Santé publique France : 80 000 fiches de contact exposées après une cyberattaque

Santé publique France a confirmé qu'une plateforme hébergée par l'un de ses prestataires a été victime d'une cyberattaque. Près de 80 000 fiches de contact ont été exposées, à la suite d'une revendication publiée sur le dark web le 11 août 2026.

Ce qui a réellement fuité

Les extraits publiés à ce stade correspondent à un annuaire professionnel. On y trouve des noms, adresses postales, numéros de téléphone, adresses e-mail, fonctions et structures de rattachement. Aucun diagnostic, aucun numéro de Sécurité sociale.

La plateforme visée est le site de commande en ligne des documents liés aux campagnes de prévention de l'agence. Elle est hébergée par un prestataire et présentée comme indépendante des autres services de Santé publique France. D'après la revendication, les attaquants auraient obtenu des droits d'administrateur avant d'utiliser une fonction interne d'export pour récupérer les comptes.

La réaction de l'agence

Dès le signalement, trois mesures ont été prises :

• mise en maintenance de la plateforme concernée ;

• suppression de l'ensemble des mots de passe ;

• notification de violation de données à la CNIL.

Pourquoi un simple annuaire vaut cher

Il serait tentant de relativiser : pas de données médicales, donc pas de problème. Ce serait une erreur d'appréciation.

Croiser une identité, une fonction, un employeur et un moyen de contact direct constitue exactement le matériau du phishing ciblé. Un e-mail qui affiche le bon intitulé de poste et la bonne structure franchit les défenses qu'un spam générique ne franchit jamais. Les professionnels de santé, qui manipulent au quotidien des données sensibles, forment une cible de valeur — et les organismes listés peuvent aussi recevoir des messages usurpant l'identité de l'agence.

Les bons réflexes

• Se méfier de tout message inattendu réclamant un identifiant ou un paiement, même si l'expéditeur paraît légitime.

• Vérifier une demande sensible par un second canal : rappeler l'organisme sur un numéro connu, jamais celui indiqué dans le message.

• Changer les mots de passe concernés, et ceux réutilisés ailleurs — la réutilisation transforme une fuite isolée en compromission en chaîne.

• Activer l'authentification à deux facteurs partout où elle est proposée.

Une série qui s'allonge

L'incident s'ajoute à une année 2026 difficile pour le secteur public. En février, la Direction générale des Finances publiques reconnaissait la fuite de 1,2 million d'IBAN après le détournement des identifiants d'un agent. Un point commun revient : ce n'est pas une faille technique spectaculaire qui ouvre la porte, mais un accès légitime détourné.