Une cyberattaque visant une plateforme associée à Santé publique France est revendiquée ce 11 août 2026. Les attaquants Cybernox et deux complices affirment être parvenus à obtenir des droits administrateur puis à accéder à une fonction permettant d’exporter les utilisateurs de la plateforme.
Selon la revendication, la fuite pourrait concerner près de 80 000 personnes. Les données visibles sont principalement personnelles et professionnelles : identités, coordonnées, organismes de rattachement et catégories professionnelles.
Santé publique France, l’agence nationale de santé publique
Santé publique France est l’agence nationale chargée notamment de la surveillance de l’état de santé de la population, de la veille sur les risques sanitaires, de la prévention et de l’alerte. Créée en 2016, elle est issue du regroupement de plusieurs organismes publics spécialisés dans la veille, la prévention et la réponse aux urgences sanitaires.
Les éléments publiés semblent toutefois concerner une plateforme de gestion de professionnels et de structures partenaires. Rien ne permet à ce stade d’affirmer que des bases contenant des dossiers médicaux ou des données de patients ont été compromises.
Une faille aurait permis de devenir administrateur
Les attaquants décrivent une élévation de privilèges particulièrement simple. Selon leur récit, le serveur ne vérifiait pas correctement qu’un utilisateur était autorisé à modifier le rôle associé à son propre compte.
En modifiant ce paramètre lors d’une opération légitime de gestion du compte, ils affirment avoir réussi à passer d’un profil utilisateur classique à un profil disposant de droits administrateur. Les rôles disponibles auraient par ailleurs été exposés dans le fonctionnement côté navigateur de l’application.
Il s’agirait donc d’un défaut de contrôle d’autorisation côté serveur : l’application accepterait une modification sensible sans vérifier suffisamment que le compte à l’origine de la requête possède les permissions nécessaires.
Une interface permettant d’exporter les utilisateurs
Une fois les privilèges élevés, les attaquants affirment avoir eu accès à une interface d’administration proposant notamment la gestion des utilisateurs Front Office et Back Office, des structures, des campagnes et une fonction d’export des utilisateurs.
Cette dernière fonctionnalité pourrait expliquer comment un volume important de données a pu être récupéré sans avoir besoin de compromettre directement une base de données sous-jacente.
Noms, adresses, téléphones et professions exposés
Les données publiées montrent des fiches permettant d’identifier directement les personnes et leur environnement professionnel. Les informations concernées comprennent notamment :
- nom et prénom ;
- adresse postale, code postal et ville ;
- numéro de téléphone ;
- adresse e-mail ;
- type de structure ;
- nom de l’organisme ou de la structure ;
- catégorie ou fonction professionnelle.
L’exemple publié concerne notamment une personne rattachée à une structure de service public et à une activité du secteur social. Nous ne reproduisons aucune des coordonnées personnelles présentes dans les données.
Des professionnels et partenaires plutôt que des patients
Les éléments disponibles orientent davantage vers une base de professionnels, collectivités, organismes sanitaires, sociaux ou partenaires de Santé publique France que vers une base médicale.
Cette distinction est importante : aucune donnée de santé, diagnostic, dossier patient ou numéro de Sécurité sociale n’apparaît dans les éléments actuellement publiés. Le risque porte surtout sur l’identification des professionnels et sur la cartographie des organismes avec lesquels ils travaillent.
Un risque élevé de phishing ciblé
La combinaison de l’identité, du téléphone, de l’e-mail, de l’adresse et de la fonction professionnelle peut être particulièrement utile pour mener des campagnes d’ingénierie sociale. Un attaquant peut connaître l’organisme d’une personne et adapter précisément son scénario de fraude.
Les organismes sanitaires et sociaux présents dans la base pourraient également être ciblés directement par des messages se faisant passer pour Santé publique France, un partenaire institutionnel ou un professionnel déjà connu.
Le périmètre exact reste à confirmer
À ce stade, il s’agit d’une cyberattaque revendiquée et non confirmée officiellement par Santé publique France. Les éléments publiés montrent une interface présentée comme un espace d’administration ainsi que des données personnelles et professionnelles cohérentes avec la revendication.
Le chiffre de près de 80 000 personnes, le fonctionnement exact de la vulnérabilité et l’étendue réelle de l’accès obtenu restent néanmoins à confirmer. Rien ne permet pour l’instant d’étendre cette compromission à l’ensemble du système d’information de Santé publique France.