Fuite de données Institut national de la santé et de la recherche médicale (2026) : analyse RGPD

Le 3 août 2026, un lot de données concernant l'Institut national de la santé et de la recherche médicale (Inserm) a été mis en ligne sur un forum spécialisé dans la revente d'informations dérobées. Selon le périmètre retenu à ce jour, 2 026 personnes sont directement concernées par cette exposition. Les informations diffusées associent nom, prénom, adresse électronique, numéro de téléphone, établissement de rattachement et numéro RPPS — l'identifiant unique attribué aux professionnels de santé exerçant en France. Aucun mot de passe ni donnée de santé ne figure dans le jeu publié, ce qui explique une gravité estimée comme faible. Cette qualification ne dispense toutefois ni de l'analyse de risque ni des obligations de notification prévues par le Règlement général sur la protection des données. Pour les personnes figurant dans le fichier, le danger immédiat n'est pas la compromission d'un compte, mais l'usage de ces éléments comme matière première d'attaques d'ingénierie sociale particulièrement crédibles, adressées à une population professionnelle identifiée et localisée.

Que s'est-il passé : l'Institut national de la santé et de la recherche médicale victime d'une violation de données

La publication est apparue le 3 août 2026 sur un forum cybercriminel, sous la forme d'un fichier structuré présenté comme extrait d'un annuaire professionnel. L'auteur du message revendiquait un volume nettement supérieur à celui finalement retenu ; ce chiffre n'a fait l'objet d'aucune vérification indépendante et doit être considéré avec prudence, les revendications de ce type étant fréquemment gonflées pour valoriser une revente.

Les éléments techniques communiqués par l'établissement situent l'origine des faits plusieurs semaines avant la diffusion. Le vecteur identifié n'est pas une intrusion dans une base de données ni l'exploitation d'une faille applicative, mais la compromission d'un compte utilisateur légitime. Une fois cet accès obtenu, l'attaquant a exploité la fonction de recherche d'une application interne pour en extraire massivement le contenu, requête après requête. Cette technique, dite de scraping authentifié, ne déclenche aucune alerte classique : chaque appel est individuellement légitime, seule la cadence et le volume cumulé trahissent l'abus.

La sensibilité du lot tient moins à chaque champ pris isolément qu'à leur combinaison. Le numéro RPPS est en grande partie consultable dans l'annuaire santé public ; l'adresse électronique et le téléphone, eux, ne le sont pas systématiquement. Leur mise en correspondance produit un fichier de ciblage exploitable immédiatement. Cette violation s'inscrit dans une série d'incidents visant le secteur de la santé et de la recherche recensés sur notre panorama des fuites de données en France.

Obligations légales RGPD pour l'Institut national de la santé et de la recherche médicale

L'article 33 du RGPD impose au responsable de traitement de notifier la violation à l'autorité de contrôle — la CNIL — dans les 72 heures suivant sa prise de connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Le point de départ du délai est la connaissance de l'incident, non sa résolution : une notification initiale incomplète, complétée ensuite, reste préférable à une notification tardive.

L'article 34 conditionne l'information individuelle des personnes concernées à l'existence d'un risque élevé. Dans le cas présent — données d'identification professionnelle, absence d'identifiants d'authentification et de données de santé — ce seuil n'est pas mécaniquement atteint. L'information directe reste néanmoins vivement recommandée : elle constitue la mesure de mitigation la plus efficace contre le phishing, puisqu'une personne prévenue qu'un attaquant détient son numéro RPPS reconnaîtra un message frauduleux qui s'en prévaut.

Indépendamment de toute notification, l'article 33 §5 impose de documenter la violation dans un registre interne : faits, effets constatés, mesures correctives. Ce registre est le premier document réclamé lors d'un contrôle et son absence constitue à elle seule un manquement.

Sur le volet répressif, l'article 83 prévoit deux paliers — 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements aux obligations de sécurité et de notification, 20 millions ou 4 % pour les violations des principes fondamentaux. Ces plafonds constituent le cadre de référence, mais leur application aux organismes publics relève en France d'un régime distinct : la CNIL privilégie à leur encontre les mises en demeure, injonctions sous astreinte et rappels à l'ordre. L'enjeu, pour un établissement public de recherche, se déplace donc vers la démonstration de conformité à l'article 32 — et l'absence d'authentification multifacteur sur un compte utilisateur donnant accès à un annuaire complet en constitue précisément le point faible.

Risques pour les personnes touchées et que faire

Le risque principal est le hameçonnage ciblé. Un message mentionnant le nom, l'établissement et le numéro RPPS exact du destinataire franchit la barrière de vigilance qu'un courriel générique ne passe jamais. Les scénarios attendus : faux courriers d'organismes de tutelle, fausses convocations ordinales, invitations à se connecter à un portail de téléservices imitant une interface connue, ou sollicitations d'apparence scientifique pour un colloque ou un protocole de recherche.

Aucun mot de passe n'ayant été exposé, le credential stuffing n'est pas un risque direct. Il devient indirect si l'adresse professionnelle diffusée a été réutilisée avec un mot de passe déjà compromis lors d'une autre fuite. L'usurpation d'identité professionnelle constitue le troisième volet : l'association nom-RPPS-établissement suffit à endosser l'identité d'un praticien auprès d'un tiers mal informé.

Les réflexes utiles : ne jamais authentifier une demande sur la base d'informations que l'interlocuteur connaît déjà, mais rappeler l'organisme par un numéro obtenu indépendamment ; changer les mots de passe des services associés à l'adresse exposée et bannir toute réutilisation ; activer l'authentification à deux facteurs sur la messagerie professionnelle et les téléservices santé ; surveiller les tentatives de connexion inhabituelles. En cas de préjudice constaté, une plainte peut être déposée auprès de la CNIL, indépendamment d'un dépôt de plainte pénale.

Enseignements pour les entreprises similaires

Cet incident illustre un angle mort classique : la sécurité périmétrique était sans doute correcte, mais un compte légitime compromis a suffi. Quatre chantiers en découlent. Généraliser l'authentification multifacteur sur tout accès à un référentiel de personnes, sans exception pour les comptes réputés « internes ». Instaurer une limitation de débit et une détection d'anomalie sur les fonctions de recherche : un utilisateur qui interroge un annuaire cent fois par minute doit déclencher une alerte, pas un journal muet. Appliquer la minimisation dès la conception, en n'exposant dans les résultats de recherche que les champs strictement nécessaires plutôt que la fiche complète. Enfin, chiffrer les données au repos et segmenter les environnements pour limiter la latéralisation.

Pour les entités relevant de la directive NIS 2 — dont le secteur de la santé et de la recherche —, ces mesures ne relèvent plus de la bonne pratique mais de l'obligation, avec responsabilité des dirigeants à la clé. Un audit d'infrastructure régulier et des tests d'intrusion incluant explicitement les scénarios de compte compromis restent le moyen le plus fiable de détecter ces failles avant un attaquant.

Questions fréquentes

Que faire si vous êtes concerné par la fuite de données de l'Inserm ?

Considérez que votre adresse professionnelle, votre téléphone et votre numéro RPPS circulent désormais. Traitez avec méfiance tout message entrant qui les mentionne pour établir sa légitimité, y compris s'il paraît provenir d'un organisme officiel. Vérifiez que l'adresse concernée n'utilise pas un mot de passe réemployé ailleurs et activez l'authentification à deux facteurs sur vos accès professionnels.

L'Inserm doit-il notifier la CNIL ?

Oui, dès lors que la violation est susceptible d'engendrer un risque pour les personnes concernées, la notification à la CNIL sous 72 heures s'impose au titre de l'article 33. Cette obligation ne dépend pas de la gravité estimée : seule une violation manifestement dépourvue de risque en dispense. La consignation au registre interne des violations, elle, est due dans tous les cas.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse électronique sur Have I Been Pwned, qui recense les fuites publiquement documentées, et activez les alertes associées. Exercez votre droit d'accès auprès de l'organisme concerné pour obtenir le détail des données vous concernant. Notre suivi des violations de données en France permet par ailleurs de vérifier si un organisme dont vous êtes usager a fait l'objet d'une publication.