Cybersécurité : la France dévoile son plan de guerre après 15 millions de dossiers médicaux volés

Le cabinet du docteur Masson, à Rennes, fait douze mètres carrés. Un bureau, un écran, une imprimante qui clignote. Ce matin de février 2026, une patiente demande si ses résultats d’analyses sont « quelque part sur Internet ». Le médecin ne sait pas quoi répondre. Il utilise le logiciel Cegedim depuis huit ans. Il vient d’apprendre que les données de 15 millions de patients ont été aspirées par des pirates. Les siennes, celles de ses 1 500 confrères connectés au même système. Il éteint l’écran. Il n’y a rien d’autre à faire.

Cegedim savait depuis octobre 2025. Les patients, eux, ont attendu le 27 février 2026.

LES ENJEUX

15 millions de dossiers médicaux dans la nature

Le piratage de Cegedim a exposé des données ultra-sensibles - pathologies psychiatriques, addictions, diagnostics de cancer - de millions de patients français.

2FA obligatoire pour les grandes bases de données

La CNIL impose la double authentification pour toute base dépassant 2 millions de personnes. 80 % des fuites massives auraient pu être évitées.

Démantèlement des marchés noirs

BreachForums et LeakBase ont été démantelés, avec des arrestations en France et dans 14 pays. Mais les forums renaissent systématiquement.

129 milliards de dollars de coût annuel

Le coût estimé des cyberattaques pour la France en 2024 atteint 129 milliards de dollars, selon Statista.

Stratégie nationale à 5 piliers

Le plan 2026-2030 cible la fermeture des sites obsolètes, le renforcement de l'ANSSI et la protection des collectivités et PME.

L’hémorragie en chiffres

Le piratage de Cegedim n’est pas un accident isolé. C’est le dernier épisode d’une série noire qui a transformé la France en passoire numérique. En 2024, la CNIL a recensé 5 629 violations de données personnelles - 20 % de plus qu’en 2023. Au premier trimestre 2025, le compteur affichait déjà 2 500 incidents. Le nombre de fuites dépassant le million de personnes a doublé en un an.

Free, SFR, France Travail, Auchan, le CNOUS, la Fédération française de gymnastique : la liste des organisations percées ressemble à un annuaire. 774 000 étudiants ici. 2,9 millions de licenciés là. 243 000 agents de l’Éducation nationale ailleurs. Selon le chercheur en sécurité Clément Domingo, les données de huit Français sur dix circulent désormais sur les marchés noirs.

Le coût estimé pour la France en 2024 : 129 milliards de dollars, selon Statista.

La traque des forums pirates

La réponse judiciaire a commencé avant la réponse politique. En février 2025, les enquêteurs français interpellent IntelBroker, un ressortissant britannique qui administrait temporairement BreachForums, l’un des plus grands supermarchés de données volées au monde. Il est placé en détention provisoire.

En juin 2025, le parquet de Paris frappe plus fort : quatre administrateurs du groupe ShinyHunters, le noyau dur de BreachForums, sont arrêtés sur le sol français. La procureure Laure Beccuau supervise l’opération. Puis en mars 2026, c’est LeakBase qui tombe - 142 000 membres, 215 000 messages échangés, une opération conjointe FBI-Europol mobilisant 14 pays.

Les forums renaissent. BreachForums est déjà revenu en ligne un mois après son premier démantèlement. Mais chaque coup de filet expose des milliers de pirates : 324 000 identités de cybercriminels ont fuité lors du piratage d’un de ces forums retourné contre ses propres utilisateurs.

Le bouclier : cinq piliers, une obligation

Le 29 janvier 2026, au Campus Cyber de Nouvelle-Aquitaine à Bordeaux, Anne Le Hénanff, ministre déléguée à l’IA et au Numérique, dévoile la stratégie nationale de cybersécurité 2026-2030. Cinq piliers. Quatorze objectifs. Roland Lescure, ministre de l’Économie, cosigne le document.

Le volet le plus concret vient de la CNIL. Le 29 avril 2025, sa présidente Marie-Laure Denis a annoncé que la double authentification deviendrait obligatoire pour toute base de données dépassant deux millions de personnes. Son argument tient en un chiffre : 80 % des fuites massives auraient pu être évitées avec la 2FA. Chez Cegedim, au moment du piratage, seuls 70 % des comptes disposaient d’une authentification forte.

La stratégie prévoit aussi la fermeture des sites publics obsolètes, le durcissement des sanctions pour les entreprises négligentes, et le renforcement des capacités de l’ANSSI. Les collectivités territoriales et les PME, cibles privilégiées des attaquants, sont placées en première ligne des contrôles.

Le retard français

Le plan arrive après la catastrophe, pas avant. L’Estonie chiffre les dossiers médicaux de ses citoyens depuis 2008. La France en est encore à convoquer Cegedim à Bercy pour comprendre comment 165 000 notes médicales ultra-sensibles - pathologies psychiatriques, addictions, diagnostics de cancer - se sont retrouvées en vente libre.

Les contrôles massifs de la CNIL sur la 2FA commenceront en 2026. Les entreprises qui ne se conforment pas s’exposent à des sanctions. Mais pour les 15 millions de patients dont les données circulent déjà, il n’existe pas de bouton « annuler ».

Au cabinet du docteur Masson, l’écran est toujours éteint. La patiente est partie. La lettre de la CNIL n’est pas encore arrivée.