Cyberattaque de WEDA : données médicales exposées ou accès seulement interrompu ?

La cyberattaque du logiciel WEDA a entraîné une interruption de service du 11 au 14 novembre 2025, après la détection d’un incident dans la nuit du 10 novembre. Pour les cabinets, les médecins et les maisons de santé, la question dépasse la simple panne informatique : il faut déterminer si des données de santé ont été consultées, maintenir les soins en mode dégradé et accomplir les démarches réglementaires nécessaires.

Ce que l’on sait de l’incident ayant touché WEDA

WEDA est un logiciel médical utilisé par des médecins généralistes, des sages-femmes, des cabinets et d’autres professionnels de santé. L’éditeur revendique 85 000 utilisateurs et compte 23 000 clients. L’incident a donc pu affecter un grand nombre de structures, avec des conséquences directes sur l’accès aux dossiers et l’organisation quotidienne des soins.

Une compromission de comptes utilisateurs à l’origine de l’alerte

Les éléments disponibles évoquent une cyberattaque fondée sur la compromission de comptes utilisateurs. Ce type d’accès peut résulter du vol d’identifiants, de mots de passe réutilisés sur plusieurs services ou d’une tentative de credential stuffing. Cette technique consiste à tester automatiquement des identifiants récupérés lors d’autres fuites.

Une fois connecté, un attaquant peut consulter des informations, agir au nom de l’utilisateur ou tenter d’étendre son accès. Une extraction partielle de données a été considérée comme possible. Cela ne signifie pas que tous les dossiers médicaux ont été consultés ou copiés. Une vérification précise reste nécessaire pour identifier les comptes concernés, la période d’accès, les informations affichées ou exportées et les traces conservées dans les journaux de connexion.

Pourquoi la plateforme a été temporairement bloquée

Le blocage temporaire de la plateforme répond à une mesure de protection. Isoler le service permet de limiter les accès non autorisés, de préserver les éléments techniques et de mener les investigations dans un environnement contrôlé. Cette interruption fragilise la continuité des soins, mais elle peut être nécessaire avant un rétablissement dans des conditions maîtrisées.

Dans un cabinet, l’absence du logiciel médical affecte rapidement toute l’organisation. Sans historique, la consultation devient plus difficile, puis les prescriptions, les courriers, la facturation et les échanges entre professionnels peuvent être ralentis. Des supports papier, un relevé des rendez-vous et une procédure de ressaisie limitent le risque de perte durable d’informations ou de suivi clinique.

Données médicales : quels risques pour les patients et les professionnels ?

Les données de santé sont particulièrement sensibles. Selon les dossiers auxquels un compte a pu accéder, elles peuvent comprendre l’identité et les coordonnées du patient, des informations administratives, des antécédents, des prescriptions, des résultats ou des éléments liés à la prise en charge. La liste exacte des données concernées doit être communiquée par l’éditeur et confirmée par les investigations.

Risque	Conséquence possible	Réaction utile
Phishing ciblé	Faux messages se faisant passer pour un cabinet, WEDA ou un organisme de santé	Vérifier l’expéditeur et ne jamais communiquer ses identifiants par e-mail
Fraude à l’identité	Utilisation abusive d’informations personnelles ou professionnelles	Signaler rapidement toute demande inhabituelle ou action inconnue
Atteinte à la confidentialité	Divulgation d’informations relatives à la santé d’un patient	Documenter les faits et informer les personnes si le risque le justifie
Indisponibilité des dossiers	Consultations ralenties et risque d’erreur lié à l’absence d’historique	Appliquer le protocole de mode dégradé et tracer les actes réalisés

Les professionnels doivent aussi se méfier des appels qui prétendent venir de l’assistance. Un interlocuteur connaissant le nom d’un cabinet ou d’un praticien peut tenir un discours crédible. Même en cas d’urgence apparente, ne transmettez pas de code de validation, de mot de passe ou d’accès à distance sans avoir contrôlé l’identité du demandeur par un canal indépendant.

Les premières actions à mener dans un cabinet ou une MSP

La réaction doit couvrir trois priorités : l’urgence technique, la continuité des soins et la traçabilité. Même dans une petite structure, désignez une personne chargée de la coordination. Cette organisation évite les décisions contradictoires, les actions répétées et les oublis dans le suivi de l’incident.

Sécuriser les accès sans effacer les éléments utiles

• Changez immédiatement les mots de passe WEDA ainsi que ceux qui ont été réutilisés sur d’autres services.
• Activez l’authentification multifacteur lorsqu’elle est disponible.
• Révoquez les sessions actives et supprimez les comptes devenus inutiles.
• Contrôlez les journaux de connexion, les appareils inconnus et les exportations inhabituelles.
• Lancez les mises à jour des postes, du réseau et de l’antivirus, puis effectuez une analyse complète.
• Conservez les e-mails suspects, les captures d’écran et les alertes techniques sans les modifier.

Ne limitez pas les vérifications au logiciel médical. Une messagerie compromise, un poste partagé ou un accès distant mal protégé peut avoir servi de point d’entrée. En cas de doute sérieux, contactez rapidement le prestataire informatique ou le référent chargé de la sécurité. Évitez toutefois de supprimer des fichiers, des messages ou des journaux avant d’avoir recueilli les éléments utiles à l’analyse.

Maintenir les soins en mode dégradé

Le mode dégradé doit rester simple et sécurisé. Préparez une liste minimale des rendez-vous, une fiche de consultation papier, les coordonnées nécessaires et une procédure de ressaisie dès le retour du logiciel. Limitez les informations collectées à ce qui est nécessaire et conservez les documents dans un espace fermé.

À la reprise, attribuez clairement la ressaisie à une personne et vérifiez les prescriptions, allergies, actes et résultats enregistrés pendant l’interruption. Cette vérification réduit le risque d’omission ou de doublon dans les dossiers patients.

Notification CNIL : qui doit déclarer et dans quels cas ?

Une cyberattaque ne conduit pas automatiquement chaque professionnel utilisant WEDA à effectuer une déclaration individuelle. Il faut d’abord identifier le responsable de traitement, c’est-à-dire l’entité qui détermine les finalités et les moyens du traitement des données. Selon l’organisation, il peut s’agir d’un cabinet, d’un praticien exerçant en son nom, d’une structure de santé ou d’une MSP.

Lorsqu’une violation de données personnelles est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable de traitement doit notifier la CNIL. Si le risque est élevé pour les patients, ceux-ci doivent également recevoir une information claire, accompagnée de mesures de protection concrètes. Lorsque l’éditeur agit comme sous-traitant, il doit transmettre à la structure les informations nécessaires à l’évaluation et à la notification.

1. Rassemblez les communications de WEDA et les éléments techniques disponibles.
2. Déterminez les catégories de données et de personnes potentiellement concernées.
3. Évaluez les risques liés à la confidentialité, à l’usurpation d’identité et aux conséquences médicales ou sociales.
4. Documentez la décision, y compris lorsqu’aucune notification n’est finalement requise.
5. Effectuez la démarche via le service de notification de violation de données personnelles de la CNIL si les critères sont remplis.

En cas d’incertitude, établissez une chronologie des faits et sollicitez le délégué à la protection des données, un conseil juridique ou votre organisation professionnelle. Cette documentation permet de conserver les décisions prises, les informations examinées et les mesures mises en œuvre.

Retrouver la confiance après l’incident

Le retour du service ne clôt pas la gestion de crise. Dans les semaines suivantes, contrôlez les accès, corrigez les faiblesses révélées par l’incident et rétablissez une communication fiable avec les patients. Une information sobre doit distinguer ce qui est connu, ce qui reste en cours d’analyse, les précautions prises et le canal à utiliser pour poser une question.

Les mises à jour transmises par WEDA restent la première référence pour connaître le périmètre technique de l’incident et les actions demandées aux utilisateurs. Les recommandations de l’ANSSI fournissent aussi des repères sur les mots de passe, les sauvegardes, le cloisonnement des accès et la réponse aux incidents.

Enfin, utilisez cet événement pour tester vos procédures. Vérifiez la restauration des sauvegardes, assurez-vous que chaque compte est nominatif, rappelez les consignes contre le phishing et formalisez un contact d’urgence informatique. La confiance dans un logiciel médical dépend aussi de la capacité de l’éditeur et des professionnels à détecter, contenir, expliquer et corriger rapidement un incident.