Fuite de données INSERM : un nombre non communiqué de personnes exposées

Le 6 août 2026, une base de données attribuée à l'INSERM a été mise en circulation sur un forum cybercriminel, exposant les informations professionnelles et personnelles d'un volume important de praticiens de santé — un chiffre revendiqué par l'auteur de la publication mais non confirmé à ce jour par l'institut. Les enregistrements diffusés associent identité civile, coordonnées de contact et identifiants professionnels réglementés : nom, prénom, date de naissance, adresse électronique, numéro de téléphone, profession, commune d'exercice, numéro SIRET et numéro RPPS. Cette combinaison ne relève pas techniquement des données sensibles au sens de l'article 9 du RGPD, ce qui explique une gravité intrinsèque estimée faible, mais elle constitue un jeu de données exceptionnellement exploitable pour l'ingénierie sociale ciblée. Un annuaire nominatif de professionnels de santé, enrichi de leur zone géographique et de leur identifiant national, offre à un attaquant tout le matériau nécessaire pour construire des campagnes de fraude crédibles visant un secteur déjà surexposé aux attaques informatiques. Les personnes concernées doivent en conséquence considérer leurs coordonnées comme durablement compromises.

Que s'est-il passé : INSERM victime d'une violation de données

La publication est apparue le 6 août 2026 sur une place de marché fréquentée par des courtiers en données volées. L'auteur y présente un fichier structuré, exploitable en l'état, qu'il rattache à l'Institut national de la santé et de la recherche médicale. Le volume annoncé a été révisé à la hausse dans les heures suivant la mise en ligne, passage classique lorsqu'un vendeur publie d'abord un échantillon avant de dévoiler l'intégralité de son lot.

À ce stade, le vecteur d'intrusion n'est pas documenté publiquement. Les scénarios les plus fréquents pour ce type de fuite restent l'exploitation d'une application web exposée sur Internet, une interface de programmation insuffisamment authentifiée renvoyant des enregistrements en masse, la compromission d'un compte à privilèges via des identifiants réutilisés, ou encore une brèche chez un prestataire disposant d'un accès légitime aux référentiels. Aucune de ces hypothèses ne peut être écartée tant que l'analyse forensique n'a pas abouti.

La sensibilité réelle du jeu de données tient à sa structure plus qu'à chacun de ses champs pris isolément. Le numéro RPPS identifie de manière unique et pérenne un professionnel de santé : il ne peut pas être changé comme un mot de passe. Associé au SIRET, il permet de relier une personne physique à une structure d'exercice et à des flux de facturation. La date de naissance, elle, sert d'élément de vérification dans de nombreux parcours téléphoniques d'authentification. L'ensemble forme donc un profil durable, difficile à neutraliser, et directement monétisable auprès d'acteurs spécialisés dans la fraude documentaire ou la fraude à l'assurance maladie.

Obligations légales RGPD pour l'INSERM

En tant que responsable de traitement, l'institut est tenu par l'article 33 du RGPD de notifier la violation à la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance. Ce délai court à compter du moment où l'organisme acquiert un degré raisonnable de certitude sur la survenance de l'incident, et non à compter de la fin de l'investigation. Une notification incomplète peut être adressée en premier lieu, puis complétée par phases, ce que le texte autorise expressément.

L'article 34 impose une information directe des personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. L'appréciation repose sur la nature des données, le volume, la facilité d'identification des personnes et la probabilité d'un usage malveillant. Compte tenu du caractère nominatif du fichier et de l'exposition professionnelle des personnes visées, une communication individuelle apparaît difficilement évitable.

L'article 33 §5 exige par ailleurs la tenue d'un registre interne documentant les faits, les effets et les mesures correctives, y compris pour les violations non notifiées. Ce registre constitue la première pièce examinée en cas de contrôle. Enfin, les sanctions prévues à l'article 83 atteignent 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour un manquement aux obligations de sécurité et de notification, et 20 millions d'euros ou 4 % pour une violation des principes fondamentaux du traitement. Pour un organisme public français, le plafond applicable est encadré par la loi Informatique et Libertés, mais l'exposition en termes d'injonctions et de réputation reste entière.

Risques pour les personnes touchées et que faire

Le premier risque est l'hameçonnage ciblé. Un attaquant disposant du nom, de la profession, de la commune d'exercice et du numéro RPPS peut rédiger un courriel qui reproduit fidèlement le ton d'une communication ordinale, d'un organisme d'assurance maladie ou d'un éditeur de logiciel métier. Le taux de succès de ces messages est sans commune mesure avec celui d'un phishing générique.

Vient ensuite le bourrage d'identifiants : les adresses électroniques diffusées seront testées automatiquement contre des services tiers, en combinaison avec des mots de passe issus de fuites antérieures. Tout compte réutilisant un mot de passe déjà compromis devient accessible. Le troisième risque est l'usurpation d'identité professionnelle, particulièrement préoccupante lorsqu'un identifiant réglementaire circule librement : ordonnances frauduleuses, faux profils, démarchage abusif au nom du praticien.

Les réflexes utiles sont les suivants : renouveler sans délai les mots de passe des messageries et des outils métier, activer l'authentification à deux facteurs partout où elle est proposée en privilégiant une application dédiée plutôt que le SMS, vérifier l'exposition de ses adresses sur Have I Been Pwned, surveiller les relevés bancaires et les notifications de connexion, et traiter avec méfiance tout appel ou message évoquant spontanément un numéro RPPS ou SIRET. En cas de préjudice avéré, une plainte auprès de la CNIL et un dépôt auprès des services de police restent ouverts.

Enseignements pour les entreprises similaires

Les fuites de référentiels professionnels partagent presque toujours les mêmes causes racines. Le chiffrement au repos des bases contenant des identifiants réglementés limite la valeur d'une exfiltration brute. L'authentification multifacteur sur l'ensemble des accès d'administration et des connexions distantes coupe le vecteur le plus rentable pour un attaquant. La segmentation réseau empêche qu'un point d'entrée périphérique donne accès à l'intégralité des entrepôts de données.

À cela s'ajoutent des contrôles applicatifs souvent négligés : limitation du débit et plafonnement du nombre d'enregistrements retournés par une interface de programmation, journalisation des extractions volumineuses avec alerte sur les comportements anormaux, et revue périodique des habilitations des prestataires. Des tests d'intrusion réguliers, menés sur le périmètre exposé comme sur le réseau interne, restent le seul moyen fiable de valider ces mesures dans la durée. Les entités relevant de la directive NIS 2, dont une large part du secteur santé, doivent en outre formaliser leur gestion des risques et leur chaîne de notification d'incident. Le suivi des fuites de données en France montre que les organismes touchés disposaient rarement d'une cartographie à jour de leurs données personnelles.

Questions fréquentes

Que faire si vous êtes concerné par la fuite INSERM ?

Partez du principe que vos coordonnées professionnelles circulent désormais librement. Changez les mots de passe de votre messagerie et de vos logiciels métier, activez l'authentification à deux facteurs, et signalez à vos équipes que toute demande urgente reçue par courriel ou téléphone doit être vérifiée par un canal indépendant. Conservez la trace de toute sollicitation suspecte : elle constituera un élément de preuve si un préjudice se matérialise.

L'INSERM doit-elle notifier la CNIL ?

Oui. Dès lors qu'une violation de données à caractère personnel est établie et qu'elle présente un risque pour les personnes, la notification à la CNIL sous 72 heures est obligatoire au titre de l'article 33 du RGPD. Seule une violation manifestement insusceptible d'engendrer un risque en dispense, ce qui n'est pas le cas ici compte tenu du caractère nominatif et professionnel des enregistrements.

Comment vérifier si vos données ont été exposées ?

Aucun outil public ne permet d'interroger directement ce fichier. Vous pouvez néanmoins tester vos adresses électroniques sur Have I Been Pwned, activer les alertes de connexion sur vos comptes, et exercer votre droit d'accès auprès de l'INSERM afin d'obtenir confirmation de la présence de vos données dans le périmètre affecté. Cette demande doit recevoir une réponse dans un délai d'un mois.