Une cyberattaque a touché des agences régionales de santé dans plusieurs régions

Une cyberattaque a visé plusieurs services numériques régionaux de santé ces derniers jours. Un communiqué de presse, publié par l’Agence régionale de santé Pays de la Loire (ARS) le 8 septembre 2025, a en effet révélé qu'une cyberattaque a ciblé les services numériques des ARS de plusieurs régions de France (Pays de la Loire donc, Hauts-de-France et Normandie).

Le groupement régional d’appui au développement de la e-santé (GRADeS) des Pays de la Loire a confirmé l'intrusion, en coordination avec les autorités nationales et l’ARS. L'attaque a été menée en usurpant l'identité de professionnels de santé, ce qui a permis aux pirates d'accéder à des outils internes.

En France, les GRADeS sont les opérateurs publics privilégiés des ARS pour tout ce qui concerne la e-santé. Ils mettent à disposition des établissements et professionnels de santé des services numériques essentiels à leurs missions de soins, de prise en charge et de coordination. Ce sont ces services qui étaient la cible de l'attaque.

Des mesures immédiates pour contenir les dégâts

Dès l'alerte, les équipes du GRADeS ont réagi en lançant des analyses approfondies de leurs systèmes d'information. Des mesures de sécurité renforcées ont été immédiatement appliquées pour prévenir toute nouvelle intrusion.

Les premières investigations confirment qu'un accès illégitime a eu lieu, conduisant à la violation de données à caractère personnel d'usagers.

Cependant, les données compromises seraient limitées aux données d'identité des usagers (données administratives) et n'affecteraient pas les données médicales. L'incident n'aurait, par ailleurs, aucun impact sur la prise en charge des patients au sein des structures de santé de la région.

Vigilance accrue face au risque de phishing

Le principal danger suite à cette cyberattaque est le risque accru d'hameçonnage (phishing). Le communiqué rappelle aux professionnels et aux patients de rester vigilants. Il est important de se souvenir qu'un établissement de santé ne demandera jamais de transmettre des informations personnelles (coordonnées bancaires, numéro de sécurité sociale, mot de passe) par email, téléphone ou SMS.

Une campagne d'information sera mise en place pour avertir les personnes dont les données ont été compromises. L'objectif est de les informer de l'incident et de les sensibiliser au risque de tentatives d'hameçonnage qu'elles pourraient subir.