Piratage de 34 millions de dossiers médicaux : l’Assurance Maladie dément, le hacker persiste

Ce 2 juin 2026, plusieurs influenceurs en cybersécurité ont remonté un potentiel piratage de la base de données du Dossier Médical Partagé (DMP). Plus de 34 millions de comptes concernés, soit près de la moitié des Français. Un séisme. L’information a été reprise massivement.

Pas de piratage détecté pour l’instant

J’avais pour ma part contacté l’Assurance Maladie afin d’avoir leur retour sur la situation. Ils étaient au courant et investiguaient. Ce soir, un second mail m’est parvenu, voulant désarmer la situation : non, il n’y aurait pas eu de fuite des fiches du DMP.

« D’après les investigations approfondies menées par les spécialistes de nos systèmes d’information et de cybersécurité, nous n’avons pas trouvé d’éléments attestant d’une fuite de données massives provenant du Dossier Médical Partagé (DMP) », nous explique l’Assurance Maladie.

L’organisme ajoute que « Nos experts ont vérifié si une fuite pouvait avoir eu lieu via les modes opératoires présentés dans la revendication et indiquent qu’aucune attaque de ce type n’a été pour l’instant détectée. Ils n’ont pas non plus relevé d’activité anormale en volume via un accès par e-cps [accès praticien, NDLR]. »

On le note, les mots sont choisis. Pour l’instant, rien n’a été détecté, soit après 24 heures environ. Il y a donc des chances qu’il n’y ait rien. « Nos investigations se poursuivent afin de pouvoir consolider ces conclusions », ajoute le mail.

Le hacker revient à la charge

Mais Lagui, le hacker qui revendique ce piratage, a réagi. Comme le rapporte FrenchBreaches.com, il « a partagé de nouveaux éléments visant à étayer ses affirmations ».

Du cas où il mettait son pseudo dans les cases du DMP, il serait passé à la divulgation du « compte d’une infirmière à la suite d’une opération de social engineering. Pour étayer ses déclarations, il diffuse notamment le nom et le prénom de la professionnelle concernée ainsi que plusieurs captures d’écran présentées comme des preuves d’accès au compte. »

J’utilise volontairement le conditionnel puisque FrenchBreaches lui-même précise que pour l’instant « ces affirmations n’ont pas été corroborées de manière indépendante. »

Mais une chose est sûre, l’affaire n’est pas close d’autant plus que l’Assurance Maladie nous indique en toute fin de sa communication que « en parallèle, la Cnam va engager un signalement au procureur de la République au titre de l’article 40 du code de procédure pénale. » Mais s’il n’y a rien, pourquoi engager une procédure ?