Fuites de données : ce que révèle l’enquête Cash Investigation et pourquoi les ESSMS doivent se sentir concernés

L’émission Cash Investigation consacrée aux fuites de données personnelles met en lumière une réalité devenue incontournable : les cyberattaques ne concernent plus uniquement les grandes entreprises ou les administrations. Elles touchent désormais l’ensemble des organisations qui collectent et utilisent des données personnelles, y compris les établissements sanitaires, sociaux et médico-sociaux.

Ce que l’enquête a montré

Un été noir pour la cybersécurité française. L’Agence nationale des titres sécurisés touchée dès avril, puis la Direction générale des finances publiques (près de 700 000 contribuables concernés), l’Éducation nationale, l’opérateur SFR : l’été 2026 aura été marqué par une vague de piratages d’une ampleur rarement vue.

Selon les chiffres de la CNIL cités dans l’enquête, 6 167 violations de données ont été recensées en 2025 dans des entreprises et administrations françaises, soit plus de 16 par jour.

Quand quelques données suffisent à construire une fraude

Un couple, un IBAN, un conseiller bancaire… qui connaissait tout. L’émission s’ouvre sur le témoignage de Murielle et Jean-Marc, victimes d’une arnaque au faux conseiller bancaire.

Les escrocs connaissaient leur IBAN, le nom de leur véritable conseillère, et jusqu’aux dates de naissance de leurs enfants. Bilan : plus de 6 000 euros envolés.

C’est tout l’objet de l’enquête : montrer comment des données a priori anodines, une fois croisées, permettent de construire une arnaque presque impossible à détecter.

Le parcours d’une donnée volée

Le journaliste François Cardona a infiltré des forums du dark web où se vendent des « fiches prêtes à l’emploi » : nom, prénom, adresse, banque, tranche d’âge.

Il a ensuite suivi le chemin de ces données jusqu’aux centres d’appels de réseaux criminels organisés.

Le journaliste a également échangé pendant plusieurs semaines avec un hacker qui explique, preuves à l’appui, comment il est parvenu à s’introduire dans les systèmes informatiques de deux grands groupes français.

Selon les chiffres avancés dans l’émission, les fraudes par manipulation (faux appels, faux SMS) ont représenté 382 millions d’euros de préjudice en 2024, avec une hausse de 40 % en 2025.

Les « Shiny Hunters » et l’affaire Ramsay Santé

Une partie du numéro est consacrée à ce groupe de cybercriminels, responsable d’une vaste opération d’extorsion ayant visé plusieurs multinationales, parmi lesquelles Air France, Chanel et Kering.

L’enquête évoque des négociations secrètes, des demandes de rançon et le recours à des assurances spécialisées.

Élise Lucet a également interviewé un ancien pirate tout juste sorti de deux années de détention aux États-Unis, qui revient sur les méthodes employées par le groupe.

Mais l’exemple qui doit particulièrement retenir l’attention du secteur médico-social est celui concernant Ramsay Santé. Selon l’enquête, 530 000 dossiers patients et 45 000 copies de cartes d’identité ont été dérobés.

Des données de santé, à caractère hautement personnel, ont ainsi été exfiltrées puis mises en circulation.

Le procès Free en toile de fond

L’émission revient également sur le piratage de Free en 2024, qui aurait concerné 24 millions de contrats.

Elle évoque notamment les propos de l’avocate de l’opérateur, qui aurait minimisé l’incident en expliquant qu’« à part l’IBAN, on ne parle pas de données sensibles ».

Une phrase qui, à elle seule, résume une manière de considérer la protection des données comme un sujet secondaire… jusqu’au jour où elle ne l’est plus.

Le débat qui a suivi

Autour d’Élise Lucet étaient réunis David, victime de la fuite de la DGFiP, Clément Domingo (alias SaxX), hacker éthique et expert en cybersécurité, Yasmine Douadi, fondatrice de Riskintel Group, Nathalie Goulet, sénatrice de l’Orne, ainsi que François Deruty, directeur du renseignement chez Sekoia.

Les échanges ont mis en évidence une réalité désormais largement partagée par les experts : la cybersécurité ne repose pas uniquement sur des solutions techniques.

Elle implique également :

• la sensibilisation des professionnels ;
• la maîtrise des accès aux données ;
• la gestion des incidents ;
• la conformité RGPD ;
• la mise en œuvre d’une véritable culture de la cybersécurité.

Pourquoi cette enquête doit interpeller les ESSMS

Pour les établissements sociaux et médico-sociaux, cette enquête rappelle que les données traitées quotidiennement sont parmi les plus sensibles qui existent : informations de santé, parcours de vie, données administratives, situations familiales ou encore accompagnements sociaux.

Une fuite de données ne constitue pas uniquement un risque informatique. Elle peut avoir des conséquences humaines importantes pour les personnes accompagnées, leurs proches, mais également pour l’établissement lui-même.

Au-delà du respect du RGPD, la protection des données est aujourd’hui un enjeu de confiance, de qualité et de continuité de service.

Les évolutions réglementaires, les attentes de la HAS et les nouvelles exigences en matière de cybersécurité confirment une tendance de fond : anticiper les risques est devenu indispensable.

La question n’est plus seulement de savoir comment réagir après une fuite de données, mais comment créer les conditions permettant de réduire la probabilité qu’elle survienne.

Le regard du DPO PERINOVE

Au-delà des cas médiatisés et des chiffres impressionnants, l’enquête met en lumière une réalité souvent moins visible : dans la majorité des situations, les violations de données trouvent leur origine dans des failles ordinaires.

Ce que PERINOVE propose aux ESMS

Pas besoin d’attendre un incident pour agir. Trois leviers, concrets et progressifs :

• Un DPO externalisé et mutualisé : une expertise RGPD accessible sans recruter à temps plein, avec un accompagnement adapté aux réalités du terrain médico-social.
• Un audit de conformité et de risques : cartographie des données sensibles, des accès, des sous-traitants — pour savoir précisément ce qu’il y a à protéger et où sont les failles.
• Une sensibilisation cyber des équipes : parce que la meilleure protection reste une équipe qui reconnaît un mail de phishing avant de cliquer dessus.

Vous voulez savoir où en est votre établissement sur le RGPD et la cybersécurité ? Parlons-en.