Cyberattaque chez Santé publique France : les données de contact de 80 000 usagers piratées
L’agence nationale Santé publique France fait face à une violation de données touchant l’un de ses prestataires. Environ 80 000 personnes sont concernées. Si aucune information médicale n’aurait été compromise, les coordonnées dérobées peuvent être exploitées lors de campagnes d’hameçonnage particulièrement crédibles.
Une plateforme de prévention ciblée
L’incident concerne le site moncoupon.santepubliquefrance.fr, une plateforme permettant de commander des brochures et d’autres documents associés aux campagnes nationales de prévention.
Le service est administré par un prestataire extérieur, dont le système fonctionne indépendamment des autres sites de Santé publique France. Cette attaque illustre néanmoins la vulnérabilité des sous-traitants auxquels les organismes publics confient certaines informations personnelles.
D’après les informations communiquées par l’agence et rapportées par Capital, la violation concerne les données de 80 000 utilisateurs.
Quelles informations ont été compromises ?
La base exposée contenait uniquement les coordonnées utilisées pour acheminer les documents commandés :
- les adresses électroniques ;
- les adresses postales ;
- les numéros de téléphone de contact.
Santé publique France précise qu’aucune donnée de santé, aucun diagnostic et aucun numéro de Sécurité sociale ne figuraient dans cette base. Il convient donc d’éviter de présenter cet incident comme un vol de dossiers médicaux.
Cette distinction est essentielle, car les données médicales nécessitent une protection renforcée. Les coordonnées dérobées restent toutefois suffisamment précises pour permettre la création de faux messages personnalisés.
Le risque principal : des messages frauduleux crédibles
Les personnes concernées pourraient recevoir des courriels ou des SMS usurpant l’identité de Santé publique France, de l’Assurance maladie ou d’une autre institution sanitaire.
Les fraudeurs peuvent utiliser une véritable adresse postale ou un numéro de téléphone pour mettre leur interlocuteur en confiance. Ils tenteront ensuite de récupérer un mot de passe, des coordonnées bancaires ou des informations médicales sous prétexte de confirmer une commande, un remboursement ou une campagne de prévention.
Cette menace doit être prise au sérieux alors que les pouvoirs publics développent de plus en plus leurs communications sanitaires par courrier électronique ou SMS.
Comment protéger ses comptes ?
Après la découverte de l’incident, la plateforme a été placée en maintenance. Les mots de passe associés au service ont également été supprimés par mesure de sécurité et Santé publique France a signalé la violation à la CNIL.
Si vous possédiez un compte sur cette plateforme, appliquez ces précautions :
- Changez immédiatement votre mot de passe sur les autres sites où vous utilisiez le même identifiant.
- Activez la double authentification lorsqu’elle est proposée.
- Ne cliquez pas sur les liens reçus dans un message évoquant cette cyberattaque.
- Accédez directement au site officiel de l’organisme concerné.
- Ne communiquez jamais vos informations bancaires par téléphone, courriel ou SMS.
- Conservez les messages suspects afin de pouvoir les signaler.
La CNIL rappelle qu’une fuite de données peut alimenter des tentatives d’hameçonnage pendant plusieurs mois. La vigilance doit donc se prolonger bien après l’annonce de l’incident.