Vous avez déjà eu ce petit frisson en ouvrant un mail qui vous annonce que vos données personnelles « sont susceptibles d’avoir été compromises » ? Moi, oui. Et quand il s’agit de données de santé, ce frisson se transforme vite en sueur froide.
Fin novembre, une plateforme française très connue de téléconsultation a subi une intrusion informatique d’ampleur. Résultat : environ 285 000 à 300 000 patients ont reçu le message que personne ne veut lire. Nom, prénom, date de naissance, adresse, numéro de téléphone, mais aussi parfois des éléments médicaux… tout cela se balade peut-être aujourd’hui entre les mains de cybercriminels.
Une cyberattaque qui touche au plus intime
Ce qui rend cette affaire particulièrement glaçante, c’est la nature même des données volées. On ne parle pas seulement d’une adresse mail ou d’un numéro de carte bleue (déjà embêtant). On parle de votre historique médical, de pathologies, parfois de traitements en cours. Des informations que l’on confie en pensant qu’elles sont protégées par le secret médical numérique.
La bonne nouvelle – s’il y en a une – c’est que, d’après les premières analyses, les vidéos de téléconsultation et les documents échangés pendant les rendez-vous n’auraient pas été touchés. Le mal est déjà fait, mais au moins il y a une limite.
« Des données à caractère personnel et de santé sont susceptibles d’avoir été consultées »
Communiqué officiel de la plateforme
Comment une telle brèche a-t-elle pu se produire ?
Officiellement, on parle d’une « intrusion informatique » détectée le 28 novembre. Derrière ce terme un peu administratif se cache probablement une attaque sophistiquée : ransomware, exploitation d’une faille zero-day, ou credential stuffing massif. Certains observateurs évoquent même un groupe criminel organisé qui aurait déjà revendiqué l’attaque sur le dark web.
Ce que je trouve fou, c’est la vitesse à laquelle ces attaques deviennent presque banales. On ouvre les journaux et c’est tous les quatre matins : un hôpital, une chaîne de magasins, une administration… Et pourtant, à chaque fois, on a l’impression que les victimes n’étaient « pas prêtes ».
2025, l’année où tout le secteur santé est devenu la cible numéro 1
Regardez autour de vous. Mi-novembre, c’était un éditeur de logiciel utilisé par plus de 80 000 médecins libéraux qui se faisait paralyser. Avant ça, des cliniques, des laboratoires d’analyses, des centres d’imagerie… Le secteur de la santé concentre aujourd’hui trois caractéristiques qui font saliver les hackers :
- Des données ultra-sensibles à très haute valeur sur le dark web
- Des systèmes parfois anciens ou mal segmentés
- Une capacité de paiement rapide (personne ne veut laisser des patients sans soins)
Résultat ? Les attaques contre les établissements de santé ont explosé ces dernières années explosé. Et 2025 semble battre tous les records.
Que risquent réellement les patients concernés ?
Beaucoup de gens se disent : « Bon, ils ont mon nom et mon numéro de téléphone, la belle affaire. » Sauf que quand ces informations sont couplées à des données médicales, tout change.
Quelques scénarios possibles (et déjà observés ailleurs) :
- Usurpation d’identité pour obtenir des médicaments ou des soins remboursés
- Chantage individuel (« payez ou on publie que vous suivez un traitement psychiatrique »)
- Revente des données à des assureurs ou employeurs (illégal, mais ça existe)
- Phishing ultra-ciblé (« Madame Dupont, suite à votre dernière téléconsultation pour votre diabète… »)
J’ai discuté avec un expert en cybersécurité qui me disait récemment : « Une donnée médicale volée, c’est pire qu’un numéro de carte bancaire. La carte, on peut la bloquer. Votre cancer du sein à 38 ans, vous ne pouvez pas le changer. »
Que faire si vous faites partie des 300 000 ?
Si vous avez reçu le fameux mail, voici ce que je vous conseille personnellement (et que font tous les pros de la sécurité) :
- Changez immédiatement votre mot de passe (et activez l’authentification à deux facteurs partout où c’est possible)
- Vérifiez vos comptes bancaires et assurances pour toute activité suspecte
- Soyez ultra-vigilant sur les mails et SMS qui mentionnent votre santé
- Envisagez de faire opposition à la réutilisation de vos données (données auprès de la CNIL
- Surveillez votre dossier médical partagé (DMP) pour détecter toute modification
Petite astuce que peu de gens connaissent : vous pouvez demander à votre complémentaire santé de renforcer la surveillance de vos remboursements pendant quelques mois.
Et maintenant, qui va payer l’addition ?
La plateforme a porté plainte et dit collaborer pleinement avec les autorités. La CNIL est saisie. Mais concrètement, les amendes RGPD peuvent atteindre 4 % du chiffre d’affaires mondial. Et quand on sait que les plateformes de téléconsultation ont explosé pendant et après le Covid, on parle de sommes potentiellement énormes.
Mais l’argent n’est pas le vrai problème. Le vrai problème, c’est la confiance. Comment faire pour que les patients continuent à utiliser ces outils formidables que sont la téléconsultation quand ils ont peur que leur dossier médical se retrouve en vente sur un forum russe ?
Vers une prise de conscience collective ?
Ce qui me frappe dans cette affaire, c’est qu’elle arrive au milieu d’une vague d’attaques tous azimuts. Grandes surfaces, organismes publics, industriels… Personne n’est épargné. Et pourtant, les investissements en cybersécurité restent souvent considérés comme un « coût » plutôt qu’un « une assurance ».
J’ai l’impression qu’on vit le même schéma qu’avec les ceintures de sécurité dans les années 70 : tout le monde trouvait ça inutile jusqu’à ce que les chiffres des morts sur la route deviennent insupportables. Peut-être que ces fuites massives finiront par provoquer le même déclic.
En attendant, si vous utilisez des services de santé en ligne (et qui n’en utilise pas en 2025 ?), prenez cinq minutes pour vérifier vos paramètres de sécurité. Parce que la prochaine fois, ça pourrait être votre dossier qui se promène sur le dark web.
Et franchement, on a tous mieux à faire que de gérer une usurpation d’identité médicale un mardi matin.
PS : Si vous voulez aller plus loin, je prépare un guide complet « Comment protéger ses données de santé en 2025 » que je publierai la semaine prochaine. Dites-moi en commentaire si ça vous intéresse !
