Fuite massive chez Pulsy Grand Est : 5,8 millions de données patients exposées, comment vérifier si vous êtes concerné ?

Une fuite massive de données a touché Pulsy Grand Est, l’opérateur régional de e-santé, exposant près de 5,8 millions de dossiers patients. Cette brèche soulève des questions majeures sur la sécurité informatique et la protection des données dans le milieu médical. Les principaux enjeux concernent

• l’ampleur des données compromises : noms, adresses, identifiants INS et parcours de soins de patients adultes et mineurs ;
• les risques d’exposition des données personnelles sur le dark web ;
• les moyens de vérification d’exposition et les réflexes immédiats à adopter pour préserver la confidentialité patient.

Ce panorama éclairera la nature de l’incident, les risques associés, et comment agir pour limiter les conséquences de cette violation de données.

A découvrir également : GitHub ciblé : quand une extension VS Code compromise met vos données en danger – ce qu’il faut absolument connaître

Nature et étendue de la fuite de données chez Pulsy Grand Est

Le 18 juin 2026, Pulsy Grand Est a détecté une intrusion informatique sur un de ses serveurs à 6h00 du matin. Malgré une réaction rapide ayant permis de bloquer l’accès compromis en moins de trois heures, un pirate identifié sous le pseudonyme “xMetah” a diffusé le 21 juin sur un forum cybercriminel une base de données représentant 34,9 Go de données patients, soit environ 5,86 millions d’enregistrements.

Cette fuite fait partie des plus importantes en France depuis celle du DMP quelques semaines plus tôt. Les informations exposées incluent

A lire en complément : Cyberattaque chez les chasseurs : Quand vos données volées deviennent une menace pour votre arsenal personnel

• les données civiles : nom, prénom, date de naissance, sexe et nationalité ;
• coordonnées complètes : adresse postale, email, téléphone ;
• identifiants techniques, notamment l’Identifiant National de Santé (INS), une clé unique permanente utilisée pour relier les dossiers médicaux ;
• et des données relatives au parcours de soins, telles que les références des établissements visités et l’historique des traitements pris en charge entre 2018 et 2025.

Ces informations concernent les patients ayant reçu des soins ou suivi un parcours dans la région Grand Est, avec une inclusion notable des mineurs. La compromission de l’INS est particulièrement problématique, car contrairement à une adresse ou un numéro, cet identifiant ne peut être changé et crée un lien permanent entre données médicales et identité.

Le rôle de Pulsy dans la gestion des données de santé régionales

Pulsy n’est pas un établissement hospitalier mais un groupement régional dédié au développement de l’e-santé et à la mutualisation de services numériques pour toute la région Grand Est. Créé par des acteurs institutionnels tels que l’Agence Régionale de Santé et l’Assurance Maladie, Pulsy facilite

• le partage sécurisé de documents médicaux entre professionnels et structures ;
• la coordination des parcours de soins, notamment pour les patients chroniques ou complexes ;
• la gestion centralisée des identités patients via des référentiels tels que l’INS ;
• et l’optimisation des échanges entre les établissements hospitaliers et la médecine de ville.

Cette centralisation rend Pulsy indispensable, mais place aussi cet opérateur au cœur des enjeux de cybersécurité et de confidentialité patient. L’incident met en lumière combien la concentration des données augmente la surface de risque en cas d’attaque.

Comment vérifier si vous êtes concerné par la fuite de Pulsy Grand Est ?

À ce jour, Pulsy n’a pas mis à disposition d’outil officiel de vérification individuelle. Pour estimer votre exposition, vous pouvez considérer les critères suivants :

• Vous êtes probablement concerné si
• vous avez été patient, hospitalisé, ou pris en charge dans un établissement médical du Grand Est entre 2018 et 2025 ;
• un professionnel de santé a utilisé votre carte Vitale dans un système connecté à Pulsy ;
• vous avez reçu une notification concernant un partage de données via les plateformes régionales.
• Vous êtes probablement hors périmètre si
• vous n’avez jamais eu de soins dans la région Grand Est (Alsace, Lorraine, Champagne-Ardenne) ;
• votre prise en charge s’est effectuée exclusivement en pratique isolée sans interconnexion numérique régionale ;
• vous avez refusé la qualification INS, procédure rare.

Le recours aux services en ligne pour la vérification individualisée reste à venir, encourageant la vigilance sur vos communications électroniques et vos relevés bancaires.

Mesures immédiates à adopter pour protéger vos données personnelles

Face à l’exposition de données aussi sensibles, plusieurs réflexes sont impératifs :

1. Désormais, méfiez-vous systématiquement des appels, emails ou SMS se réclamant d’établissements de santé et demandant codes, mots de passe, ou coordonnées bancaires. Aucun service officiel ne procèdera ainsi.
2. Ne cliquez pas sur les liens présents dans les messages électroniques reçus en lien avec vos données médicales. Préférez vous connecter directement aux sites officiels des établissements concernés.
3. Surveillez rigoureusement vos comptes bancaires pendant au moins 90 jours afin de détecter toute opération suspecte, y compris de petits montants visant à tester vos réactions.
4. Activez la double authentification sur toutes vos plateformes importantes, incluant Ameli, les services bancaires et les comptes de messagerie électroniques.
5. En cas de contact suspect, déposez un signalement via des plateformes sécurisées telles que la CNIL et signal-arnaques.com.

Ces bonnes pratiques permettent de limiter les risques d’usurpation d’identité et d’arnaques ciblées, fréquentes après ce type de fuite.

Conséquences possibles pour les patients et enjeux de cybersécurité

L’exposition de millions de dossiers engendre plusieurs risques concrets :

• Campagnes d’hameçonnage médical extrêmement crédibles en utilisant des données précises de patients (nom, date de naissance, établissement fréquenté) et pouvant inciter à fournir des informations confidentielles ou des paiements frauduleux.
• Fraudes par usurpation d’identité pour accéder à vos comptes personnels, en s’appuyant sur les données personnelles volées pour contourner les dispositifs de sécurité.
• Constitution de profils croisés via la revente et le recoupement de fichiers sur le dark web, augmentant le risque de chantage ciblé, notamment pour des pathologies sensibles.

Le vol de données de santé est une des violations de données les plus graves, soulignant la nécessité d’un renforcement continu des mesures de protection et des contrôles d’audit, comme prescrits par la réglementation et alerté dans plusieurs rapports dont celui de la CNIL.

Type de données exposées	Nombre estimé d’enregistrements	Risque principal	Actions recommandées
Données civiles (nom, prénom, date de naissance)	~5,86 millions	Usurpation d’identité	Vigilance aux tentatives d’hameçonnage, changements de mots de passe
Coordonnées (adresse, email, téléphone)	~5,86 millions	Arnaques, fraudes téléphoniques	Refuser les appels suspects, vérifier l’origine des communications
Identifiant INS et parcours de soins	5,86 millions	Profilage à vie, chantage ciblé	Surveillance renforcée, signalement aux autorités

L’avenir de la protection des données médicales en France

La fuite de Pulsy Grand Est s’inscrit dans un contexte de multiplication des atteintes aux systèmes d’information de santé en France. La concentration des identités patients sur des plateformes mutualisées accroît la menace globale, exigeant :

• la segmentation stricte des réseaux informatiques pour limiter les accès entre services ;
• le chiffrement systématique des données sensibles au repos, notamment les référentiels INS ;
• la réalisation d’audits indépendants et réguliers exigés par les autorités sanitaires et de cybersécurité régionales (ARS, ANSSI) ;
• une sensibilisation accrue des professionnels de santé et des patients aux enjeux de cybersécurité et à la vigilance face aux violations de données.

Ces mesures peuvent aider à réduire le risque de nouvelles violations et à renforcer la confiance dans les outils numériques dédiés à la santé. La prise de conscience collective autour de la confidentialité patient est plus que jamais nécessaire.