Cerballiance a confirmé un accès non autorisé aux informations personnelles de certains patients sur un serveur hébergé par un prestataire informatique. L’entreprise a indiqué avoir informé les personnes concernées et les autorités compétentes. Elle n’a pas publié, sur sa page d’information, de nombre total de victimes.
Le chiffre de 28 millions parfois repris dans les articles correspond à l’activité annuelle revendiquée par Cerballiance, et non à un décompte confirmé de patients touchés. La seule façon de savoir si votre dossier fait partie du périmètre est de vérifier si vous avez reçu une notification individuelle de Cerballiance.
L’essentiel
Incident confirmé : accès non autorisé sur un serveur hébergé par un prestataire de Cerballiance.
Données possibles : état civil, numéro de Sécurité sociale, certains comptes rendus d’analyses, adresse e-mail et mot de passe chiffré de l’espace patient.
Nombre de personnes : non publié dans la communication officielle consultée ; 28 millions n’est pas un bilan de victimes.
Premier réflexe : suivre la notification reçue, réinitialiser le mot de passe et se méfier des messages qui utilisent un contexte médical crédible.
Que confirme réellement Cerballiance ?
La page officielle de Cerba HealthCare confirme qu’un tiers a accédé sans autorisation à des informations personnelles de certains patients. Le serveur concerné était hébergé par un prestataire informatique. Cerballiance indique avoir demandé sa fermeture, renforcé les mesures de sécurité avec ce prestataire, invalidé les mots de passe des espaces patients concernés et signalé l’incident à la CNIL, à l’ANSSI, aux ARS et au CERT Santé.
Cette communication permet de distinguer les faits établis des extrapolations. Elle ne confirme ni l’exposition de l’ensemble des patients du réseau, ni un nombre de 28 millions de victimes, ni une réutilisation avérée des données. Cerballiance précise qu’aucun élément n’indiquait une telle réutilisation au moment de sa publication et qu’une surveillance renforcée avait été mise en place.
| Question | Réponse vérifiée | Statut |
|---|---|---|
| Un accès non autorisé a-t-il eu lieu ? | Oui, sur un serveur hébergé par un prestataire. | Confirmé |
| Tous les patients sont-ils touchés ? | Non. Cerballiance parle de certains patients et les informe individuellement. | Confirmé |
| 28 millions de victimes ? | Aucun bilan de cette ampleur n’est publié ; 28 millions correspond à un volume annuel d’activité. | Non établi |
| Les données ont-elles été réutilisées ? | Cerballiance indiquait ne disposer d’aucun élément le montrant à ce stade. | Non constaté à la publication |
Quelles données ont pu être exposées ?
Pour les patients effectivement concernés, Cerballiance énumère cinq catégories : nom de naissance et nom d’usage, prénom et date de naissance ; numéro de Sécurité sociale ; certains comptes rendus d’analyses médicales ; adresse e-mail utilisée comme identifiant ; mot de passe chiffré de l’espace patient. L’entreprise présente ce dernier comme non exploitable en l’état, tout en ayant invalidé les mots de passe concernés par précaution.
| Donnée | Risque principal | Réflexe |
|---|---|---|
| Identité et date de naissance | Usurpation de contexte dans un appel ou un message | Ne jamais valider une demande uniquement parce que l’interlocuteur connaît ces informations. |
| Numéro de Sécurité sociale | Démarches frauduleuses ou hameçonnage très crédible | Contrôler directement les espaces officiels et conserver les preuves d’une anomalie. |
| Compte rendu d’analyses | Atteinte à la confidentialité médicale | Ne pas répondre à un message qui réclame d’autres données de santé ou un paiement. |
| E-mail et mot de passe chiffré | Tentatives de connexion et réutilisation d’identifiants | Créer un mot de passe unique et modifier les comptes où l’ancien était réutilisé. |
Comment savoir si vous êtes concerné ?
Cerballiance indique que les patients touchés reçoivent une notification individuelle. Si vous avez reçu un e-mail, vérifiez l’expéditeur sans cliquer précipitamment sur ses liens, puis ouvrez vous-même le site officiel de Cerballiance. En cas de doute, utilisez les coordonnées publiées sur la page d’information de l’entreprise plutôt qu’un numéro contenu dans un SMS inattendu.
L’absence de notification signifie, selon Cerballiance, que vos informations n’ont pas été affectées. Elle ne justifie pas de saisir votre numéro de Sécurité sociale ou votre mot de passe sur un site qui prétend effectuer une vérification publique : aucun moteur légitime ne peut confirmer ce type de dossier à partir de ces données sensibles.
Que faire après la notification Cerballiance ?
- Réinitialiser le mot de passe de l’espace patient. Passez par le domaine officiel de Cerballiance et choisissez un mot de passe inédit.
- Modifier les mots de passe réutilisés ailleurs. Commencez par la messagerie associée au compte, puis activez la double authentification lorsqu’elle est proposée.
- Traiter les sollicitations médicales comme suspectes. Un message peut citer votre laboratoire, une analyse ou votre identité sans être authentique.
- Vérifier par un autre canal. Appelez le laboratoire avec un numéro trouvé sur son site officiel avant tout paiement ou transmission de document.
- Conserver les preuves. Capturez les messages, adresses et numéros en cas de tentative d’escroquerie ou d’utilisation frauduleuse.
Cybermalveillance.gouv.fr recommande également de surveiller les comptes concernés, de contacter l’organisme à l’origine de la notification et de déposer plainte si les informations divulguées sont utilisées frauduleusement. Une autre fuite de santé peut appeler des réflexes proches : notre dossier sur le piratage de données de santé chez Cegedim explique comment séparer notification officielle, données confirmées et rumeurs.
Pourquoi un message peut-il sembler parfaitement crédible ?
Les données médicales et administratives donnent à un fraudeur de quoi fabriquer un scénario convaincant : prétendu remboursement, résultat d’analyse à consulter, dossier incomplet ou paiement résiduel. La connaissance de votre nom ou d’un professionnel de santé n’authentifie jamais l’interlocuteur. Aucun code reçu par SMS, mot de passe ou numéro complet de carte bancaire ne doit être communiqué pour « sécuriser » un dossier.
Sources et vérification
Article vérifié le 2 août 2026. La communication officielle de Cerballiance constitue la source sur le périmètre de l’incident ; les mesures de réaction sont recoupées avec le service public d’assistance aux victimes.
- Cerba HealthCare — information officielle sur l’accès non autorisé
- Cybermalveillance.gouv.fr — que faire après une fuite de données
- CNIL — obligations liées aux violations de données personnelles
Questions fréquentes sur le piratage Cerballiance
Le piratage Cerballiance concerne-t-il 28 millions de patients ?
Non selon les informations officielles disponibles. Cerballiance n’a pas publié ce nombre de victimes ; 28 millions correspond à un volume annuel de patients revendiqué par le réseau.
Comment savoir si mes analyses ont été exposées ?
Cerballiance indique avoir informé individuellement les patients concernés. La notification doit préciser la conduite à tenir ; en cas de doute, contactez l’entreprise par ses coordonnées officielles.
Dois-je changer mon mot de passe Cerballiance ?
Oui si vous avez reçu la notification ou si l’entreprise vous le demande. Modifiez aussi tout autre compte sur lequel le même mot de passe était réutilisé.
