Le laboratoire de biologie médicale Novabio confirme avoir été victime d’un incident de cybersécurité sur son propre système informatique, avec une possible fuite de données médicales de patients. Dans une communication officielle publiée le 30 octobre 2026, l’entreprise reconnaît que des informations d’identité et de santé ont pu être compromises. Plus préoccupant encore, le laboratoire indique ne pas être en mesure d’identifier individuellement toutes les personnes potentiellement concernées. Trois jours plus tard, une seconde communication révèle un autre incident, cette fois chez Maileva, un prestataire informatique du groupe La Poste, concernant plusieurs laboratoires du groupe Inovie.
Novabio est un réseau de laboratoires de biologie médicale implanté principalement en Dordogne, mais également en Corrèze et dans le Lot-et-Garonne. Créée en 2007, la structure dispose de 21 sites ouverts au public et d’un plateau technique réalisant des examens destinés au diagnostic, au dépistage et au suivi médical des patients. Depuis la fin de l’année 2025, Novabio a rejoint le groupe français Inovie.
Une première cyberattaque directement sur le système qualité de Novabio
Dans une notification datée du 30 octobre 2026, Novabio révèle avoir subi, quelques mois auparavant, un incident de cybersécurité touchant son Système Qualité.
Ce système informatique intervient dans la gestion de la qualité des activités du laboratoire. Il peut notamment contenir des informations relatives aux réclamations de patients ou aux non-conformités constatées dans le cadre de son fonctionnement.
Novabio reconnaît que des données personnelles, y compris des informations médicales, peuvent avoir été divulguées à l’occasion de cet incident. Le laboratoire précise cependant que son système qualité ne contient pas de données de santé à grande échelle.
Les circonstances exactes de cette compromission ne sont pas détaillées. La date de l’attaque, le mode opératoire des cybercriminels et l’éventuelle exploitation d’une vulnérabilité informatique restent inconnus.
Des données de santé potentiellement compromises sans possibilité d’identifier les victimes
La particularité de cette affaire concerne la nature des informations susceptibles d’avoir été exposées.
Selon Novabio, les données potentiellement concernées comprennent :
- Des données d’identité de certains patients ;
- Des informations relatives à leur santé ;
- Des éléments présents dans des réclamations adressées au laboratoire ;
- Des informations pouvant figurer dans des dossiers de non-conformité.
Le laboratoire explique que ces données se trouvent dans un format non structuré, ce qui l’empêche de les extraire de manière fiable pour déterminer précisément les patients concernés et les contacter individuellement.
Cette situation complique considérablement l’évaluation des conséquences de l’incident. Contrairement à une base de données classique, dans laquelle les identités peuvent être identifiées et comptabilisées, des informations personnelles dispersées dans des documents ou des champs de texte libre nécessitent une analyse beaucoup plus complexe.
Novabio ne communique donc ni le nombre de patients potentiellement concernés ni le volume des informations susceptibles d’avoir été divulguées. Aucun élément public ne permet non plus d’affirmer que l’ensemble des documents du système qualité a été récupéré par des attaquants.
Le 2 novembre, une nouvelle fuite révélée chez le prestataire Maileva
Alors que Novabio vient de reconnaître son propre incident informatique, une seconde communication publiée le 2 novembre 2026 concerne cette fois Maileva, un prestataire spécialisé dans l’envoi et la gestion de courriers professionnels.
Maileva, marque de Docaposte appartenant au groupe La Poste, avait déjà été victime d’un incident de sécurité en septembre. Cyberattaque.org avait révélé cette affaire dès le 24 septembre 2026, après avoir obtenu une communication adressée aux clients du prestataire.
Retrouvez notre précédent article : Maileva, filiale de La Poste victime d’une cyberattaque.
Dans sa nouvelle publication, Novabio indique qu’un incident chez Maileva a entraîné une perte de confidentialité de données personnelles concernant certains patients de plusieurs laboratoires du groupe Inovie.
Les informations concernées sont les suivantes :
- Noms et prénoms des patients ;
- Adresses postales.
Le laboratoire précise qu’aucune donnée de paiement ni aucun mot de passe ne sont concernés par cet incident chez Maileva.
À ce stade, la liste des personnes potentiellement touchées n’a pas été établie. Novabio ne précise pas non plus combien de patients de son propre réseau pourraient figurer parmi les personnes concernées au sein du groupe Inovie.
Deux incidents différents, sans lien technique établi
Il est important de distinguer les deux incidents signalés par Novabio. Le premier concerne directement le système qualité du laboratoire, avec une possible exposition d’informations médicales. Le second touche un prestataire extérieur et porte sur des coordonnées personnelles utilisées dans le cadre de l’envoi de courriers.
Rien ne permet actuellement d’affirmer que les deux incidents ont été provoqués par les mêmes attaquants ou qu’ils reposent sur une vulnérabilité commune.
Dans le cas de Maileva, la dépendance à un service mutualisé explique comment une compromission extérieure peut avoir des conséquences sur plusieurs laboratoires appartenant à un même groupe.
Concernant son propre système qualité, Novabio ne précise pas si l’incident résulte d’un compte compromis, d’une vulnérabilité applicative ou d’une autre méthode d’intrusion.
Des informations médicales pouvant faciliter des escroqueries ciblées
La compromission potentielle de données de santé présente des risques particulièrement sensibles pour les patients.
Des cybercriminels pourraient exploiter des informations médicales ou administratives pour organiser des tentatives d’hameçonnage crédibles, en se faisant passer pour un laboratoire, un professionnel de santé, une assurance ou un organisme de sécurité sociale.
Ces informations pourraient également faciliter des tentatives d’usurpation d’identité ou des demandes frauduleuses de paiement.
Novabio recommande aux patients de redoubler de vigilance face aux courriers, emails et appels inhabituels, particulièrement lorsqu’ils demandent de transmettre des informations personnelles ou bancaires.
Aucune utilisation frauduleuse effective des informations potentiellement compromises n’est mentionnée dans les communications du laboratoire.
Novabio confirme avoir renforcé sa sécurité informatique
À la suite de l’incident affectant son système qualité, Novabio indique avoir mis en œuvre des mesures techniques afin de sécuriser les services, prestataires et infrastructures concernés.
Le laboratoire met également à disposition une adresse de contact dédiée, contact.cyber@novabio.fr, pour les personnes souhaitant obtenir davantage d’informations sur cet incident.
Concernant Maileva, Novabio assure coopérer avec le prestataire et avoir pris les mesures nécessaires. Il invite les patients à rester vigilants pendant les prochains mois.
En l’espace de quelques jours, Novabio a donc officiellement communiqué sur deux incidents de sécurité distincts, dont l’un concerne directement son propre système informatique et pourrait impliquer des données médicales. Si l’ampleur exacte des informations compromises reste inconnue, l’impossibilité d’identifier individuellement tous les patients potentiellement touchés constitue une difficulté majeure dans la gestion des conséquences de cette première cyberattaque.