Santé publique France visée par une cyberattaque ?
Posté : jeu. 13 août 2026 07:50
Santé publique France visée par une cyberattaque ?
Un pirate informatique affirment avoir compromis une plateforme de Santé publique France, obtenu des privilèges administrateur et accédé à des données via une faille d’autorisation.
Un message publié le 11 août 2026 sur un forum pirate revendique une intrusion visant une plateforme associée à Santé publique France. Le pirate évoque une élévation de privilèges obtenue en modifiant directement le rôle d’un utilisateur dans une requête envoyée au serveur. Les captures fournies montrent notamment un espace administrateur, des comptes Front Office, une bibliothèque d’images et un modèle de courriel. Un extrait de données personnelles est également présenté comme preuve. Les éléments transmis documentent une compromission présumée sérieuse, mais qui ressemble surtout à un annuaire de professionnels de santé.
Une élévation de privilèges revendiquée
La publication apparaît sous un titre qui attire l’oeil, Santé France. Elle est attribuée au pirate informatique Cybernox, un pirate connu sous différents autres pseudonymes, qui affirme avoir agi avec deux autres personnes, dont « artemis » (la déesse de la chasse ?), présenté comme l’acteur principal de l’opération, ainsi qu’un participant utilisant le pseudonyme « don’t call me ».
Le récit décrit une faiblesse située dans la gestion des comptes utilisateurs. Selon les attaquants, la page permettant de modifier un profil transmettrait au serveur un champ définissant le rôle du compte. En interceptant cette requête, ils expliquent avoir remplacé le statut initial par un rôle administrateur.
La revendication insiste sur un point déterminant : aucune vérification côté serveur n’aurait empêché cette modification. Les pirates indiquent également que les rôles utilisables étaient visibles dans le code JavaScript chargé par l’interface. Ils disent avoir identifié de cette façon une valeur correspondant à un administrateur Back Office, puis l’avoir injectée dans la requête.
Une capture présentée dans le dossier montre effectivement une réponse structurée contenant le champ « roles » associé à « ROLE_BO_ADMIN ». Cet élément soutient le scénario décrit, sans suffire à établir seul les conditions exactes ayant permis l’accès.
Le problème allégué relève donc moins d’un secret découvert dans l’application que d’un contrôle d’autorisation insuffisant. Une interface peut masquer certaines fonctions selon le profil affiché. La sécurité dépend toutefois de la capacité du serveur à vérifier chaque opération demandée. D’après le récit publié, cette seconde barrière aurait été absente ou contournable.
Les captures montrent ensuite plusieurs espaces de gestion. L’une présente une fiche utilisateur Front Office contenant des informations d’identité et de contact. Une autre affiche la section « Gestion de la plateforme », avec des fonctions liées aux images, aux campagnes, aux courriels et aux textes de commandes.
Une troisième image montre une bibliothèque dans laquelle apparaissent plusieurs visuels. L’un d’eux représente une tête de chat et porte le nom « trollface ». Sa présence pourrait correspondre à une modification effectuée après la compromission revendiquée.
Des traces visibles jusque dans les courriels
L’élément le plus démonstratif concerne le système de messagerie. Une capture de l’espace administrateur montre le modèle d’un courriel de modification de mot de passe. Son objet a été modifié avec un message en anglais indiquant que la plateforme avait été piratée et demandant à Santé publique France de corriger le problème.
Le corps du message reprend également cette mention après plusieurs champs dynamiques du modèle. Une seconde capture montre qu’un courriel contenant ces ajouts est effectivement arrivé dans une boîte de réception. L’expéditeur visible utilise une adresse « No-replys », tandis qu’une autre information d’expédition affichée dans l’en-tête fait apparaître un domaine différent.
Ces éléments suggèrent que l’accès revendiqué ne se limitait pas nécessairement à la consultation de pages administratives. La possibilité de modifier un modèle utilisé pour des courriels transactionnels peut créer un risque supplémentaire : diffusion de contenus non autorisés, altération de communications légitimes ou exploitation de la confiance associée aux messages de service.
Le message publié sur par le pirate présente également un échantillon de données. Il contient des informations personnelles détaillées concernant une personne, notamment son identité, son adresse postale, son numéro de téléphone, son adresse électronique et sa fonction.
Les auteurs accompagnent leur revendication de messages critiques sur la sécurité numérique des services publics. Les pirates informatiques affirment ne pas vouloir provoquer de guerre ou de destruction et présente l’opération comme une volonté d’alerter sur le niveau de protection numérique. « don’t call me » s’interroge pour sa part sur la facilité supposée avec laquelle le service aurait été compromis.
La publication contient aussi une référence à « Chat Control » et des propos insultants dirigés contre les autorités. Ces déclarations renseignent sur la communication revendiquée par les auteurs, sans établir leurs motivations réelles ni leur identité.
Données exfiltrées
Les données exfiltrées sont des informations de professionnels de santé, en France. 80 682 personnes et structures. Dans la liste 6859 sage-femmes ; plus de 9000 médecins généraliste ; Etc. Les établissements de santé arrivent en tête avec 17 061 occurrences (29,5 %), devant les services publics avec 15 531 (26,8 %). À eux seuls, ces deux univers représentent ainsi 56,3 % du total.
Suivent les établissements d’enseignement (7704), les professions libérales et indépendants (7014) et les associations (6490). Ces cinq catégories concentrent près de 93 % des occurrences répertoriées.
Parmi les catégories professionnelles les plus présentes figurent les sages-femmes (6 859), les médecins généralistes (+9000), les pharmaciens (3672), les enseignants (2089) ou encore les médecins spécialistes (1815).
Les organismes associés aux données montrent également une forte présence du secteur public : 8904 occurrences sont rattachées à des mairies, 4346 à des hôpitaux, 4332 à des lycées, 2932 à des établissements publics et 2796 à des centres de soins.
Du côté des adresses électroniques, Gmail domine avec 13952 occurrences (Sic! = Gmail + Santé = N’importe quoi !!!), devant Orange (7352) et Wanadoo (5360). Plusieurs domaines professionnels de l’Éducation nationale apparaissent également dans le classement, notamment ac-versailles.fr (465), ac-grenoble.fr (390), ac-toulouse.fr (361), ac-lille.fr (351) ou ac-lyon.fr (347).
Enfin, la répartition géographique place Toulouse très nettement en tête avec 566 cass, devant Nantes (349), Strasbourg (320), Bordeaux (311), Montpellier (310) et Lille (301).
Bref, le pirate a « tapé » dans un annuaire. Cela n’en reste pas moins inquiétant. Un mail, un téléphone, peuvent permettre des approches malveillantes loin d’être négligeables.
merci à ZATAZ
Un pirate informatique affirment avoir compromis une plateforme de Santé publique France, obtenu des privilèges administrateur et accédé à des données via une faille d’autorisation.Un message publié le 11 août 2026 sur un forum pirate revendique une intrusion visant une plateforme associée à Santé publique France. Le pirate évoque une élévation de privilèges obtenue en modifiant directement le rôle d’un utilisateur dans une requête envoyée au serveur. Les captures fournies montrent notamment un espace administrateur, des comptes Front Office, une bibliothèque d’images et un modèle de courriel. Un extrait de données personnelles est également présenté comme preuve. Les éléments transmis documentent une compromission présumée sérieuse, mais qui ressemble surtout à un annuaire de professionnels de santé.
Une élévation de privilèges revendiquée
La publication apparaît sous un titre qui attire l’oeil, Santé France. Elle est attribuée au pirate informatique Cybernox, un pirate connu sous différents autres pseudonymes, qui affirme avoir agi avec deux autres personnes, dont « artemis » (la déesse de la chasse ?), présenté comme l’acteur principal de l’opération, ainsi qu’un participant utilisant le pseudonyme « don’t call me ».
Le récit décrit une faiblesse située dans la gestion des comptes utilisateurs. Selon les attaquants, la page permettant de modifier un profil transmettrait au serveur un champ définissant le rôle du compte. En interceptant cette requête, ils expliquent avoir remplacé le statut initial par un rôle administrateur.
La revendication insiste sur un point déterminant : aucune vérification côté serveur n’aurait empêché cette modification. Les pirates indiquent également que les rôles utilisables étaient visibles dans le code JavaScript chargé par l’interface. Ils disent avoir identifié de cette façon une valeur correspondant à un administrateur Back Office, puis l’avoir injectée dans la requête.
Une capture présentée dans le dossier montre effectivement une réponse structurée contenant le champ « roles » associé à « ROLE_BO_ADMIN ». Cet élément soutient le scénario décrit, sans suffire à établir seul les conditions exactes ayant permis l’accès.
Le problème allégué relève donc moins d’un secret découvert dans l’application que d’un contrôle d’autorisation insuffisant. Une interface peut masquer certaines fonctions selon le profil affiché. La sécurité dépend toutefois de la capacité du serveur à vérifier chaque opération demandée. D’après le récit publié, cette seconde barrière aurait été absente ou contournable.
Les captures montrent ensuite plusieurs espaces de gestion. L’une présente une fiche utilisateur Front Office contenant des informations d’identité et de contact. Une autre affiche la section « Gestion de la plateforme », avec des fonctions liées aux images, aux campagnes, aux courriels et aux textes de commandes.
Une troisième image montre une bibliothèque dans laquelle apparaissent plusieurs visuels. L’un d’eux représente une tête de chat et porte le nom « trollface ». Sa présence pourrait correspondre à une modification effectuée après la compromission revendiquée.
Des traces visibles jusque dans les courriels
L’élément le plus démonstratif concerne le système de messagerie. Une capture de l’espace administrateur montre le modèle d’un courriel de modification de mot de passe. Son objet a été modifié avec un message en anglais indiquant que la plateforme avait été piratée et demandant à Santé publique France de corriger le problème.
Le corps du message reprend également cette mention après plusieurs champs dynamiques du modèle. Une seconde capture montre qu’un courriel contenant ces ajouts est effectivement arrivé dans une boîte de réception. L’expéditeur visible utilise une adresse « No-replys », tandis qu’une autre information d’expédition affichée dans l’en-tête fait apparaître un domaine différent.
Ces éléments suggèrent que l’accès revendiqué ne se limitait pas nécessairement à la consultation de pages administratives. La possibilité de modifier un modèle utilisé pour des courriels transactionnels peut créer un risque supplémentaire : diffusion de contenus non autorisés, altération de communications légitimes ou exploitation de la confiance associée aux messages de service.
Le message publié sur par le pirate présente également un échantillon de données. Il contient des informations personnelles détaillées concernant une personne, notamment son identité, son adresse postale, son numéro de téléphone, son adresse électronique et sa fonction.
Les auteurs accompagnent leur revendication de messages critiques sur la sécurité numérique des services publics. Les pirates informatiques affirment ne pas vouloir provoquer de guerre ou de destruction et présente l’opération comme une volonté d’alerter sur le niveau de protection numérique. « don’t call me » s’interroge pour sa part sur la facilité supposée avec laquelle le service aurait été compromis.
La publication contient aussi une référence à « Chat Control » et des propos insultants dirigés contre les autorités. Ces déclarations renseignent sur la communication revendiquée par les auteurs, sans établir leurs motivations réelles ni leur identité.
Données exfiltrées
Les données exfiltrées sont des informations de professionnels de santé, en France. 80 682 personnes et structures. Dans la liste 6859 sage-femmes ; plus de 9000 médecins généraliste ; Etc. Les établissements de santé arrivent en tête avec 17 061 occurrences (29,5 %), devant les services publics avec 15 531 (26,8 %). À eux seuls, ces deux univers représentent ainsi 56,3 % du total.
Suivent les établissements d’enseignement (7704), les professions libérales et indépendants (7014) et les associations (6490). Ces cinq catégories concentrent près de 93 % des occurrences répertoriées.Parmi les catégories professionnelles les plus présentes figurent les sages-femmes (6 859), les médecins généralistes (+9000), les pharmaciens (3672), les enseignants (2089) ou encore les médecins spécialistes (1815).
Les organismes associés aux données montrent également une forte présence du secteur public : 8904 occurrences sont rattachées à des mairies, 4346 à des hôpitaux, 4332 à des lycées, 2932 à des établissements publics et 2796 à des centres de soins.
Du côté des adresses électroniques, Gmail domine avec 13952 occurrences (Sic! = Gmail + Santé = N’importe quoi !!!), devant Orange (7352) et Wanadoo (5360). Plusieurs domaines professionnels de l’Éducation nationale apparaissent également dans le classement, notamment ac-versailles.fr (465), ac-grenoble.fr (390), ac-toulouse.fr (361), ac-lille.fr (351) ou ac-lyon.fr (347).
Enfin, la répartition géographique place Toulouse très nettement en tête avec 566 cass, devant Nantes (349), Strasbourg (320), Bordeaux (311), Montpellier (310) et Lille (301).
Bref, le pirate a « tapé » dans un annuaire. Cela n’en reste pas moins inquiétant. Un mail, un téléphone, peuvent permettre des approches malveillantes loin d’être négligeables.
merci à ZATAZ