Une plateforme utilisée par Santé publique France pour la commande de supports de prévention a été victime d’une cyberattaque. Près de 80 000 personnes sont concernées par cette fuite, qui porte sur des coordonnées personnelles mais n’implique, selon l’agence sanitaire, aucune donnée de santé.
Santé publique France a confirmé avoir été touchée indirectement par un nouvel incident informatique. L’attaque concerne moncoupon.santepubliquefrance.fr, une plateforme permettant de commander en ligne des documents et différents supports associés aux campagnes de prévention de l’agence.
Le service est hébergé et géré par un prestataire extérieur. Santé publique France précise qu’il fonctionne indépendamment de ses autres sites, ce qui limite le périmètre de l’incident.
Des adresses, e-mails et numéros de téléphone concernés
La base de données compromise contient les informations nécessaires à l’envoi des produits commandés sur la plateforme. Des adresses électroniques et postales ainsi que des numéros de téléphone de contact sont ainsi susceptibles d’avoir été exposés.
En revanche, Santé publique France assure qu’aucune donnée médicale ne figure dans cette base. L’incident ne concernerait donc pas les informations de santé des personnes touchées.
L’affaire avait été signalée mardi par French Breaches, un site spécialisé dans le recensement des fuites de données en France. Selon celui-ci, un pirate affirmait avoir récupéré les informations concernant près de 80 000 personnes. Interrogée par l’AFP, Santé publique France a ensuite confirmé le nombre de personnes concernées.
La plateforme placée en maintenance
Après avoir été informée de l’attaque, l’agence sanitaire a fait placer la plateforme en maintenance. L’ensemble des mots de passe associés au service ont également été supprimés par mesure de précaution.
Comme le prévoit la réglementation en matière de protection des données personnelles, Santé publique France a par ailleurs signalé la violation à la Commission nationale de l’informatique et des libertés (Cnil).
Les équipes de l’agence et celles du prestataire travaillent désormais au rétablissement du service. Santé publique France indiquait jeudi que la résolution de l’incident devait intervenir dans la matinée.
Cette nouvelle fuite rappelle les risques liés aux prestataires informatiques auxquels les organismes publics et les entreprises confient une partie de leurs services numériques. Même lorsqu’un système principal n’est pas directement compromis, une attaque contre un service externe peut suffire à exposer les informations personnelles de plusieurs dizaines de milliers d’utilisateurs.