Santé publique France : 80 000 partenaires exposés par une élévation de privilèges

Le 11 août 2026, une revendication publiée sur un forum cybercriminel a fait état de l’extraction des données de près de 80 000 professionnels et structures partenaires de Santé publique France. L’agence nationale de santé publique s’appuie sur une plateforme de gestion de ces partenaires, et c’est cet applicatif qui aurait été visé.

Le mode opératoire décrit est d’une banalité qui interpelle : un défaut de contrôle d’autorisation côté serveur aurait permis à un compte utilisateur ordinaire de basculer sur un profil administrateur, sans exploitation technique sophistiquée. Cette classe de vulnérabilité, connue sous le nom d’élévation de privilèges par contrôle d’accès défaillant, figure depuis des années en tête des classements de risques applicatifs, et reste l’une des plus faciles à détecter lors d’un audit comme lors d’une attaque opportuniste.

Les données décrites relèvent de l’annuaire professionnel plutôt que du dossier médical : nom et prénom, adresse postale, code postal et ville, numéro de téléphone, adresse e-mail, type de structure, nom de l’organisme et catégorie professionnelle. Aucune donnée de santé de patients n’apparaît dans le périmètre revendiqué. Le risque principal porte donc sur l’hameçonnage ciblé visant des professionnels et des structures identifiés comme partenaires d’une agence sanitaire nationale, un contexte qui confère une crédibilité immédiate à un faux message institutionnel.

Le statut retenu est « alléguée » : Santé publique France n’a pas communiqué publiquement à la date de rédaction, et ni le périmètre exact ni l’étendue réelle de l’accès obtenu n’ont été vérifiés de façon indépendante. L’un des auteurs, actif sous le pseudonyme « Cybernox », est le même que celui ayant revendiqué quelques jours plus tôt la fuite visant Bloctel, dont la DGCCRF a depuis confirmé la réalité.