35 millions de dossiers patients en vente : DumpSec frappe les ARS et 130 hôpitaux

La France traverse une crise de cybersécurité sanitaire sans précédent. Début avril 2026, le groupe cybercriminel DumpSec a revendiqué la mise en vente d’une base de données massive contenant les dossiers de 35 millions de patients français, exfiltrée de systèmes liés à plus de 130 hôpitaux, dont l’AP-HP, via les Agences Régionales de Santé (ARS).

Une base de données issue d’une attaque déjà ancienne

L’origine de cette fuite remonte à septembre 2025, lorsqu’une cyberattaque avait ciblé les ARS de Hauts-de-France, Normandie et Pays de la Loire, compromettant les données d’identité de millions de patients hospitalisés dans des établissements publics.

Le cybercriminel initial, connu sous le pseudonyme Marak, avait alors affirmé ne pas vouloir commercialiser ces données, les qualifiant de « trophée de guerre ». Il a depuis été interpellé par les autorités. Mais la base de données a changé de mains : elle est désormais détenue par le groupe DumpSec, qui en propose activement la vente sur des forums cybercriminels depuis début avril 2026.

Des données d’une extrême sensibilité

La base exposée contient des informations particulièrement sensibles :

• Identité complète : nom, prénom, sexe, date et lieu de naissance
• Numéro de Sécurité Sociale (NIR / Identifiant National de Santé)
• Coordonnées personnelles : adresse domicile, email, téléphone fixe et mobile
• Données hospitalières : parcours de soins, informations administratives liées aux séjours

La combinaison du NIR avec des données d’identité et de santé représente un risque d’exploitation élevé, notamment pour des fraudes à l’assurance maladie, des usurpations d’identité ou du ciblage frauduleux.

Une vague de cyberfuites sans précédent en santé

Cet incident s’inscrit dans un contexte plus large d’attaques répétées contre le système de santé français. En moins d’un an, les experts en cybersécurité estiment à plus de 102 millions le nombre de données médicales compromises en France, en cumulant les incidents ARS, Cegedim et Cerballiance.

Concomitamment, le groupe XP95 a revendiqué début avril le piratage de YMED / SOONCARE, une plateforme de prise de rendez-vous en ligne utilisée par des établissements bordelais (dont la Clinique Bordeaux Nord Aquitaine et l’Institut Bergonié). Cette attaque par ransomware a exposé les dossiers de 253 000 patients et 132 Go de données médicales, incluant comptes-rendus et imagerie.

Réponse institutionnelle et enjeux de souveraineté

Face à cette escalade, le gouvernement a publié début avril 2026 une feuille de route nationale de sécurité numérique 2026-2027 (ANSSI / SGDSN), fixant les priorités des administrations en matière de cyberdéfense. Le secteur de la santé, qui concentre une part disproportionnée des incidents, est en première ligne.

Le CERT Santé de l’ANS, qui avait publié fin 2024 une hausse de 29 % des signalements d’incidents dans le secteur, confirme que les établissements progressent en maturité — mais que la surface d’attaque s’élargit à mesure que la numérisation des données s’accélère.

Ce qu’il faut retenir

• 35 millions de patients concernés par la mise en vente de données issues des ARS et de 130+ hôpitaux
• Groupe DumpSec : héritier d’une attaque de septembre 2025, il commercialise désormais les données
• NIR, identités et données hospitalières exposés — risques d’usurpation d’identité élevés
• Plus de 102 millions de données de santé compromises en France en moins d’un an
• YMED/SOONCARE : 253 000 patients supplémentaires victimes d’un ransomware en parallèle

Sources

• ARS : 35 millions de patients concernés, 130 hôpitaux et AP-HP ciblés (Cyberattaque.org)
• Cyberattaque sur les ARS : 35 millions de dossiers patients réapparaissent (Solutions Numériques)
• Fuite MASSIVE : 35 millions de patients exposés, données ultra-sensibles en vente (FrenchBreaches)
• YMED (SOONCARE) : 253 000 patients exposés, 132 Go de données exfiltrées (Cyberattaque.org)
• Feuille de route sécurité numérique État 2026-2027 (ANSSI / cyber.gouv.fr)
• Cybersécurité : signalements en hausse, incidents significatifs en légère baisse — CERT Santé (TICsanté)