ARS et services régionaux de santé : vol de données de patients

En septembre 2025, plusieurs services numériques régionaux de santé (GRADeS) ont révélé avoir été victimes d’une cyberattaque. En Normandie, le groupement Normand’e-Santé a découvert, début septembre, des accès illégitimes aux serveurs hébergeant les données d’identité des patients. L’Agence Régionale de Santé Normandie et son homologue des Hauts-de-France ont publié des communiqués officiels le 8 septembre 2025, confirmant l’incident et précisant que plusieurs régions étaient concernées à des degrés divers. Les attaques, échelonnées dans le temps, ont été menées grâce à l’usurpation d’identité de professionnels de santé, ce qui a permis aux assaillants d’accéder à des outils internes. Les comptes compromis ont été neutralisés.

Selon les autorités, l’intrusion s’est limitée à des données administratives et d’identité : nom, prénom, âge ou date et ville de naissance, et le cas échéant numéro de téléphone, adresse e-mail, voire dans de rares cas le numéro de sécurité sociale. Les ARS indiquent qu’aucune donnée contenue dans les dossiers médicaux structurés n’aurait été compromise. Des déclarations ont été adressées à la CNIL et des plaintes déposées auprès des autorités compétentes. Le principal risque pour les personnes concernées est l’hameçonnage ciblé.

Le nombre total de victimes n’a pas été confirmé officiellement. Une dizaine d’espaces numériques régionaux seraient touchés. En Normandie, les hôpitaux de Saint-Lô (1 107 personnes), Coutances (12) et Carentan (3) ont notifié environ 1 122 patients en février 2026. Le groupe DumpSec a revendiqué l’attaque et des données auraient ensuite ressurgi sur le dark web. Des chiffres très élevés (de l’ordre de plusieurs dizaines de millions de patients) circulent via des sites agrégateurs, mais ils ne sont pas étayés par les communications officielles et tendent à confondre cet incident avec d’autres affaires.

Il convient de distinguer cette attaque contre les services régionaux de santé d’un second incident, distinct mais parfois associé dans la presse : la compromission révélée fin février 2026 du logiciel MLM de l’éditeur Cegedim Santé, qui aurait exposé environ 15 millions de fiches administratives de patients de 1 500 médecins, également revendiquée par DumpSec. Les deux affaires partagent des points communs (secteur de la santé, acteur revendiqué) mais ne portent pas sur les mêmes systèmes ni le même périmètre.