15 108 salariés touchés par une fuite revendiquée chez ARS

Le 5 février 2026, l'Agence Régionale de Santé (ARS) — les agences régionales de santé, établissements publics qui pilotent et supervisent le système de santé dans chaque région française — a été citée dans une fuite de données revendiquée : un acteur malveillant a mis en vente sur un forum cybercriminel une base de données contenant des informations sur ses agents.

Selon la revendication, cette base contiendrait les adresses email professionnelles de 15 108 agents de l'ARS, accompagnées d'autres informations liées à leur activité. Le vendeur présente ces données comme une extraction récente ; l'ARS n'a pas confirmé publiquement la compromission et la revendication n'a pas été vérifiée de manière indépendante, de sorte que le chiffre et l'origine des données restent à confirmer.

Catégories de données exposées rapportées :

• Adresses email professionnelles des agents
• Autres informations liées à l'emploi associées à chaque compte

Même limitée à des contacts professionnels de type annuaire, une liste structurée de boîtes mail ARS validées présente une réelle valeur pour les attaquants : ces adresses alimentent des campagnes ciblées d'hameçonnage et de fraude au président (BEC) contre le secteur de la santé français, frappé par une vague d'intrusions et de revendications de fuites début 2026. À la date de divulgation, le statut était inconnu — aucune confirmation, évaluation du périmètre ni mesure corrective n'avait été publiée, et la revendication doit être considérée avec prudence compte tenu du mélange, durant cette période, de fuites avérées et de jeux de données recyclés ou issus de scraping. Cet incident porte uniquement sur les données de contact des agents de l'ARS et se distingue de la revendication ultérieure, bien plus vaste, concernant environ 35 millions de dossiers patients d'agences régionales de santé et d'hôpitaux apparue plus tard en 2026.