CARMF : 2,4 millions d’enregistrements de médecins en fuite après une cyberattaque

Le 12 mai 2026, la CARMF — Caisse Autonome de Retraite des Médecins de France, l’organisme obligatoire de retraite et de prévoyance des médecins libéraux en France — a été citée dans une publication sur un forum cybercriminel par un acteur se présentant sous le pseudonyme lazasec, qui affirmait avoir compromis les systèmes de la CARMF et exfiltré une base de près de 2,4 millions d’enregistrements concernant des médecins et cotisants français.

L’attaquant a diffusé un échantillon à l’appui de ses dires. Le vecteur exact de l’intrusion n’a pas été confirmé publiquement et l’authenticité complète de la base divulguée reste à vérifier. L’échantillon exposait des champs administratifs et déclaratifs, et non des données cliniques ou financières :

• Nom et prénom
• Code cotisant
• Code postal et ville
• Date de dernière déclaration

La CARMF a elle-même signalé l’incident de sécurité le lendemain, le 13 mai 2026, via sa newsletter, qualifiant la fuite de « limitée » et présentant les informations concernées comme publiques et non sensibles. La caisse a indiqué qu’environ 70 000 affiliés étaient concernés, un chiffre nettement inférieur aux 2,4 millions d’enregistrements annoncés par l’attaquant.

Bien que les champs exposés ne soient pas des dossiers médicaux, la divulgation des identités et coordonnées de médecins accroît le risque d’attaques ciblées par hameçonnage et ingénierie sociale visant les praticiens et plus largement le secteur de la santé français. L’incident semble maîtrisé, mais l’origine de la compromission n’avait pas été établie publiquement au moment des faits.