Santé publique France : 80 000 données de contact piratées

Les faits

Un prestataire de Santé publique France a été victime d’une cyberattaque. Près de 80 000 données de contact ont été compromises, selon France Info, qui a révélé l’information. L’agence sanitaire a confirmé l’incident ce jeudi, précisant que la plateforme visée était « complètement indépendante des autres sites de l’agence », d’après Ouest-France.

Le site de recension de fuites de données French Breaches avait donné l’alerte mardi. « Un pirate affirme avoir compromis les données de près de 80 000 personnes », selon ce dernier. Santé publique France a ensuite confirmé.

Que contiennent exactement ces données ? Des coordonnées — noms, adresses email, numéros de téléphone. Rien de plus, selon les premières informations. Pas de données médicales. Pas de numéros de sécurité sociale. Mais assez pour nourrir des campagnes de phishing ou d’usurpation d’identité.

Le Parisien Faits Divers a de son côté publié un article sur une cyberattaque du fichier I-Cad, qui recense les animaux de compagnie. La coïncidence interroge : deux fuites de données en une semaine, l’une touchant la santé publique, l’autre les propriétaires de chats et chiens. Les sources divergent sur le lien éventuel entre ces deux incidents. France Info n’évoque pas le fichier I-Cad. Le Parisien ne mentionne pas Santé publique France. Les faits, pour l’instant, ne permettent pas de les relier.

Le contexte

Santé publique France, c’est l’agence nationale de santé publique. Elle centralise les données sanitaires, pilote les campagnes de vaccination, surveille les épidémies. Et elle confie certaines de ses plateformes à des prestataires privés. L’une d’elles a été piratée.

L’incident survient alors que les cyberattaques contre les institutions publiques se multiplient. Bloctel, la liste d’opposition au démarchage téléphonique, a récemment été victime d’une fuite de données juste avant sa fermeture — 3 millions de numéros de téléphone concernés, selon Le Figaro. Hôpitaux, collectivités locales, ministères : aucun secteur n’est épargné.

Le prestataire visé n’a pas été nommé. Les circonstances exactes de l’attaque restent floues. France Info indique que l’incident a été signalé aux autorités compétentes — sans préciser lesquelles. La CNIL a-t-elle été saisie ? Une enquête est-elle ouverte ? Les sources ne le disent pas.

Le traitement judiciaire

À ce stade, aucune information judiciaire n’a été communiquée. Santé publique France a confirmé l’attaque, mais n’a pas précisé si une plainte avait été déposée. Le parquet de Paris, compétent en matière de cybercriminalité, n’a pas fait de déclaration publique.

French Breaches, le site à l’origine de la révélation, n’est pas une source officielle. C’est un collectif de passionnés de cybersécurité qui recense les fuites de données. Leur fiabilité est reconnue dans le milieu — mais ils n’ont pas autorité pour enquêter.

Le pirate, lui, n’a pas été identifié. Son motif reste inconnu. Rançon ? Espionnage ? Simple vandalisme numérique ? Les enquêteurs, s’ils sont saisis, devront répondre à ces questions.

Ce que ça dit de la France

Ce fait divers, en apparence banal, révèle une tension profonde dans la société française. Notre rapport à la donnée personnelle est schizophrène. D’un côté, on exige de l’État qu’il numérise tout — santé, impôts, papiers d’identité. De l’autre, on s’étonne que ces données fuient.

La France a créé des dizaines d’agences publiques depuis 2000 — ARS, ANRU, ADEME, France Travail — sans jamais en supprimer une seule. Coût cumulé : environ 60 milliards d’euros par an, selon un rapport sénatorial de 2023. Santé publique France est l’une d’elles. Elle sous-traite une partie de ses systèmes à des prestataires privés. Qui contrôle ces prestataires ? À quelle fréquence sont-ils audités ? Les réponses, si elles existent, ne sont pas publiques.

Le problème n’est pas la sous-traitance en soi. C’est l’absence de cadre. L’État confie des données sensibles à des entreprises sans exiger de garanties proportionnées aux risques. Résultat : 80 000 personnes exposées. Et ce n’est que la dernière fuite en date.

La France est aussi l’un des pays où la cybercriminalité est la moins punie. Onze juges pour 100 000 habitants, contre 25 en Allemagne, selon le CEPEJ. Conséquence : 637 jours pour un procès civil en France, contre 190 outre-Rhin. Les pirates le savent. Ils savent que les chances d’être poursuivis, jugés et condamnés sont infimes. Le rapport coût-bénéfice penche en leur faveur. Voilà.

Et maintenant ? Les 80 000 personnes concernées vont recevoir des emails suspects. Certaines tomberont dans le piège. D’autres non. L’agence va probablement renforcer ses protocoles de sécurité. Le prestataire va changer de serrure numérique. Mais le problème de fond demeure — un État qui numérise sans sécuriser, qui sous-traite sans contrôler, qui punit sans dissuader.

Les faits sont têtus. La France dépense des milliards en agences et en prestataires. Mais quand il s’agit de protéger les données de ses citoyens, le système montre ses failles. Et ce n’est pas la dernière fois qu’on en parlera.

À suivre.