Une revendication publiée sur un forum pirate le 11 août 2026
Un message publié le 11 août 2026 sur un forum pirate, repéré et analysé par le site spécialisé ZATAZ, revendique une intrusion visant une plateforme associée à Santé publique France, l'agence nationale de santé publique. La revendication est signée par un pirate identifié sous le pseudonyme « Cybernox », connu sous d'autres alias, qui affirme avoir agi avec deux complices : « artemis », présenté comme l'acteur principal de l'opération, et « don't call me ».
Le récit décrit une compromission obtenue non pas par l'exploitation d'un secret cryptographique ou d'une vulnérabilité complexe, mais par une faille de conception classique : un contrôle d'autorisation insuffisant côté serveur.
Une élévation de privilèges par manipulation de requête
Selon les éléments publiés par les attaquants, la page permettant de modifier un profil utilisateur transmettrait au serveur un champ définissant le rôle du compte. En interceptant cette requête — une technique classique d'attaque « man-in-the-browser » ou via proxy intercepteur — les pirates expliquent avoir remplacé le statut initial de l'utilisateur par un rôle administrateur.
Le point critique soulevé par la revendication : aucune vérification côté serveur n'aurait empêché cette modification. Les attaquants indiquent en outre que les rôles utilisables étaient visibles directement dans le code JavaScript chargé par l'interface. Ils auraient ainsi identifié une valeur correspondant à un administrateur Back Office — « ROLE_BO_ADMIN » — puis l'auraient injectée dans la requête. Une capture présentée dans le dossier montre effectivement une réponse structurée contenant ce champ, ce qui corrobore le scénario décrit sans toutefois suffire à en établir toutes les conditions exactes.
Il s'agit d'une vulnérabilité typique de la catégorie « Broken Access Control », classée en première position (A01) du Top 10 OWASP 2021, et déjà cinquième (A5) dans l'édition 2017. L'OWASP rappelle que ce type de faille permet à un attaquant « d'agir comme un utilisateur ou un administrateur, ou d'utiliser des fonctions privilégiées ». La prévention repose sur un principe simple : le contrôle d'accès ne doit être effectif que s'il est enforcé côté serveur, dans un code de confiance, et non côté client (JavaScript, champs cachés, cookies).
Des captures montrant un accès administrateur étendu
Les éléments transmis documentent une compromission présumée sérieuse. Plusieurs captures d'écran sont présentées comme preuves :
- Une fiche utilisateur Front Office contenant des informations d'identité et de contact ;
- La section « Gestion de la plateforme », avec des fonctions liées aux images, campagnes, courriels et textes de commandes ;
- Une bibliothèque d'images, dans laquelle apparaît un visuel nommé « trollface » représentant une tête de chat — ce qui pourrait correspondre à une modification effectuée après l'intrusion, une sorte de « signature » laissée par les attaquants.
L'élément le plus démonstratif concerne toutefois le système de messagerie transactionnelle. Une capture de l'espace administrateur montre le modèle d'un courriel de modification de mot de passe dont l'objet et le corps ont été modifiés pour inclure un message en anglais indiquant que la plateforme avait été piratée, et demandant à Santé publique France de corriger le problème. Une seconde capture montre qu'un courriel contenant ces ajouts est effectivement arrivé dans une boîte de réception.
Cette capacité à modifier un modèle de courriel transactionnel soulève un risque supplémentaire : diffusion de contenus non autorisés, altération de communications légitimes, voire exploitation de la confiance accordée aux messages de service envoyés par une institution publique.
80 682 enregistrements exfiltrés : un annuaire de professionnels de santé
Les données exfiltrées constituent ce qui ressemble essentiellement à un annuaire de professionnels de santé en France. Les attaquants présentent un échantillon contenant des informations personnelles détaillées sur une personne : identité, adresse postale, numéro de téléphone, adresse électronique et fonction.
Le volume total revendiqué est de 80 682 personnes et structures. La répartition par catégorie professionnelle, telle que documentée par ZATAZ, révèle l'ampleur de l'annuaire :
| Catégorie | Occurrences |
|---|---|
| Établissements de santé | 17 061 (29,5 %) |
| Services publics | 15 531 (26,8 %) |
| Établissements d'enseignement | 7 704 |
| Professions libérales / indépendants | 7 014 |
| Associations | 6 490 |
Ces cinq catégories concentrent près de 93 % des occurrences. Parmi les professions les plus représentées : 6 859 sages-femmes, plus de 9 000 médecins généralistes, 3 672 pharmaciens, 2 089 enseignants et 1 815 médecins spécialistes.
Du côté des structures, on compte 8 904 occurrences rattachées à des mairies, 4 346 à des hôpitaux, 4 332 à des lycées, 2 932 à des établissements publics et 2 796 à des centres de soins.
Côté adresses électroniques, Gmail domine avec 13 952 occurrences, devant Orange (7 352) et Wanadoo (5 360). Plusieurs domaines de l'Éducation nationale apparaissent également : ac-versailles.fr (465), ac-grenoble.fr (390), ac-toulouse.fr (361), ac-lille.fr (351), ac-lyon.fr (347).
La répartition géographique place Toulouse en tête avec 566 occurrences, devant Nantes (349), Strasbourg (320), Bordeaux (311), Montpellier (310) et Lille (301).
Si ces données ne constituent pas des dossiers médicaux, elles n'en restent pas moins préoccupantes. Comme le souligne Damien Bancal dans son analyse pour ZATAZ : « un mail, un téléphone, peuvent permettre des approches malveillantes loin d'être négligeables ». Ces informations pourraient alimenter des campagnes de phishing ciblé, de spear-phishing ou d'ingénierie sociale à l'encontre de professionnels de santé particulièrement crédules face à un message semblant provenir d'une institution légitime.
Des motivations présentées comme « activistes »
Les attaquants affirment ne pas vouloir provoquer « de guerre ou de destruction » et présentent l'opération comme une volonté d'alerter sur le niveau de protection numérique des services publics. Le pseudonyme « don't call me » s'interroge sur la facilité supposée avec laquelle le service aurait été compromis.
La publication contient également une référence à « Chat Control », le nom donné par ses détracteurs au projet de régulation européenne visant à détecter les contenus d'abus sexuels sur enfants dans les communications chiffrées — un texte vivement débattu pour ses implications en matière de vie privée. Des propos insultants dirigés contre les autorités accompagnent la revendication.
Ces déclarations renseignent sur la communication revendiquée par les auteurs, sans établir leurs motivations réelles ni leur identité. Le profil se rapproche davantage de celui de hacktivistes que de cybercriminels financièrement motivés, mais cette distinction n'enlève rien à la gravité de l'incident.
Un silence officiel pour l'instant
Au moment de la rédaction de cet article (12 août 2026), aucune communication officielle n'a été publiée par Santé publique France concernant cet incident. La page de presse de l'agence, mise à jour le 10 août 2026, ne mentionne que le lancement de l'étude CaniculePrev. Le site institutionnel continue de fonctionner normalement.
De même, la CNIL n'a pas publié de communication spécifique sur ce sujet dans ses actualités récentes. En vertu du RGPD, une violation de données personnelles doit être notifiée à la CNIL dans un délai de 72 heures après en avoir pris connaissance. Si l'incident est confirmé, Santé publique France devra non seulement notifier le régulateur, mais également informer les personnes concernées lorsque la violation présente un risque élevé pour leurs droits et libertés.
L'absence de communication à ce stade peut s'expliquer par plusieurs facteurs : l'agence peut être en phase de vérification et d'investigation interne, l'incident peut être en cours d'évaluation par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), ou les premières analyses peuvent ne pas avoir confirmé l'ampleur revendiquée. Il est également possible que la plateforme visée soit un sous-ensemble ou un service tiers associé à Santé publique France, dont l'analyse de l'impact exact nécessite du temps.
Un contexte de menaces intensifié sur le secteur santé français
Cette revendication s'inscrit dans un contexte particulièrement chargé pour la cybersécurité en France. Le site ZATAZ, dans ses publications des jours précédents, documente une intensité remarquable d'incidents cyber touchant le territoire :
- Le 8 août 2026, ZATAZ révélait la découverte de 1,7 milliard d'identifiants français (couples adresse électronique / mot de passe) stockés dans un cloud pirate, dont environ 69 % proviendraient de campagnes de phishing menées sur treize ans ;
- Le 11 août 2026, un phishing ciblant Ameli (l'Assurance Maladie) était signalé, utilisant des techniques de cloaking et de fausses boutiques IA pour qualifier de futures victimes ;
- Le 7 août 2026, le groupe de rançongiciels Qilin menaçait de publier des données volées au Stade français, avec des pièces d'identité déjà exposées ;
- ZATAZ recensait par ailleurs 43 revendications de rançongiciels ciblant la France en un seul mois, dominées par les groupes The Gentlemen et Qilin.
Le secteur de la santé est particulièrement exposé. Les hôpitaux français ont été la cible de nombreuses attaques par rançongiciels ces dernières années (Centre hospitalier de Villefranche-sur-Saône, CH d'Arles, CH de Concarneau, etc.), avec des conséquences opérationnelles majeures — annulation d'interventions, retour au papier, perturbation des services d'urgence. Une intrusion sur une plateforme de l'agence nationale de santé publique, même limitée à un annuaire, revêt une dimension symbolique forte.
Que faire si vous êtes un professionnel de santé concerné ?
Même en l'absence de confirmation officielle, les professionnels de santé dont les données pourraient figurent dans cet annuaire peuvent d'ores et déjà adopter plusieurs réflexes :
- Vigilance accrue face aux courriels : les attaquants disposent potentiellement de noms, fonctions, adresses postales, téléphones et courriels. Un phishing ciblé (spear-phishing) utilisant ces informations serait particulièrement crédible.
- Ne jamais cliquer sur un lien provenant d'un courriel inattendu, même si l'expéditeur semble légitime. Privilégier la saisie manuelle de l'URL.
- Vérifier les communications de Santé publique France via le site officiel (santepubliquefrance.fr) plutôt que via les liens contenus dans les courriels.
- Activer l'authentification à deux facteurs (2FA) sur tous les comptes professionnels et personnels lorsque l'option est disponible.
- Surveiller toute activité inhabituelle sur les comptes professionnels et personnels, et signaler immédiatement tout courriel suspect à l'équipe IT ou à la direction de l'établissement.
Une affaire à suivre
L'absence de confirmation officielle à ce stade invite à la prudence, mais les éléments présentés par les attaquants — captures d'écran, modification de modèles de courriels, échantillon de données — documentent une compromission présumée sérieuse qui mérite d'être prise en considération. La technique exploitée, une élévation de privilèges par manipulation de requête, est une vulnérabilité bien connue et référencée, ce qui renforce la crédibilité technique de la revendication.
La réponse de Santé publique France, de la CNIL et de l'ANSSI dans les prochains jours permettra de mesurer l'ampleur réelle de l'incident. En attendant, cet épisode rappelle que les plateformes des institutions publiques, y compris celles gérant des données de santé, doivent appliquer rigoureusement les principes fondamentaux de sécurisation des applications web — en particulier le contrôle d'accès côté serveur, qui reste la première cause de compromission selon l'OWASP.