Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Une fuite de données ne se termine pas le jour où elle est colmatée. Les données issues des cyberattaques ayant visé des agences régionales de santé à l'automne 2025 ont refait surface au printemps 2026, mises en vente par un autre groupe que celui à l'origine du vol. Ce changement de mains, plus que le volume annoncé, est ce qui transforme réellement le risque.
À l'automne 2025, plusieurs agences régionales de santé ont été victimes de cyberattaques confirmées officiellement. Le cybercriminel à l'origine de l'intrusion, interpellé par la justice, avait initialement affirmé ne pas vouloir commercialiser ces données, qu'il présentait comme un trophée. Début avril 2026, la situation a changé de nature : un autre groupe cybercriminel a mis en vente un fichier présenté comme issu de ces intrusions, contenant environ 35 millions de lignes. Ce chiffre est une revendication des attaquants, pas une donnée confirmée par les autorités, et un nombre de lignes ne correspond pas nécessairement à un nombre de personnes distinctes. Les catégories annoncées incluent identités complètes, numéros de sécurité sociale, coordonnées et informations liées au parcours de soins. Le périmètre exact reste discuté : certaines analyses estiment que les éléments présentés proviennent de la compromission de 2025 plutôt que d'une nouvelle intrusion. Le point à retenir est ailleurs : une fuite ancienne remise en circulation génère un risque opérationnel immédiat, notamment en matière d'hameçonnage ciblé.
L'attaque initiale est documentée et a été confirmée officiellement à l'automne 2025. Le nombre exact d'agences touchées fait l'objet de mentions divergentes selon les sources — certaines évoquent trois agences régionales, d'autres huit — et cette imprécision n'a pas été levée publiquement de façon claire.
Ce qui a évolué au printemps 2026 n'est pas le périmètre technique de la compromission, mais le statut des données. Tant qu'elles restaient entre les mains de leur auteur, qui déclarait ne pas vouloir les vendre, leur exploitation demeurait limitée. Leur passage à un autre groupe, qui en propose la commercialisation sur des forums cybercriminels, les fait basculer du statut de possession à celui de marchandise. Concrètement, cela signifie une diffusion potentiellement large, auprès d'acteurs dont les intentions d'exploitation sont directement lucratives.
Le CERT Santé a précisément documenté ce phénomène de réexposition. Un ensemble de données administratives issu d'espaces numériques régionaux de santé avait ainsi refait surface en ligne, conduisant à la notification de plus de 1 100 agents hospitaliers début 2026, alors même que rien n'indiquait une nouvelle compromission : les informations semblaient provenir d'un incident passé, réexploitées et rediffusées par un canal non identifié.
Cette réapparition a suffi à déclencher des campagnes de fraude ciblée, certains messages usurpant l'identité de cadres hospitaliers pour obtenir des accès ou des informations sensibles. C'est l'enseignement central : la fraîcheur d'une donnée compte moins que sa disponibilité. Une identité, un numéro de sécurité sociale ou un lien avec un établissement de santé restent exploitables des années après leur vol, précisément parce que ces éléments ne changent pas.
Prenons le cas d'une personne recevant un appel ou un courriel mentionnant son nom complet, sa date de naissance, et faisant référence à un séjour hospitalier ou à un organisme de santé régional. La crédibilité de la sollicitation repose entièrement sur l'exactitude de ces informations : l'interlocuteur semble légitime précisément parce qu'il sait des choses qu'un inconnu n'est pas censé savoir. C'est le mécanisme direct de l'hameçonnage ciblé, ou hameçonnage par harponnage.
Le réflexe à adopter est contre-intuitif : la précision des informations détenues par un interlocuteur non sollicité doit augmenter la méfiance, pas la confiance. Un organisme de santé légitime n'a pas besoin que vous confirmiez votre numéro de sécurité sociale par téléphone, ni que vous cliquiez sur un lien pour « vérifier votre dossier ». En cas de doute, raccrochez et rappelez l'organisme par un numéro que vous avez trouvé vous-même.
Une violation de données personnelles impose au responsable de traitement de la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, ainsi que d'informer individuellement les personnes lorsque la violation présente un risque élevé pour leurs droits et libertés. Ces obligations s'appliquent à l'incident initial.
La réexposition d'une fuite ancienne pose une question distincte, moins bien cadrée : elle ne constitue pas nécessairement une nouvelle violation au sens du RGPD si aucune nouvelle compromission n'est intervenue, mais elle modifie le niveau de risque pour les personnes, ce qui peut justifier une communication renouvelée. Le CERT Santé, qui accompagne les établissements du secteur, recommande dans ce contexte de traiter toute réapparition de données comme un signal opérationnel appelant une vigilance renforcée, indépendamment de sa qualification juridique (source : CERT Santé, « Fuites de données dans le secteur de la santé : comprendre pour mieux réagir », cyberveille.esante.gouv.fr).
L'accumulation de fuites dans le secteur de la santé française constitue une tendance de fond documentée, dont les incidents de 2025 et 2026 ne sont que les épisodes les plus visibles. Cette accumulation produit un effet cumulatif : des bases issues d'incidents différents peuvent être recoupées, enrichissant progressivement des profils individuels bien au-delà de ce qu'une fuite isolée aurait permis.
Face à cette dynamique, les réponses purement périmétriques atteignent leurs limites. La direction qui se dessine consiste à réduire la valeur de la donnée pour l'attaquant plutôt qu'à espérer empêcher toute intrusion : chiffrement des données au niveau applicatif, pseudonymisation des jeux exploités à des fins statistiques, et cloisonnement strict entre données d'identité et données de santé. Une base exfiltrée mais inintelligible ne devient pas une marchandise.
Message clé : ce qui a changé au printemps 2026 n'est pas le volume de données volées, mais le fait qu'elles soient passées d'un détenteur unique à un marché — et une donnée d'identité ne se périme pas.
Pour les personnes comme pour les établissements, la conséquence pratique est la même : traiter la réapparition d'une fuite ancienne avec la même vigilance qu'un incident nouveau.
Le chiffre de 35 millions est-il confirmé ? Non, il s'agit d'une revendication des attaquants portant sur un nombre de lignes dans un fichier mis en vente, ce qui ne correspond pas nécessairement à autant de personnes distinctes.
S'agit-il d'une nouvelle cyberattaque ? Les analyses disponibles suggèrent plutôt une remise en circulation de données issues des compromissions confirmées à l'automne 2025, sous une forme reconsolidée.
Combien d'agences régionales de santé sont touchées ? Les sources divergent : certaines mentionnent trois agences, d'autres huit, et cette imprécision n'a pas été levée publiquement de manière claire.
Quelles données seraient concernées ? Les catégories annoncées incluent identités complètes, numéros de sécurité sociale, coordonnées personnelles et informations liées au parcours de soins.
Comment savoir si je suis touché ? Il n'existe pas de moyen individuel fiable de le vérifier à ce stade ; la vigilance face aux sollicitations non sollicitées reste la mesure la plus utile.
Que faire concrètement en tant que patient ? Méfiez-vous des messages ou appels mentionnant vos informations personnelles, ne communiquez jamais de données par un canal non vérifié, et rappelez les organismes par un numéro que vous avez trouvé vous-même.
Pourquoi une fuite de 2025 pose-t-elle problème en 2026 ? Parce que les données concernées — identité, numéro de sécurité sociale — ne changent pas : leur valeur pour un attaquant reste intacte des années après le vol.
Des données issues des cyberattaques ayant visé des agences régionales de santé à l'automne 2025 ont été remises en circulation au printemps 2026, un autre groupe cybercriminel proposant à la vente un fichier d'environ 35 millions de lignes. Ce volume est une revendication non confirmée, et le périmètre exact reste discuté. L'enjeu réel tient au changement de statut des données, passées de la possession d'un acteur unique à un marché, avec un risque immédiat d'hameçonnage ciblé exploitant des informations exactes.
Traitez toute sollicitation non sollicitée mentionnant vos données personnelles ou un lien avec un établissement de santé comme suspecte, quelle que soit sa crédibilité apparente ; pour les établissements, une campagne de sensibilisation ciblée sur l'usurpation d'identité de cadres internes constitue la mesure la plus directement utile après ce type de réexposition.
Ce qui a changé n'est pas le volume des données volées, mais leur passage d'un détenteur unique à un marché.
Une identité et un numéro de sécurité sociale ne se changent pas : une fuite ancienne reste une fuite exploitable.
Quand un interlocuteur non sollicité connaît précisément vos informations, cette précision doit augmenter votre méfiance, pas votre confiance.
Imaginez un trousseau de clés dérobé il y a un an et resté dans un tiroir chez le voleur. Le risque existait, mais restait théorique. Le jour où ce trousseau est vendu à plusieurs personnes différentes, chacune pouvant s'en servir, le danger devient concret — alors même que les clés n'ont pas changé et qu'aucun nouveau vol n'a eu lieu. C'est exactement ce qui s'est produit avec ces données de santé.
Pour les DSI et RSSI d'établissements, cet épisode appelle trois réflexes distincts. Le premier concerne la détection : les campagnes de fraude consécutives à une réexposition exploitent une connaissance fine des organisations, avec usurpation d'identité de cadres internes pour obtenir des accès. Les règles de filtrage et les procédures de validation des demandes d'accès sensibles doivent en tenir compte, notamment sur les demandes présentant un caractère d'urgence hiérarchique. Le deuxième concerne la traçabilité historique : être capable de déterminer si un jeu de données réapparu correspond à un incident déjà notifié, ou à une compromission nouvelle, suppose de conserver une documentation précise des périmètres exfiltrés lors des incidents passés. Le troisième porte sur la réduction structurelle de la valeur des données exfiltrables : chiffrement applicatif avec clés hors du périmètre exposé, séparation des identifiants directs et des données de parcours de soins, et pseudonymisation des jeux exploités hors production. Une base exfiltrée dont les identités sont dissociées des contenus perd l'essentiel de sa valeur marchande, ce qui constitue la meilleure protection contre une réexposition ultérieure.