Les "données administratives" telles que le "nom, prénom, numéro de téléphone et/ou adresse postale" de quelque 15 millions de Français ont fait l'objet d'une fuite massive, a annoncé vendredi le ministère de la Santé. Cette cyberattaque remonte à fin 2025. Une enquête a depuis été ouverte, a indiqué le parquet de Paris.

Publié le : 27/02/2026 - 13:12Modifié le : 27/02/2026 - 22:55

"Nom, prénom, numéro de téléphone et/ou adresse postale". Les "données administratives" de quelque 15 millions de Français ont été piratées lors d'une attaque survenue fin 2025 auprès de 1 500 médecins utilisant le logiciel de la société Cegedim Santé, a confirmé vendredi 27 février le ministère de la Santé.

Pour 169 000 patients, ces données sont assorties d'annotations libres saisies par les médecins, "dont certaines peuvent être des données sensibles", soit "1 % des cas", a précisé le ministère de la Santé lors d'un point presse organisé au lendemain des révélations de France 2 sur cette affaire.

Le parquet de Paris a indiqué avoir saisi la Brigade de lutte contre la cybercriminalité d'une enquête "pour atteintes à un système automatisé de données", ouverte à la suite de la plainte déposée par Cegedim Santé le 27 octobre 2025.

Le piratage a porté sur "19 millions de lignes informatiques", dont 4 millions de doublon, contenues dans une base de données ayant "entre 3 et 15 ans d'historique, en fonction de la date d'installation du logiciel dans les cabinets des médecins". Cela explique qu'elle contienne les données de millions de patients, soit bien plus que les informations saisies par 1 500 médecins, a expliqué le ministère.

"Il n'y a pas de documents de santé qui ont été diffusés, ni ordonnances, ni résultats d'examens de biologie", a affirmé la même source, tout en admettant ne pas avoir de "visibilité exhaustive sur l'étendue des données administratives" dérobées.

Pour le ministère, le seul fait nouveau relatif à ce cyberpiratage qui "date de la fin 2025" est sa "revendication par le hacker", à "l'identité" et "la nationalité" pour l'heure non identifiées. Un groupe de hackers nommé DumpSec a revendiqué le vol de ces données, expliquant qu'"un ancien membre" avait ensuite "décidé de revendre une partie des informations", rapporte l'expert en cybersécurité Damien Bancal sur son site.

À lire aussiPiratage de données bancaires : la France "très mauvaise élève" en matière de cybersécurité

Interrogée par l'AFP, la Commission nationale de l'informatique et des libertés (Cnil) a indiqué ne pas être "en capacité, à ce stade, de confirmer l'ampleur de la violation alléguée". Elle va analyser "ces révélations avec attention, et diligentera des contrôles si nécessaire".

Cegedim sommée de rendre des comptes

France 2, qui a révélé l'affaire jeudi 26 février, affirme avoir retrouvé des données "très précises" sur plusieurs patients –leur homosexualité ou qu'ils soient atteints du sida– émanant de la fuite. Des informations sur des dirigeants politiques de premier plan y figureraient aussi, selon la chaîne publique.

Vendredi, le ministère de la Santé a précisé à l'AFP avoir enjoint à la société Cegedim Santé, acteur important du secteur de la gestion des données médicales en France, de mettre "immédiatement en œuvre" des mesures correctives après cette cyberattaque.

Cette société a porté plainte le 27 octobre 2025 et une enquête pénale pour "atteintes à un système automatisé de données" est en cours.

Cegedim Santé – filiale de Cegedim – a admis vendredi avoir été victime fin 2025, d'une cyberattaque ayant visé 1 500 praticiens sur les 3 800 médecins utilisateurs de son logiciel MLM.

Sollicitée par l'AFP, l'entreprise "réfute qu'il s'agit d'une attaque sur les données médicales : en effet, les dossiers médicaux structurés des patients sont demeurés intègres".

Selon l'entreprise, qui dit "accompagner au mieux" ses clients et leurs patients et vouloir "coopérer pleinement avec les autorités", "l'incident concerne 15,8 millions de dossiers administratifs (...) parmi lesquels 165 000 comportent une annotation personnelle du médecin relative à une information sensible (liée ou non à la santé)".

À voir aussiCybersécurité : l'Europe se prive-t-elle de ses propres forces ?

"Sous-investissement"

Le ministère a de son côté pointé la responsabilité du "prestataire privé, responsable du traitement des données".

Pour Gérôme Billois, expert en cybersécurité au cabinet Wavestone, la fuite "très grave", qui pourrait être "la plus grosse en France" dans la santé, aura des "conséquences irrémédiables". Car "une information de santé qui dit : 'Vous avez le sida' ou 'vous avez telle maladie', une fois qu'elle est sortie, vous ne pourrez plus jamais revenir en arrière", dit-il à l'AFP.

Il y voit la conséquence d'un "sous-investissement en cybersécurité depuis des années" dans la santé.

Agnès Giannotti, la présidente de MG France – principal syndicat de médecins généralistes – a reconnu vendredi sur France Inter "un vrai souci de confiance et de sécurité pour les patients et de pénalisation de notre exercice".

En septembre 2024, la Cnil avait infligé à Cegedim Santé une amende de 800 000 euros, pour avoir traité des données de santé sans autorisation.

Avec AFP

Mots-clés associés à l’article

Le contenu auquel vous tentez d'accéder n'existe pas ou n'est plus disponible.