Cegedim : 15,8 M de dossiers patients volés
Des pirates ont dérobé début 2026 15,8 millions de fichiers patients et 165 000 notes médicales sur la plateforme cloud MonLogicielMedical de Cegedim Santé, confirmé le 3 mars. L'entreprise avait déjà été condamnée à 800 000 euros d'amende par la CNIL en 2024 pour le traitement des données de santé sur ce même système.
VaultTools · 7 avril 2026
Table des matières
- Ce qui s’est passé
- Ce que les attaquants ont dérobé
- Une autorité qui était déjà au courant
- Pourquoi le stockage serveur de documents crée ce risque
- Ce que le traitement local change
- Sources
Ce Qui S’est Passé
Le 3 mars 2026, l’éditeur français de logiciels de santé Cegedim Santé a confirmé que des attaquants avaient pénétré dans MonLogicielMedical, sa plateforme de gestion de cabinet hébergée dans le cloud et utilisée par environ 3 800 médecins en France. France24 avait rapporté l’incident le 27 février 2026 ; la confirmation officielle de Cegedim est intervenue quelques jours plus tard.
L’incident est désormais documenté comme la plus grande violation de données de santé de l’histoire européenne. Aucun groupe de rançongiciels n’a publiquement revendiqué la responsabilité. Cegedim Santé a notifié la CNIL et déclaré qu’une enquête était en cours.
Ce Que Les Attaquants Ont Dérobé
Selon les rapports de The Register et SC Media, les attaquants ont exfiltré deux catégories de données.
La première catégorie comprend des dossiers patients administratifs : 15,8 millions de fichiers contenant des noms, dates de naissance, numéros de sécurité sociale et données d’assurance des patients dont les médecins utilisaient MonLogicielMedical.
La deuxième catégorie est constituée de 165 000 notes cliniques rédigées librement par des médecins. Ces notes contenaient des diagnostics incluant le statut VIH, des affections psychiatriques et des données relatives à l’orientation sexuelle. En vertu de l’article 9 du RGPD, ces trois catégories constituent des données sensibles nécessitant un consentement explicite pour leur traitement.
CPO Magazine a relevé que les dossiers exposés comprenaient des fichiers appartenant à des personnalités politiques et des responsables de la sécurité nationale, dont les antécédents médicaux figuraient dans les notes de texte libre.
Une Autorité Qui Était Déjà Au Courant
La CNIL avait émis un avertissement formel concernant les pratiques de gestion des données de Cegedim Santé avant la violation. En septembre 2024, l’autorité avait condamné l’entreprise à une amende de 800 000 euros pour traitement illicite de données de santé sur la plateforme MonLogicielMedical, notamment pour conservation de données patients au-delà des durées autorisées et pour des mesures de sécurité insuffisantes.
Cette amende n’a pas empêché la violation. Elle a confirmé que la CNIL avait audité le même système, identifié des défaillances graves et prononcé une sanction financière, sans que l’architecture sous-jacente ne soit modifiée. La violation a suivi environ 18 mois plus tard.
Pourquoi Le Stockage Serveur De Documents Crée Ce Risque
MonLogicielMedical fonctionnait comme une plateforme cloud centralisée. Les médecins téléchargeaient leurs notes de consultation et fichiers administratifs vers les serveurs de Cegedim. L’entreprise conservait et traitait ces fichiers sur son infrastructure. Lorsque l’infrastructure a été compromise, 15,8 millions de dossiers patients et 165 000 notes cliniques ont été exposés en un seul incident.
Tel est le risque structurel du stockage serveur de documents : chaque fichier envoyé vers un serveur tiers intègre la surface d’attaque de ce serveur. Une seule intrusion dans l’infrastructure du prestataire expose l’ensemble des documents de tous les utilisateurs ayant fait confiance à la plateforme. L’utilisateur n’a aucun contrôle sur ce qui se passe après l’envoi, aucune visibilité sur la posture de sécurité du serveur, et aucun moyen de limiter les dégâts en cas de compromission.
La violation Cegedim n’est pas une anomalie. Elle s’inscrit dans une série qui comprend Progress ShareFile (CVE-2026-2699, CVE-2026-2701), la violation de Conduent affectant 25 millions d’Américains, et l’intrusion de ShinyHunters dans l’infrastructure AWS de la Commission européenne. Dans chaque cas, la vulnérabilité n’était pas le document lui-même, mais le serveur qui le hébergeait.
Ce Que Le Traitement Local Change
Les outils basés sur navigateur qui traitent les fichiers localement, sans les télécharger, éliminent entièrement cette catégorie de risque. Si un fichier n’est jamais transmis à un serveur, il ne peut pas être volé depuis un serveur. Le chiffrement des données au repos, les contrôles d’accès et les audits de sécurité de l’infrastructure du prestataire deviennent sans objet, car aucun prestataire ne reçoit jamais le fichier.
Le mécanisme technique est simple. Les outils construits sur WebAssembly compilent leur logique de traitement pour s’exécuter dans le navigateur. Lorsqu’un utilisateur ouvre un PDF, compresse une image ou convertit un document, le calcul s’effectue sur son appareil. Aucun octet ne quitte le navigateur. Aucun serveur ne conserve de copie.
Cegedim Santé a été auditée, sanctionnée et avertie. L’architecture qui a mis en danger 15,8 millions de dossiers est restée en place parce que le modèle économique reposait sur le stockage centralisé. Les outils à traitement local ne dépendent pas de ce modèle.
Sources
- Des pirates informatiques volent les données médicales de 15 millions de personnes en France (France24, 27 février 2026)
- 15.8M medical records stolen from French health ministry supplier (The Register, 3 mars 2026)
- French healthcare software provider Cegedim Santé suffers major data breach (SC Media)
- Centralized Healthcare System Data Breach Leaks Medical Records of 15 Million French Citizens (CPO Magazine)
- Données de santé : CEGEDIM SANTÉ sanctionnée d’une amende de 800 000 € (CNIL, septembre 2024)