SDIS des Pyrénées-Orientales : bilans de secourisme de personnes secourues volés sur le serveur d'un prestataire, 118 892 enregistrements revendiqués

Le 29 septembre 2026, le service départemental d’incendie et de secours des Pyrénées-Orientales (SDIS 66) a été victime d’un vol de données sur l’un des serveurs de l’établissement, maintenu par son prestataire technique, où se trouvaient des bilans de secourisme, c’est-à-dire les documents établis lors de la prise en charge de victimes et de leur transport vers les urgences. Le lendemain, un acteur de pseudonyme « Syrv4x » a revendiqué sur un forum cybercriminel 118 892 enregistrements liés à des interventions et 99 108 documents et images, proposés à la vente. Le SDIS a confirmé le vol dans un communiqué relayé par ICI le 1er octobre, puis par France 3 Occitanie le 2 octobre, qui ajoute qu’une plainte a été déposée et que l’ANSSI et la CNIL ont été informées.

Le point délicat tient à l’écart entre ce que le service reconnaît et ce que l’acteur affirme. Le SDIS confirme le vol et la nature des documents, mais n’a communiqué ni le nombre de personnes ni le volume exact. Les 118 892 enregistrements et les 99 108 documents sont des chiffres d’attaquant que trois observatoires reprennent depuis la même publication : Cyberattaque.org juge les échantillons cohérents, ce qui ne vérifie pas le volume total, et FrenchBreaches rappelle que les décomptes par champ ne s’additionnent pas. Le prestataire n’étant pas nommé, l’hypothèse d’un fournisseur commun avec d’autres établissements reste ouverte, sans élément pour la trancher. Cet incident se distingue en revanche de la vague de fin août 2026 contre cinq autres SDIS : le pseudonyme diffère, les données ne sont pas des annuaires d’agents mais des dossiers de personnes secourues, elles sont mises en vente, et aucune source consultée ne relie les deux épisodes.

Les personnes concernées sont des victimes secourues, lors d’interventions qui peuvent porter sur des accidents, des malaises ou des tentatives de suicide, et qui n’ont avec le service aucune relation choisie : elles n’ont rien souscrit, n’ont pas confié leurs données de plein gré et ne peuvent pas s’en protéger en résiliant un abonnement. D’après les observatoires, les fichiers associeraient l’identité, la date de naissance, le lieu et les horaires d’intervention, les notes des secouristes, des paramètres médicaux, l’établissement hospitalier de destination et des pièces jointes : cartes d’identité, cartes Vitale (qui portent le numéro de Sécurité sociale), ordonnances, comptes rendus et photographies, dont certaines montreraient des blessures graves. Le risque principal est l’exposition de situations de santé intimes, rattachées à une identité et à une adresse. S’y ajoute l’escroquerie ciblée : connaître le jour, le lieu et la nature d’une intervention permet de se présenter de façon très crédible comme un faux organisme de remboursement ou un faux assureur auprès de personnes affaiblies, tandis que les copies de pièces d’identité ouvrent la voie à l’usurpation.

Le SDIS a réagi dans les jours qui ont suivi la revendication, mais sa communication reste partielle. Il indique avoir pris des mesures conservatoires pour protéger ses infrastructures et garantir la continuité des secours, et France 3 rapporte une cellule de crise dès le mercredi soir, une plainte et un signalement à l’ANSSI et à la CNIL. Selon ICI, le système de transmission des documents a été bloqué, les fiches sont rédigées à la main et transmises par radio, et les personnes potentiellement concernées doivent être informées. Au 8 octobre 2026, la page d’accueil du site du SDIS ne mentionnait pas l’incident, et ni le nombre de personnes, ni la nature exacte des données, ni le nom du prestataire n’avaient été communiqués.

Les personnes prises en charge par les sapeurs-pompiers des Pyrénées-Orientales (et, selon Fuites Infos, dans quelques communes de l’Ariège et de l’Aude) ont intérêt à attendre l’information individuelle promise par le SDIS. Il convient de se méfier de tout appel, SMS ou courriel invoquant une intervention de secours, un remboursement, un assureur ou une mutuelle, même lorsqu’il cite des informations exactes, de ne jamais communiquer de code reçu par SMS, de mot de passe ou de coordonnées bancaires, et de passer par son compte Ameli ou son espace adhérent en cas de doute. Il est utile de surveiller les courriers inhabituels (crédit, abonnement, contrat), de porter plainte en conservant le récépissé en cas d’usurpation, et de se tourner vers cybermalveillance.gouv.fr, qui accompagne gratuitement les victimes.