La cyberattaque Cerballiance du 25 mars 2026 a visé un serveur informatique exploité par l’un des prestataires du réseau. Les patients concernés ont reçu un courriel. Propriété de Cerba Healthcare, le réseau de laboratoires de biologie médicale réalise des milliers d’analyses chaque jour. Au moment de l’annonce, personne ne connaissait le nombre de patients touchés.
Ce que la cyberattaque Cerballiance a exposé
Selon le courriel adressé aux patients, l’attaque a exposé l’état civil, des comptes rendus d’analyses médicales, le numéro de sécurité sociale ainsi que les identifiants de connexion. Or un compte rendu d’analyse peut révéler une pathologie ou un traitement. L’article 9 du RGPD range donc ces informations parmi les données de santé, protégées de façon renforcée.
Ce mélange intéresse les escrocs. Avec un nom, un numéro de sécurité sociale et un résultat d’analyse, un faux message du laboratoire devient très crédible. Le premier risque est l’hameçonnage ciblé, qui ouvre ensuite la porte à l’usurpation d’identité.
Cerballiance indique avoir demandé à son prestataire de fermer sans délai le serveur concerné. Le réseau invite aussi les patients à changer au plus vite le mot de passe de leur espace personnel.
Un second incident en un an, de nouveau chez un tiers
En mars 2025, le réseau avait déjà signalé une cyberattaque visant ses laboratoires Provence-Azur et Alpes Durance. Elle avait exposé les données administratives de patients de la région Provence-Alpes-Côte d’Azur. À l’époque, Clubic avait même dû préciser que le SMS d’alerte envoyé aux patients n’était pas du phishing.
Cette fois, l’attaque ne touche pas directement les systèmes de Cerballiance. Elle passe par le serveur d’un prestataire informatique, selon un schéma bien connu. Les attaquants ciblent le fournisseur, souvent moins protégé, pour atteindre les données de ses clients. Pour un responsable de traitement, la sécurité de ses données dépend donc aussi de celle de ses sous-traitants.
Les obligations RGPD du laboratoire et de son prestataire
L’article 33 du RGPD impose au responsable de traitement de notifier la violation à la CNIL dans les 72 heures suivant sa prise de connaissance. De plus, l’article 34 exige une communication directe aux personnes lorsque le risque pour leurs droits et libertés est élevé. Le courriel envoyé aux patients répond à cette obligation.
L’article 32 vise à la fois le responsable de traitement et le sous-traitant : chacun met en place des mesures de sécurité adaptées à la sensibilité des données. Le contrat prévu à l’article 28 fixe ensuite les règles du jeu. Il prévoit par exemple le délai d’alerte du prestataire en cas d’incident et le droit d’audit. Pour l’hébergement de données de santé, vérifiez aussi la certification HDS du prestataire.
Enfin, la santé figure parmi les secteurs hautement critiques de la directive NIS2. Une fois la loi française de transposition adoptée, les laboratoires entrant dans son périmètre devront aussi notifier leurs incidents importants à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), en plus de la CNIL.
Les réflexes des patients après la fuite de données
Vous êtes patient Cerballiance ? Changez d’abord le mot de passe de votre espace en ligne. Faites de même sur les services où vous utilisiez le même. Ensuite, méfiez-vous des appels et messages qui se réclament du laboratoire, de votre médecin, de votre banque ou de l’Assurance Maladie. Ne communiquez jamais votre numéro de sécurité sociale par courriel ou par téléphone.
Exercez aussi votre droit d’accès, prévu à l’article 15 du RGPD, auprès de Cerballiance. Demandez la liste des données que le réseau détient sur vous et celles qui figuraient sur le serveur touché. En cas de préjudice, adressez une plainte à la CNIL ou faites-vous accompagner par Cybermalveillance.gouv.fr.
Ce que les DPO du secteur de la santé doivent vérifier
Pour un DPO, l’incident rappelle une règle de base : tenez une cartographie précise de vos sous-traitants et contrôlez leurs pratiques de sécurité. Relisez ensuite les clauses de vos contrats sur la notification des incidents et le droit d’audit. Le cas de la violation chez un sous-traitant de la Région Hauts-de-France montre les mêmes failles du côté des collectivités.
Dans DPO Suite, l’application de conformité que nous avons conçue, le suivi des sous-traitants et le registre des violations se tiennent au même endroit. Notre tutoriel pour notifier une violation de données personnelles détaille enfin la démarche auprès de la CNIL.
Sources
Les faits de mars 2026 proviennent de l’article de franceinfo Les laboratoires de biologie médicale Cerballiance visés par un vol massif de données.
L’incident de mars 2025 est décrit par Clubic dans « Cerballiance a constaté un accès non autorisé à vos données » : non, ce SMS n’est pas du phishing.
