Une nouvelle fuite de données vient frapper une agence publique française. Le 13 août 2026, Santé publique France a confirmé qu’un de ses prestataires avait été victime d’une cyberattaque ayant exposé les données de contact de près de 80 000 personnes. Si l’incident n’a, à ce stade, révélé aucun vol de données médicales sensibles, il rappelle la fragilité croissante des acteurs publics de santé face aux menaces informatiques.
Ce que l’on sait de la cyberattaque
La plateforme visée est moncoupon.santepubliquefrance.fr, un service de commande en ligne des documents liés aux campagnes de prévention de l’agence sanitaire. Selon les précisions rapportées par franceinfo et TF1 Info, cette plateforme est « hébergée par un prestataire » et « complètement indépendante des autres sites de l’agence ».
La base de données compromise contient uniquement, d’après Santé publique France, des données de contact nécessaires à l’acheminement des produits commandés :
des adresses e-mail ;
des adresses postales ;
des numéros de téléphone de contact.
L’agence insiste sur un point essentiel : aucune donnée de santé n’a été concernée. La plateforme ne collectait en effet pas d’informations médicales, ce qui limite fortement la gravité potentielle de la fuite.
Une revendication sur le dark web
L’affaire a été portée à la connaissance du public par le site de recension de fuites de données French Breaches, qui a alerté dès le mardi précédant l’annonce. Selon son fondateur, cité par TF1 Info, le pirate informatique affirmait détenir noms, adresses, téléphones, e-mails et des informations liées aux structures des personnes concernées. Interrogée par l’AFP, l’agence sanitaire a confirmé le chiffre de près de 80 000 victimes tout en réaffirmant l’absence de données médicales.
Dès la découverte de l’incident, l’agence a réagi rapidement pour contenir la violation de données :
mise en maintenance immédiate de la plateforme concernée ;
suppression de tous les mots de passe par mesure de sécurité ;
notification à la CNIL (Commission nationale de l’informatique et des libertés) pour violation de données.
Selon les informations relayées par franceinfo, les équipes techniques ont travaillé au rétablissement du service, dont la résolution était attendue dès le jeudi en fin de matinée. Vous pouvez retrouver le détail de l’annonce dans l’article de TF1 Info.
Un contexte plus large de vulnérabilité
Cette attaque ne constitue malheureusement pas un cas isolé. Les acteurs publics de santé et leurs sous-traitants figurent désormais parmi les cibles privilégiées des cybercriminels. Le maillon faible se situe souvent chez les prestataires externes qui hébergent des services annexes, moins protégés que les systèmes centraux.
À titre d’illustration, un incident comparable a touché des agents de l’Éducation nationale, avec un potentiel vol d’adresses, de numéros de téléphone et même de numéros de sécurité sociale. En Polynésie, la Direction de la santé a également informé la population d’un incident technique chez l’un de ses sous-traitants, appelant à la vigilance après la réception de nombreux SMS frauduleux. Ces cas révèlent une tendance de fond : la chaîne de sous-traitance devient le point d’entrée privilégié des attaques.
Quels risques concrets pour les personnes concernées ?
Même en l’absence de données médicales, une fuite de coordonnées personnelles n’est pas anodine. Ces informations peuvent alimenter des campagnes de hameçonnage (phishing) particulièrement crédibles, car les fraudeurs peuvent se faire passer pour un organisme officiel de santé.
des e-mails frauduleux imitant Santé publique France ou une administration ;
des SMS piégés (smishing) contenant des liens malveillants ;
des appels téléphoniques visant à soutirer davantage d’informations personnelles ou bancaires.
Comment se protéger après une fuite de données
Si vous avez commandé des documents de prévention auprès de Santé publique France, quelques réflexes simples permettent de limiter les risques :
Ne cliquez jamais sur un lien reçu par SMS ou e-mail non sollicité, même s’il semble officiel.
Ne communiquez aucune donnée sensible (mot de passe, coordonnées bancaires, numéro de sécurité sociale) par téléphone ou par mail.
Vérifiez toujours l’adresse de l’expéditeur et connectez-vous directement au site officiel plutôt que via un lien.
Signalez tout message suspect aux plateformes officielles de signalement.
Restez attentif à toute sollicitation inhabituelle dans les semaines à venir.
Ce que cet épisode révèle
Au-delà du cas particulier, cette cyberattaque met en lumière un enjeu majeur de cybersécurité dans le secteur de la santé. La multiplication des services numériques, souvent externalisés, élargit mécaniquement la surface d’exposition aux attaques. La rapidité de réaction de l’agence — mise en maintenance, suppression des mots de passe, notification à la CNIL — illustre les bonnes pratiques attendues, mais ne remplace pas une sécurisation en amont de la chaîne de sous-traitance.
Pour le grand public, le message est clair : la protection des données personnelles repose aussi sur la vigilance individuelle. Face à des fuites qui se banalisent, savoir reconnaître une tentative d’hameçonnage devient une compétence essentielle du quotidien numérique.
