Le 25 mars 2026, le reseau de laboratoires de biologie medicale Cerballiance, filiale du groupe Cerba HealthCare et operateur de plus de 700 sites en France, a detecte une intrusion sur le serveur d un de ses prestataires informatiques. L attaquant a eu acces aux bases de donnees patients, exposant potentiellement jusqu a 28 millions de dossiers medicaux contenant des informations parmi les plus sensibles qui existent : resultats d analyses sanguines, numeros de securite sociale, identifiants de connexion et etats civils complets.
L affaire est d autant plus grave qu il s agit de la deuxieme cyberattaque en deux ans frappant Cerballiance via le meme vecteur : un prestataire tiers. En mars 2025, un incident similaire avait deja compromis les donnees du reseau. Cette recidive n est pas un accident, c est la preuve d un echec systemique dans la gestion des risques fournisseurs du secteur de la sante en France.
Chronologie complete de l incident
Voici la sequence des evenements telle que reconstituee a partir des communications officielles de Cerballiance, de la CNIL et des rapports de presse :
- 25 mars 2026, detection : L equipe securite de Cerba HealthCare detecte des acces anormaux sur le serveur d un prestataire informatique externe qui gere une partie de l infrastructure technique des 700 laboratoires.
- 25 mars 2026, reponse immediate : Le serveur compromis est isole et arrete. Les mots de passe des comptes patients potentiellement touches sont desactives.
- 26 mars 2026, notification : La CNIL (Commission Nationale de l Informatique et des Libertes) et l ANSSI (Agence Nationale de la Securite des Systemes d Information) sont notifiees conformement a l article 33 du RGPD.
- 27-28 mars 2026, communication patients : Cerballiance commence a notifier individuellement les patients dont les donnees ont ete potentiellement exposees.
- Avril 2026, analyse forensique : L investigation revele que l attaquant a eu acces aux donnees pendant une fenetre de plusieurs heures avant la detection. Le volume exact des donnees exfiltrees reste en cours d evaluation.
Quelles donnees ont ete compromises
Les donnees potentiellement exposees sont particulierement sensibles et se repartissent en quatre categories :
- Etats civils complets : noms, prenoms, dates et lieux de naissance, adresses postales, numeros de telephone
- Identifiants numeriques : identifiants de connexion aux espaces patients en ligne, adresses email
- Donnees medicales : comptes rendus d analyses de biologie medicale (analyses sanguines, urinaires, hormonales, etc.)
- Numeros de securite sociale : le NIR a 13 chiffres, identifiant unique et permanent
Ce cocktail de donnees est particulierement dangereux car il permet simultanement l usurpation d identite, la fraude a l assurance maladie, le chantage (basees sur des resultats medicaux sensibles : VIH, grossesse, addictions) et le phishing ultra-cible. Sur le dark web, un dossier medical complet se vend entre 200 et 1 000 euros, soit 10 a 20 fois plus qu un numero de carte bancaire.
Notre avis d expert
Le fait qu un reseau de 700 laboratoires soit compromis deux fois en deux ans par le meme vecteur — un prestataire tiers — n est pas un incident, c est un verdict. Cela signifie que l audit post-incident de 2025 n a produit aucun changement structurel. Les RSSI du secteur sante qui n ont pas encore impose un audit de penetration trimestriel a leurs prestataires critiques jouent a la roulette russe avec les donnees de millions de patients. La question n est plus « si » vous serez touche, mais « quand votre prestataire sera le maillon qui cede ».
Le vecteur d attaque : la sous-traitance IT non auditee
L element central de cette affaire n est pas une zero-day sophistiquee ni un groupe APT etatique. C est bien plus banal et bien plus alarmant : un prestataire informatique tiers dont la securite n etait manifestement pas a la hauteur des donnees qu il manipulait.
Dans le secteur de la sante en France, la chaine de sous-traitance IT est longue et opaque. Un reseau de laboratoires comme Cerballiance peut avoir 15 a 30 prestataires techniques differents : hebergeurs, editeurs de logiciels de gestion de laboratoire (SGL), integrateurs, mainteneurs d equipements, prestataires de backup, sous-traitants de sous-traitants. Chacun de ces acteurs constitue une surface d attaque potentielle.
Le schema est recurrent : l attaquant ne vise pas directement l entreprise cible (trop bien protegee), mais identifie un prestataire moins securise qui dispose d acces privilegies aux systemes. C est exactement ce qui s est passe avec CrowdStrike en juillet 2024, avec SolarWinds en 2020, et maintenant deux fois avec Cerballiance.
Notre avis d expert
La sous-traitance IT dans le secteur sante francais fonctionne sur un modele de confiance implicite qui date des annees 2000. Les prestataires signent une clause de confidentialite dans le contrat et c est tout. Pas de pentest annuel, pas de monitoring des acces, pas de segmentation reseau entre les donnees du client et le SI du prestataire. Tant que la CNIL n imposera pas des sanctions dissuasives specifiques aux defaillances de la chaine de sous-traitance, rien ne changera. Les 5 millions d euros infliges a France Travail sont un debut, mais il faut aller plus loin.
Le secteur sante francais sous le feu : un contexte alarmant
L attaque contre Cerballiance s inscrit dans un contexte de crise cybernetique sans precedent pour le systeme de sante francais. Voici les chiffres qui donnent la mesure du probleme :
- 58 incidents ransomware en France depuis debut 2026, soit une hausse de 29 % par rapport a la meme periode en 2025
- La France est le 5e pays le plus cible au monde par les cyberattaques
- Le secteur sante represente 10 % des 1 366 incidents traites par l ANSSI, au 3e rang national
- Plus de 54 000 incidents de securite enregistres en France depuis janvier 2026
- 320+ collectivites victimes d attaques significatives depuis debut 2026
Le secteur de la sante cumule tous les facteurs de risque : donnees ultra-sensibles a haute valeur marchande, systemes legacy difficiles a patcher, sous-investissement chronique en cybersecurite (les budgets IT des hopitaux representent en moyenne 1,7 % du budget total, contre 5 a 10 % dans le secteur bancaire), et une chaine de sous-traitance longue et peu auditee.
Comparaison : Cerballiance 2025 vs 2026
| Critere | Mars 2025 | Mars 2026 |
|---|---|---|
| Vecteur d attaque | Prestataire informatique tiers | Prestataire informatique tiers |
| Volume de donnees | Non divulgue (estime < 5M) | Jusqu a 28 millions de dossiers |
| Type de donnees | Identifiants + etats civils | Identifiants + medicales + N° secu |
| Temps de detection | Plusieurs jours | Quelques heures |
| Notification CNIL | J+3 | J+1 (conformite RGPD art. 33) |
| Changement structurel post-incident | Audit interne (insuffisant) | A determiner |
| Sanction CNIL | Aucune (a ce jour) | Enquete en cours |
Notre avis d expert
Deux attaques identiques en deux ans, meme vecteur, meme reseau. La reponse a l incident de 2025 n a clairement pas inclus un audit de securite approfondi des prestataires. C est le symptome d un probleme culturel : dans le secteur sante, la cybersecurite est encore percue comme un cout et non comme un investissement vital. Quand un dossier medical vaut 500 euros sur le dark web et que vous en stockez 28 millions, vous gerez un actif de 14 milliards d euros pour les cybercriminels. Agissez en consequence.
Ce que ca signifie pour votre entreprise
Meme si votre entreprise n est pas dans le secteur de la sante, l affaire Cerballiance contient des lecons universelles pour tout RSSI :
1. Votre securite est celle de votre prestataire le plus faible
Vous pouvez investir des millions en cybersecurite interne, si un prestataire avec un acces VPN a vos bases de donnees utilise un mot de passe faible ou un serveur non patche, vous etes expose. La securite de la chaine est celle du maillon le plus faible.
2. NIS2 etend explicitement la responsabilite a la supply chain
Depuis janvier 2026, la directive NIS2 transposee en droit francais impose aux entites essentielles et importantes d evaluer et gerer les risques lies a leurs fournisseurs. Les sanctions peuvent atteindre 10 millions d euros ou 2 % du chiffre d affaires mondial. L excuse « c est la faute du prestataire » ne vous protegera pas.
3. L audit initial ne suffit pas
Un questionnaire de securite signe une fois lors de la contractualisation ne vaut rien si le prestataire degrade sa posture de securite ensuite. Il faut un monitoring continu et des audits reguliers.
4. La segmentation reseau est non-negociable
Les prestataires ne doivent jamais avoir un acces direct et non segmente a vos bases de donnees de production. Chaque acces prestataire doit etre isole, surveille, et revocable en temps reel.
5. Plan de reponse aux incidents prestataires
Avez-vous un plan de reponse specifique pour le scenario « mon prestataire est compromis » ? Savez-vous en combien de temps vous pouvez couper ses acces ? Avez-vous des sauvegardes independantes de ses systemes ?
Votre chaine de sous-traitance est-elle securisee ?
WebGuard Agency audite vos prestataires tiers et identifie les failles avant les attaquants.
Demander un audit prestatairesCe qui va se passer ensuite
Au-dela de l incident Cerballiance lui-meme, plusieurs developpements sont a anticiper dans les semaines et mois a venir :
- Sanction CNIL probable : Apres les 5 millions infliges a France Travail pour une fuite similaire, la CNIL devrait sanctionner Cerba HealthCare. La recidive sera un facteur aggravant. Estimation : 8 a 15 millions d euros.
- Durcissement NIS2 pour le secteur sante : L ANSSI devrait publier des guides sectoriels renforces pour la gestion des prestataires dans le secteur sante d ici Q3 2026.
- Vague de class actions : Les associations de patients vont probablement engager des actions collectives. Le RGPD permet une indemnisation de 500 a 5 000 euros par patient affecte.
- Hausse des primes d assurance cyber : Les assureurs vont repriser le risque sante a la hausse de 20 a 40 % des que le montant de la fuite sera confirme. Consultez notre guide sur l assurance cyber pour anticiper.
Notre avis d expert
Ma prediction : d ici fin 2026, la CNIL va creer un referentiel specifique pour l audit des prestataires dans le secteur sante, avec des penalites automatiques en cas de non-conformite. Les entreprises qui anticipent ce mouvement en mettant en place des audits prestataires des maintenant auront un avantage competitif majeur. Celles qui attendent la contrainte reglementaire paieront le prix fort — en sanctions, en primes d assurance, et en reputation. Le cout d un audit prestataires annuel (30 000 a 80 000 euros pour une ETI) est derisoire compare au cout d une fuite de donnees (4,5 millions en moyenne selon IBM, sans compter les class actions).
Questions frequentes
Comment savoir si mes donnees Cerballiance ont ete compromises ?
Si vous etes patient dans l un des 700 laboratoires Cerballiance en France, vous devriez recevoir une notification par email ou courrier. En attendant, changez immediatement votre mot de passe sur l espace patient Cerballiance, activez la double authentification si disponible, et surveillez toute activite suspecte sur votre compte Ameli. Vous pouvez egalement deposer une plainte aupres de la CNIL si vous estimez que vos droits RGPD ont ete violes.
Mon entreprise utilise des prestataires IT : suis-je en danger ?
Potentiellement oui. Si vos prestataires ont des acces directs a vos systemes (VPN, SSH, API) et que vous ne les auditez pas regulierement, vous etes dans la meme situation que Cerballiance. La premiere etape est de dresser un inventaire complet de tous les prestataires ayant un acces a vos donnees, puis de verifier que chacun respecte un niveau de securite minimum : chiffrement, authentification forte, segmentation reseau, logs d acces, et certification ISO 27001 ou equivalent.
Quelle est la responsabilite juridique de Cerballiance sous NIS2 ?
Sous NIS2, les entites essentielles (dont les operateurs de services de sante) sont responsables de la securite de leur chaine d approvisionnement. Meme si l attaque provient d un prestataire, Cerballiance reste juridiquement responsable de ne pas avoir suffisamment controle la securite de ce prestataire. Les sanctions NIS2 peuvent atteindre 10 millions d euros ou 2 % du chiffre d affaires mondial. La recidive (2e attaque identique en 2 ans) sera un facteur aggravant lors de l evaluation par la CNIL et l ANSSI.
Combien coute un audit de securite des prestataires tiers ?
Pour une PME avec 3 a 5 prestataires critiques, un audit initial complet coute entre 15 000 et 35 000 euros. Pour une ETI avec 10 a 20 prestataires, comptez 50 000 a 100 000 euros. Le monitoring continu ajoute 2 000 a 5 000 euros par mois selon le nombre de prestataires surveilles. Ces montants sont a comparer au cout moyen d une fuite de donnees en France : 4,5 millions d euros (IBM Cost of a Data Breach Report 2026), sans compter les sanctions CNIL, les class actions et la perte de reputation.
Ne soyez pas le prochain Cerballiance
Nos experts auditent vos prestataires et identifient les risques supply chain avant qu ils ne deviennent des incidents. Audit initial en 5 jours ouvrables.
Obtenir un devis gratuit