dépliants tabac, brochures nutrition, préservatifs distribués gratuitement. Un outil logistique, en somme utile, jamais mis en avant.

Le déroulé reconstitué à partir des revendications et des premiers comptes rendus techniques tient en trois temps :

• Les attaquants créent un compte utilisateur ordinaire sur la plateforme, comme n'importe quel professionnel souhaitant commander des documents.
• Ils modifient le paramètre de rôle associé à leur propre compte. Le serveur ne vérifie pas que l'utilisateur a le droit de faire ça. Ils deviennent administrateurs.
• Depuis l'interface d'administration, ils actionnent la fonction d'export de la liste des utilisateurs. Fin de l'opération.

Aucun malware. Aucune faille zero-day achetée à prix d'or. Ce qu'on appelle une élévation de privilèges par contrôle d'accès défaillant, une catégorie qui trône depuis des années en tête du classement OWASP des vulnérabilités web les plus répandues. Le genre de trou qu'un test d'intrusion sérieux détecte en une après-midi.

Ce qui a fuité — et ce qui n'a pas fuité

L'agence a été rapide sur ce point, et elle a raison de l'être : le fichier ne contient aucune donnée de santé. Pas de diagnostic, pas de dossier patient, pas de numéro de Sécurité sociale.

Ce qu'il contient, en revanche :

• noms et prénoms des personnes ayant ouvert un compte ;
• adresses e-mail, souvent professionnelles ;
• adresses postales de livraison ;
• numéros de téléphone de contact ;
• organisme de rattachement (officine, cabinet, établissement scolaire, association, collectivité) ;
• catégorie professionnelle déclarée.

La base est donc majoritairement composée de professionnels et de structures partenaires, pas de patients. C'est une bonne nouvelle sur le papier. C'en est une moins bonne quand on regarde ce qu'un attaquant peut faire avec.

Pourquoi un carnet d'adresses vaut parfois plus qu'un dossier médical

Un dossier médical volé est difficile à monétiser : il faut trouver un acheteur, le contexte est sensible, la revente attire les autorités. Une liste nominative de 80 000 professionnels avec leur métier, leur employeur et leur e-mail de travail, c'est un autre produit. C'est une liste de ciblage.

Le scénario le plus probable dans les semaines qui viennent : un e-mail impeccablement crédible, signé du logo de l'agence, adressé nommément à un pharmacien titulaire, l'invitant à « valider sa commande de supports pour la campagne de rentrée » via un lien. Le destinataire a réellement commandé des brochures. Il attend réellement une livraison. Le taux de clic sur ce type de hameçonnage contextualisé n'a rien à voir avec celui d'un spam générique.

Ajoutez une couche : les officines et cabinets libéraux sont depuis deux ans une cible privilégiée des rançongiciels, parce qu'ils combinent des données sensibles, une continuité d'activité vitale et des budgets informatiques minuscules. Un identifiant professionnel dérobé via un phishing ciblé peut servir de porte d'entrée bien au-delà du site de brochures.

Le maillon prestataire, encore

La plateforme n'était pas hébergée en interne. Elle tournait chez un prestataire. Cette phrase revient avec une régularité déprimante dans les communiqués de crise français de ces derniers mois — d'autres administrations, dont des services fiscaux et une plateforme liée à la validation des acquis de l'expérience, ont annoncé des incidents dans la même fenêtre temporelle.

Le schéma se répète parce que la logique organisationnelle le produit :

• Une agence publique externalise un outil périphérique, jugé non critique, pour lequel elle n'a ni les équipes ni le budget.
• Le marché est attribué avec un cahier des charges fonctionnel détaillé et des exigences de sécurité génériques.
• Le prestataire livre. Personne ne repasse derrière avec un audit offensif, parce que « ce n'est qu'un site de commande de documents ».
• La base utilisateurs, elle, grossit année après année jusqu'à atteindre 80 000 lignes nominatives.

La criticité d'un système ne se mesure pas à sa fonction affichée, mais à ce qu'il accumule. Un formulaire de commande qui empile pendant huit ans les coordonnées de tout le réseau de prévention d'un pays finit par valoir plus que le site institutionnel qu'on protège avec soin.

Ce que dit le droit, et ce qui doit suivre

Le RGPD encadre précisément la suite. Le responsable de traitement — l'agence, pas le prestataire — dispose de 72 heures après la prise de connaissance de la violation pour notifier la CNIL. Lorsque la fuite présente un risque élevé pour les personnes, celles-ci doivent également être informées individuellement, avec une description de la nature de l'incident et des mesures recommandées.

Deux questions restent ouvertes à l'heure où ces lignes sont écrites :

• Le périmètre exact. Une revendication de pirate n'est pas un inventaire vérifié : les attaquants gonflent régulièrement les volumes, ou recyclent d'anciennes fuites. La confirmation officielle porte sur l'ordre de grandeur, pas encore sur le contenu ligne à ligne.
• La chaîne de responsabilité contractuelle entre l'agence et son hébergeur, qui déterminera qui répond de quoi devant la CNIL et devant les personnes concernées.

Une plainte et une saisine des autorités compétentes en matière cyber sont la trajectoire attendue dans ce type de dossier.

Ce qu'un professionnel concerné peut faire dès maintenant

Si vous avez déjà commandé des supports de prévention via ce guichet, quelques réflexes valent mieux qu'une inquiétude diffuse :

• Considérez que votre adresse professionnelle est désormais publique et traitez tout message évoquant une commande, une livraison ou une « mise à jour de compte » comme suspect par défaut.
• Ne cliquez jamais sur un lien reçu par e-mail pour vous connecter à un service : tapez l'adresse vous-même.
• Activez l'authentification à deux facteurs partout où votre e-mail professionnel sert d'identifiant, en priorité sur la messagerie elle-même.
• Si un mot de passe utilisé sur cette plateforme est réutilisé ailleurs — et il l'est presque toujours — changez-le partout.
• Signalez les tentatives de hameçonnage aux plateformes officielles dédiées ; c'est ce qui permet de faire tomber les domaines frauduleux vite.

La vraie leçon de cet épisode ne tient pas à la sophistication de l'attaque, puisqu'il n'y en avait aucune. Elle tient au fait qu'un site « mineur » a suffi à cartographier le réseau français de la prévention sanitaire. Les prochains audits publics devraient commencer par lister non pas les systèmes les plus visibles, mais ceux qui accumulent le plus de lignes nominatives sans que personne ne les regarde.