L’Office anticybercriminalité (Ofac) a annoncé le 30 juin 2026 l’interpellation, le 23 juin, de cinq personnes âgées de 16 à 22 ans soupçonnées d’appartenir au groupe « Marak ». Selon Nicolas Guidoux, chef de l’Ofac, ce collectif visait spécifiquement des établissements de santé et des entreprises du secteur médical. Le préjudice atteindrait près de 4 millions de fiches de patients exfiltrées. Pour les responsables de traitement concernés, l’affaire rappelle l’exposition particulière des données de santé.
Ce que révèle l’enquête sur le groupe « Marak »
L’enquête a débuté en juillet 2025, après la compromission d’un établissement de santé situé dans la Loire. La section J3 du parquet de Paris, spécialisée dans la cybercriminalité, a été saisie. Les investigations ont mis au jour une série d’attaques visant des hôpitaux, des sociétés du secteur médical et même une messagerie utilisée par le service des douanes. Ces interpellations interviennent deux semaines après celles de membres présumés du groupe « Dumpsec », signe d’une pression accrue des autorités sur des réseaux souvent composés de très jeunes pirates.
Une faille humaine dans l’authentification des soignants
D’après l’Ofac, les mis en cause exploitaient « une faille humaine dans le système d’authentification des cartes professionnelles dématérialisées ». Ils ne cassaient donc pas un chiffrement, ils trompaient des soignants pour récupérer leurs accès. Cette méthode, proche du hameçonnage ciblé, montre que la sécurité des données de santé repose autant sur la technologie que sur la vigilance des équipes. La carte de professionnel de santé dématérialisée, censée renforcer la confiance, devient une cible dès lors que son usage n’est pas protégé par une authentification forte et des contrôles complémentaires.
Les obligations RGPD des établissements victimes
Les données de santé sont des données sensibles au sens de l’article 9 du RGPD. Leur compromission déclenche des obligations précises. L’article 32 impose des mesures de sécurité adaptées au risque, dont l’authentification à plusieurs facteurs et la traçabilité des accès. L’article 33 oblige à notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation. L’article 34 impose, lorsque le risque pour les personnes est élevé, d’informer directement les patients concernés. Avec près de 4 millions de fiches en jeu, cette information individuelle devient incontournable.
NIS2 : le secteur de la santé en première ligne
La santé figure parmi les secteurs hautement critiques de la directive NIS2. Les établissements concernés deviennent des entités essentielles, soumises à des obligations de gestion des risques, de notification des incidents à l’ANSSI et de responsabilisation de leur direction. Un établissement victime d’une attaque comparable à celle de « Marak » doit ainsi mener de front ses obligations envers la CNIL et celles issues de NIS2, sous peine de sanctions.
Nos conseils pratiques
Première mesure: généraliser l’authentification forte pour tous les accès aux dossiers patients, y compris les comptes à privilèges. Deuxième mesure: sensibiliser régulièrement les soignants au hameçonnage, car la faille reste humaine. Troisième mesure: cloisonner les systèmes et limiter les droits, afin qu’un compte compromis n’ouvre pas l’ensemble des bases. Quatrième mesure: préparer un plan de réponse aux violations, avec un modèle de notification CNIL prêt à l’emploi et une procédure d’information des patients. Enfin, tester les sauvegardes et surveiller les journaux d’accès permet de détecter plus tôt une exfiltration. La rapidité de réaction reste le meilleur moyen de limiter le préjudice.
