Selon FrenchBreaches, l'Assurance Maladie a rendu publiques ses conclusions ce 3 juin 2026 concernant les allégations de compromission du Dossier Médical Partagé (DMP), écartant toute preuve d'une extraction massive de données. L'organisme public précise avoir mené des investigations approfondies via ses équipes de cybersécurité, sans identifier d'accès non autorisé à grande échelle. Cette annonce intervient dans un contexte marqué par plusieurs cyberincidents majeurs ayant touché le secteur de la santé en France, dont la récente cyberattaque contre Almerys.

Ce qu'il faut retenir

  • L'Assurance Maladie affirme n'avoir détecté aucune extraction massive de données du DMP ni des comptes ameli, malgré les revendications publiées sur des forums cybercriminels.
  • Un professionnel de santé a été victime d'une usurpation d'identité en mars 2026, mais son accès a été bloqué rapidement grâce aux dispositifs de contrôle.
  • Le second professionnel mentionné dans la revendication ne se serait jamais connecté au DMP, selon les vérifications de l'Assurance Maladie.
  • La cyberattaque contre Almerys a confirmé l'exposition de plus de 44 millions de lignes de données, dont 15 millions de numéros de sécurité sociale.
  • L'Assurance Maladie annonce saisir la justice pour faire la lumière sur l'origine des revendications concernant le DMP, estimant avoir subi un préjudice d'image.
  • Les données évoquées dans les revendications incluaient des noms, prénoms, dates de naissance, numéros de sécurité sociale, adresses et IBAN, suscitant des craintes de fraudes potentielles.

Une série de cyberincidents alerte le secteur de la santé

En l'espace de quelques semaines, le secteur de la santé français a été ébranlé par plusieurs cybermenaces particulièrement médiatisées. Après la cyberattaque confirmée contre Almerys, opérateur majeur du tiers payant santé, une revendication publiée sur un forum cybercriminel a également ciblé le Dossier Médical Partagé (DMP), service public intégré à l'écosystème Mon espace santé. Ces événements soulèvent des questions sur la sécurité des données sensibles gérées par les organismes publics et privés du secteur.

Almerys confirme une fuite de données majeure, mais sans équivalent pour le DMP

D'après FrenchBreaches, Almerys a officiellement reconnu avoir été victime d'une cyberattaque entraînant l'exposition de données personnelles. Selon les éléments communiqués, plus de 44 millions de lignes de données seraient concernées, dont 15 millions de numéros de sécurité sociale. Par ailleurs, 670 organismes de santé, mutuelles ou complémentaires pourraient être impactés. Les données potentiellement exposées incluent des noms, prénoms, dates de naissance, numéros de sécurité sociale, numéros d'adhérent, informations de mutuelle, contrats et périodes de couverture, ainsi que des données liées aux ayants droit.

Les revendications sur le DMP contestées par l'Assurance Maladie

Quelques jours après l'incident d'Almerys, une publication anonyme sur un forum cybercriminel a revendiqué l'accès à des données issues du DMP. L'auteur affirmait que plus de 34 millions de personnes seraient concernées, avec 80 % des enregistrements contenant un numéro de sécurité sociale et entre 30 et 40 % un IBAN. La publication évoquait également l'exploitation d'une vulnérabilité de type IDOR (Insecure Direct Object Reference) et l'utilisation d'identifiants e-CPS de professionnels de santé. Cependant, l'Assurance Maladie a fermement contesté ces allégations.

Dans un communiqué publié le 3 juin 2026, l'organisme a déclaré : « Aucune extraction massive de données du DMP n'a été constatée. Aucun accès massif aux données des assurés n'a été identifié. Les mécanismes de surveillance ont détecté et bloqué rapidement les usages anormaux ». L'Assurance Maladie a également précisé qu'un professionnel de santé avait bien été victime d'une usurpation d'identité en mars 2026, mais que son accès avait été suspendu sans délai. Le second professionnel mentionné dans la revendication ne se serait, quant à lui, jamais connecté au DMP.

Qu'est-ce qu'une faille IDOR et pourquoi ces allégations inquiètent-elles ?

Une faille IDOR (Insecure Direct Object Reference) permet à un attaquant d'accéder à des ressources auxquelles il ne devrait pas avoir accès en modifiant simplement certains identifiants dans une requête. Dans le cas du DMP, cette faille aurait pu théoriquement permettre d'accéder à des données médicales sensibles. Bien que l'Assurance Maladie n'ait pas confirmé l'exploitation de cette vulnérabilité, la combinaison des données évoquées — noms, prénoms, dates de naissance, numéros de sécurité sociale, adresses, coordonnées de contact, IBAN et informations administratives — suscite des craintes quant à un risque accru de phishing, d'usurpation d'identité ou de fraude administrative.

Une affaire désormais entre les mains de la justice

Face à ces allégations et considérant que cette prétendue attaque a mobilisé d'importantes ressources d'investigation et causé un préjudice d'image au DMP, l'Assurance Maladie a annoncé son intention de saisir les autorités judiciaires compétentes. L'organisme entend ainsi faire toute la lumière sur l'origine de la revendication et sur les affirmations publiées concernant le Dossier Médical Partagé. Cette démarche s'inscrit dans un contexte où la confiance dans les systèmes numériques de santé est plus que jamais cruciale, alors que les cybermenaces se multiplient et se sophistiquent.

Et maintenant ?

Les investigations se poursuivent pour établir définitivement la réalité, l'origine et l'ampleur des faits évoqués. Dans l'immédiat, l'Assurance Maladie maintient une surveillance renforcée du DMP et des comptes ameli, tandis que les professionnels de santé sont invités à renforcer leurs propres mesures de sécurité. Une audition parlementaire sur la cybersécurité dans le secteur de la santé est également prévue pour septembre 2026, ce qui pourrait déboucher sur des recommandations ou des mesures réglementaires supplémentaires.

Si la cyberattaque contre Almerys reste à ce jour l'incident confirmé le plus significatif, l'affaire du DMP illustre la vigilance accrue nécessaire face à la menace cyber. Les autorités appellent les patients et professionnels à signaler toute activité suspecte et à consulter régulièrement leurs comptes pour détecter d'éventuelles anomalies.

Le Dossier Médical Partagé est un service public numérique permettant de regrouper et de sécuriser les données médicales d'un patient. Il est intégré à l'écosystème Mon espace santé et vise à faciliter le partage d'informations entre professionnels de santé tout en garantissant la confidentialité des données.

Les données de santé sont particulièrement sensibles et leur fuite peut exposer les individus à des risques de phishing, d'usurpation d'identité, de fraude administrative ou de chantage. Les cybercriminels peuvent exploiter ces informations pour réaliser des escroqueries ciblées ou revendre les données sur le dark web.