Cyberattaque Cegedim : 15 millions de patients français exposés dans la plus grande fuite médicale de l'histoire
Fin février 2026, une information de taille a commencé à filtrer dans les médias spécialisés : le logiciel médical de Cegedim Santé, utilisé par environ 1 500 médecins généralistes en France, avait été compromis. L'ampleur de l'attaque a rapidement dépassé toutes les estimations initiales : ce sont près de 15 millions de patients qui ont vu leurs données personnelles exposées. C'est la plus grande fuite de données médicales jamais enregistrée en France.
Qui est Cegedim Santé ?
Cegedim est un groupe technologique français spécialisé dans les services numériques pour le secteur de la santé. Sa filiale Cegedim Santé édite des logiciels de gestion de cabinet médical très répandus parmi les praticiens français — notamment le logiciel Médistory. Ces outils stockent et traitent des données extrêmement sensibles : dossiers médicaux, prescriptions, historique des consultations, informations administratives des patients.
La société gère ainsi un patrimoine de données de santé d'une valeur et d'une sensibilité considérables. C'est précisément cette richesse qui en fait une cible de choix pour les cybercriminels.
Comment l'attaque s'est-elle produite ?
D'après les premiers éléments de l'enquête, l'attaque remonte à la fin de l'année 2025. Les pirates ont réussi à infiltrer l'infrastructure informatique de Cegedim Santé, vraisemblablement via une faille dans le système d'authentification ou une compromission de compte administrateur.
Pendant plusieurs semaines, les attaquants ont eu accès aux données de patients stockées dans les bases de données des cabinets médicaux utilisant le logiciel. Ce type d'intrusion prolongée — où le pirate reste tapi dans le système sans se faire détecter — est caractéristique des APT (Advanced Persistent Threats), des menaces avancées qui ciblent des organisations spécifiques sur le long terme.
Ce qui choque particulièrement dans cette affaire : le délai de détection et d'alerte. Des médecins témoignent avoir été prévenus très tardivement, parfois des semaines après que Cegedim ait eu connaissance de la compromission. Ce retard constitue une violation potentielle du RGPD, qui impose une déclaration à la CNIL dans les 72 heures suivant la découverte d'une violation de données.
Quelles données ont été exposées ?
Selon les déclarations de Cegedim Santé, les données concernées sont principalement issues des dossiers administratifs des patients :
- Nom, prénom, sexe et date de naissance
- Numéro de téléphone et adresse e-mail
- Numéro de sécurité sociale pour certains patients
- Dans des cas limités : annotations médicales personnelles du médecin
Ce dernier point est particulièrement préoccupant. Les annotations médicales peuvent contenir des informations sur des pathologies chroniques, des traitements psychiatriques, des antécédents familiaux sensibles ou d'autres données que les patients souhaitent garder strictement confidentielles. Si ces informations se retrouvent sur le dark web, les conséquences pour les personnes concernées peuvent être graves et durables.
Les risques concrets pour les patients
Si vous consultez un médecin en France, vous êtes potentiellement concerné. Les risques immédiats sont multiples.
Phishing ciblé : Avec vos coordonnées personnelles, les pirates peuvent envoyer des messages frauduleux se faisant passer pour votre médecin, votre mutuelle ou l'Assurance Maladie — avec un niveau de personnalisation terrifiant.
Usurpation d'identité : Les données administratives peuvent suffire à ouvrir des comptes en ligne, souscrire des crédits ou commettre des fraudes en votre nom.
Discrimination : Si des données médicales sensibles ont été exposées (maladies chroniques, traitements psychiatriques, pathologies), les risques de discrimination dans l'emploi ou l'assurance sont réels, même s'ils sont difficiles à prouver.
La réponse des autorités
Une enquête judiciaire a été ouverte par le Parquet de Paris pour « accès frauduleux à un système de traitement automatisé de données ». La CNIL examine les conditions dans lesquelles Cegedim Santé a notifié la violation — le délai apparent soulève de sérieuses questions sur le respect des obligations légales.
L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) a rappelé les obligations de sécurité des éditeurs de logiciels médicaux et lancé une revue des pratiques de cybersécurité dans le secteur.
Ce que doivent faire les patients concernés
Si vous pensez être parmi les victimes, voici les actions prioritaires à entreprendre :
- Vérifiez si votre médecin utilise un logiciel Cegedim Santé (demandez-lui directement)
- Soyez vigilant face aux emails, SMS ou appels se réclamant d'organismes de santé
- Ne cliquez jamais sur des liens dans des communications que vous n'attendiez pas
- Signalez tout message suspect à cybermalveillance.gouv.fr
- Consultez votre compte Ameli pour détecter d'éventuelles prescriptions ou remboursements frauduleux
Les leçons à tirer pour le secteur
Cette affaire illustre une réalité que les experts répètent depuis des années : le secteur de la santé est l'une des cibles prioritaires des cybercriminels. La raison est simple — les données médicales se vendent très cher sur le dark web (entre 50 et 500 euros par dossier, contre 5 à 10 euros pour un numéro de carte bancaire).
La santé numérique française a besoin d'un choc de cybersécurité. Les logiciels médicaux doivent être soumis à des audits réguliers et indépendants, les médecins doivent être formés aux bonnes pratiques de sécurité informatique, et les éditeurs doivent appliquer des protocoles de notification immédiate en cas d'incident, sans attendre d'en mesurer l'étendue totale.
Conclusion
L'affaire Cegedim Santé est un signal d'alarme pour tout le secteur de la santé numérique français. Avec 15 millions de patients potentiellement exposés, c'est l'équivalent d'un Français sur cinq qui voit ses données médicales entre les mains de cybercriminels. Cette crise doit déclencher une prise de conscience collective et des investissements massifs en cybersécurité dans le secteur médical.
Questions fréquentes (FAQ)
Comment savoir si mes données Cegedim ont été exposées ?
Contactez directement votre médecin généraliste pour savoir s'il utilise un logiciel de Cegedim Santé. Cegedim doit notifier les personnes affectées conformément au RGPD. Vous pouvez également vérifier sur haveibeenpwned.com si votre email apparaît dans des fuites connues.
Quelles données médicales ont été volées chez Cegedim ?
Principalement des données administratives (nom, prénom, date de naissance, téléphone). Pour une minorité de patients, des annotations médicales du médecin ont pu être exposées. Cegedim affirme que les contenus des dossiers médicaux complets n'ont pas été compromis.
Que risque Cegedim après cette cyberattaque ?
Cegedim fait face à plusieurs risques légaux : une sanction de la CNIL pour manquement au RGPD (jusqu'à 4 % du chiffre d'affaires mondial), des poursuites judiciaires et des actions en responsabilité civile de la part de médecins et patients affectés.
Le secteur de la santé est-il particulièrement ciblé par les hackers ?
Oui. Les données médicales sont parmi les plus précieuses sur le marché noir. Un dossier médical complet peut valoir jusqu'à 500 euros sur le dark web, contre quelques euros pour un numéro de carte bancaire. Les établissements de santé ont souvent des systèmes informatiques vieillissants et moins bien protégés.
