Depuis 2021, le secteur hospitalier français subit une vague continue de cyberattaques. CHU, hôpitaux privés et même agences régionales de santé (ARS) ont été touchés, avec une intensité qui ne faiblit pas. Entre ransomware, exfiltration de données et revente sur des forums cybercriminels, les établissements de santé affrontent des adversaires organisés et bien financés.

L’Agence du Numérique en Santé (ANS) a recensé 581 incidents informatiques en 2023-2024 dans les hôpitaux et établissements médico-sociaux, dont près de la moitié étaient des cyberattaques. Ce panorama revient sur les incidents marquants recensés depuis 2023, le cadre légal applicable et les conséquences concrètes pour les patients.

Les incidents majeurs recensés dans les hôpitaux français

Un point commun relie la plupart de ces attaques : les cybercriminels ne s’attaquent pas toujours au cœur du dossier patient informatisé. Ils exploitent souvent des logiciels périphériques, comme la gestion des repas ou la téléconsultation, moins surveillés mais tout aussi riches en données personnelles.

CHU de Rennes (2023) : 300 Go exfiltrés par le groupe BianLian

Le CHU de Rennes a été victime d’une cyberattaque le 21 juin 2023, avec une exfiltration de données confirmée par l’ARS Bretagne. Le cybergang BianLian a ensuite publié les données volées à partir du 28 juillet 2023, pour un volume estimé à 300 Go.

Parmi les informations diffusées figuraient des numéros de sécurité sociale et des bulletins de salaire du personnel. Ce type de publication publique vise à faire pression sur l’établissement, la fuite servant de levier de négociation en plus du chiffrement des systèmes.

AP-HP (octobre 2026) : 1 015 patients touchés via un logiciel de repas

L’AP-HP (Assistance publique – Hôpitaux de Paris), premier CHU d’Europe, a été alertée le 24 septembre 2026 de la vente sur un forum cybercriminel de données issues d’un logiciel de gestion des repas. Dans un communiqué mis à jour le 7 octobre 2026, elle a confirmé le vol des données d’identité de 1 015 patients.

Les données compromises proviennent du logiciel SRD Restauration, édité par la société Dedalus et utilisé dans 23 hôpitaux du groupe. Le périmètre volé inclut noms, prénoms, informations relatives à la naissance et identifiants internes des patients, sans donnée médicale ni bancaire. L’AP-HP a désactivé le service en ligne de commande des repas par précaution et déposé plainte.

Hôpital Simone Veil de Cannes et Hôpital d’Armentières : des centaines de milliers de dossiers diffusés

En avril 2024, l’hôpital Simone Veil de Cannes a subi une attaque exposant 61 gigaoctets de données par un groupe de hackers. Quelques mois plus tôt, en février 2024, l’hôpital d’Armentières vivait un scénario plus lourd : les dossiers médicaux de plus de 950 000 patients ont été diffusés sur le dark web, avec plus de 18 Go de données publiées incluant des antécédents médicaux et des documents datant depuis 2014.

La liste ne s’arrête pas là. L’Hôpital privé de la Loire (Saint-Étienne) a vu les données médicales de 40 patients exposées, tandis que le pirate revendiquait posséder 530 000 dossiers de patients et 45 000 cartes d’identité. Un e-mail a été envoyé à plus de 126 000 patients concernés pour les informer du piratage.

Plus récemment, le Centre hospitalier intercommunal de Haute-Comté à Pontarlier (Doubs) a été touché par un ransomware de type cryptolocker le 19 octobre 2025 vers 3 heures du matin, contraignant le personnel à revenir au papier. Fin 2025, le logiciel MLM édité par Cegedim Santé, utilisé par 3 800 médecins libéraux, a également été ciblé, concernant environ 15 millions de patients dont 164 000 avec des données qualifiées de sensibles. En novembre 2025, la plateforme MédecinDirect a été piratée, avec vol de données à caractère personnel et de santé incluant noms, numéros de sécurité sociale et historiques de consultations. La Région Hauts-de-France, via ses prestataires Atexo et Docaposte, a été touchée de son côté, affectant près de 545 000 personnes selon une annonce du 5 octobre 2026 du président Xavier Bertrand.

Pourquoi les hôpitaux sont des cibles privilégiées des cybercriminels

Dans un rapport de novembre 2024, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) décrit le secteur de la santé comme une cible de choix pour des acteurs de la menace opérant à des fins lucratives, de déstabilisation ou d’espionnage.

Les motivations sont multiples. Les données de santé se revendent cher sur les marchés clandestins : elles permettent des fraudes complexes que les simples identifiants bancaires ne permettent pas. Un historique médical peut servir de matière à du chantage ciblé, y compris sur des patients sensibles. Enfin, l’arrêt des systèmes d’un hôpital met des vies en jeu, ce qui pousse les établissements à payer rapidement pour restaurer leur activité.

Le second facteur est structurel. Les établissements de santé gèrent un parc applicatif hétérogène : logiciels de restauration, téléconsultation, imagerie, facturation, dossier patient. Chaque brique interconnectée est une porte d’entrée potentielle, et les logiciels périphériques sont souvent moins durcis que le système central.

Deux articles du RGPD structurent la réponse légale à une fuite. L’article 33 impose une notification à la CNIL dans un délai de 72 heures après la prise de connaissance d’une violation de données, sauf absence de risque pour les personnes concernées. L’article 34 impose, en cas de risque élevé pour les droits et libertés des personnes, une information directe des personnes concernées, distincte de la notification à la CNIL.

Cette distinction est déterminante dans la hiérarchie des risques. Un vol de données d’identité simple (nom, prénom, date de naissance) constitue un risque plutôt modéré : il expose au phishing et à l’usurpation. Un vol de dossier médical complet représente un risque élevé au sens du RGPD, avec des conséquences plus graves et des obligations renforcées pour l’établissement.

Plusieurs acteurs interviennent à des niveaux distincts. La CNIL contrôle la conformité et sanctionne les manquements. L’ANSSI gère la dimension étatique de la cybersécurité et publie l’analyse des menaces. Enfin, l’Agence du Numérique en Santé (ANS) héberge le CERT Santé, sa cellule d’expertise dédiée au secteur sanitaire et médico-social, qui centralise les signalements d’incidents hospitaliers et accompagne les établissements dans leur gestion de crise. C’est cette agence qui tient le recensement des incidents, comme les 581 incidents relevés en 2023-2024.

Conséquences pour les patients et comment réagir en cas de fuite

Si vous recevez un courrier ou un e-mail vous informant que vos données ont été compromises, plusieurs réflexes s’imposent. Les démarches concrètes sont rarement expliquées, alors qu’elles conditionnent votre protection.

  • Surveillez vos comptes bancaires pendant plusieurs mois : des données d’identité couplées à un numéro de sécurité sociale peuvent servir à des ouvertures de comptes frauduleuses.
  • Soyez vigilant face au phishing : les attaquants peuvent utiliser vos informations de santé réelles pour rendre leurs messages crédibles. Un e-mail qui mentionne votre vrai historique d’hospitalisation n’est pas pour autant légitime.
  • Exercez votre droit d’opposition auprès de la CNIL si vous estimez que le traitement de vos données présente un risque, ou saisissez la CNIL en cas de manquement de l’établissement.
  • Conservez la notification reçue : elle peut servir de pièce justificative en cas de fraude ultérieure ou d’action collective.

Le niveau de vigilance dépend de la nature des données. Pour un vol limité aux identités, une surveillance renforcée suffit généralement. Pour un dossier médical complet diffusé publiquement, le risque de chantage et de discrimination (assurance, emploi) impose une vigilance de longue durée.

Comment les établissements de santé renforcent leur cybersécurité

Les financements ont suivi les attaques. La stratégie nationale de cybersécurité pour les établissements de santé et médico-sociaux a été dotée d’une enveloppe de 350 millions d’euros, dont 25 millions pour des audits de cybersécurisation. Dans le cadre du plan France Relance, l’ANSSI a par ailleurs reçu une enveloppe de 136 millions d’euros pour la période 2021-2022 afin de renforcer la cybersécurité de l’État et des territoires.

Le coût réel d’une attaque reste cependant bien supérieur à ces investissements préventifs pris isolément. Le Centre hospitalier de Dax a dû débourser près de 2,3 millions d’euros en 2021 après une cyberattaque, uniquement pour refondre son système informatique, sans compter les rançons potentielles et les pertes d’exploitation.

Concrètement, les établissements avancés segmentent leur réseau pour isoler les logiciels périphériques, durcissent l’authentification de leurs prestataires et édicte des plans de continuité sur papier. Car une attaque réussie ne se termine pas par un simple paiement : la reconstruction du système d’information, comme à Dax, représente souvent le poste de coût le plus lourd.

Malgré ces centaines de millions débloqués, les attaques se poursuivent : les incidents recensés de 2023 à 2026 montrent que la lutte est continue. L’enjeu pour les CHU n’est plus d’empêcher toute intrusion, mais de limiter la propagation et de détecter les exfiltrations avant leur publication.

Questions fréquentes

Qu'est-ce qu'une fuite de données dans un CHU et comment est-elle détectée ?
Une fuite de données dans un CHU est l'exfiltration illégale de données patients ou personnel vers des systèmes contrôlés par des cybercriminels. Elle est souvent détectée lors de l'analyse d'une attaque par ransomware, ou lorsque les données apparaissent en vente sur un forum du dark web, comme ce fut le cas pour l'AP-HP en 2026.
Quelles données personnelles sont généralement volées lors d'une cyberattaque hospitalière ?
Selon les incidents, les attaquants volent des identités simples (nom, prénom, date de naissance) ou des dossiers médicaux complets incluant antécédents et documents. Au CHU de Rennes, des numéros de sécurité sociale et des bulletins de salaire ont été publiés. À l'AP-HP, seules des données d'identité sans informations médicales ont été compromises.
Quel est le délai légal pour notifier la CNIL après une violation de données de santé ?
L'article 33 du RGPD impose une notification à la CNIL sous 72 heures après la prise de connaissance de la violation, sauf absence de risque pour les personnes. En cas de risque élevé, l'article 34 impose en plus une information directe des personnes concernées, distincte de la notification à la CNIL.
Que risque un patient dont les données ont fuité lors d'une cyberattaque de CHU ?
Un vol d'identité simple expose surtout au phishing et à l'usurpation d'identité, avec un risque modéré. Un vol de dossier médical complet présente un risque élevé : chantage, discrimination à l'embauche ou à l'assurance. Il est recommandé de surveiller ses comptes bancaires et de signaler tout usage frauduleux.
Quels CHU ou hôpitaux français ont été victimes de cyberattaques récemment ?
Parmi les incidents marquants : le CHU de Rennes (juin 2023), l'hôpital d'Armentières (février 2024), l'hôpital Simone Veil de Cannes (avril 2024), le Centre hospitalier intercommunal de Haute-Comté à Pontarlier (octobre 2025) et l'AP-HP, touchée via son logiciel de restauration avec des données de 1 015 patients confirmées en octobre 2026.
Comment un hôpital peut-il se protéger contre le piratage de ses données ?
Les protections clés incluent la segmentation du réseau pour isoler les logiciels périphériques (restauration, téléconsultation), l'authentification renforcée des accès prestataires, des audits de cybersécurisation et des sauvegardes hors ligne. L'État a dédié 350 millions d'euros à la stratégie nationale de cybersécurité des établissements de santé et médico-sociaux.