10 novembre 2025
Weda
Entreprise Santé
Le document WEDA destiné à aider ses clients à remplir la notification CNIL indique que la supervision a détecté, à 17 h le 10 novembre 2025, un pic d’activité anormal sur un compte client multipliant les appels d’API. Une fois un utilisateur authentifié sur un compte client WEDA, l’API pouvait renvoyer des données patients même lorsque ces patients n’étaient pas rattachés au compte de ce professionnel de santé.
Environ 23 000 professionnels de santé ont perdu l’accès normal lorsque WEDA a fermé l’application à 23 h. Ce chiffre décrit un blocage opérationnel, pas un décompte de patients. WEDA a classé l’événement comme une perte de confidentialité et indiqué les patients comme catégorie concernée, tout en précisant que le nombre approximatif d’enregistrements et de personnes était encore en cours d’investigation.
Faits datés dans le dossier public
17 h : activité API anormale sur un compte client. Un second compte montre le même schéma vers 21 h. À 23 h, WEDA ferme l’application pour tous les utilisateurs.
La CNIL indique avoir été informée de la violation de données WEDA à compter de cette date.
WEDA mobilise une assistance forensique, dépose plainte auprès de la Police nationale et entame des échanges avec l’ANSSI.
Accès partiel rétabli. Identifiant et mot de passe seuls ne suffisent plus ; Pro Santé Connect ou CPx est exigé, et les points d’accès vulnérables sont retirés.
Comment cela s’est passé
L’activité suspecte est passée par des comptes clients authentifiés. L’API concernée avait un problème de frontière d’autorisation : un compte client connecté pouvait interroger des données patients non rattachées à ce professionnel. Il s’agit d’un défaut d’autorisation après une session valide, pas seulement d’une intrusion serveur non précisée. Le document n’établit pas comment l’attaquant a pris le contrôle des comptes clients — hameçonnage, stuffing d’identifiants, réutilisation de comptes ou autre technique ne sont pas prouvés. WEDA a qualifié la cause d’acte malveillant externe, dans la catégorie piratage, maliciel ou hameçonnage pour la notification CNIL.
Ce qui a été exposé
Le document primaire de WEDA indique que l’API pouvait appeler des données patients stockées dans les bases WEDA au-delà des frontières entre clients. Il demande aux organisations clientes de classer la catégorie concernée comme les patients, et précise que le nombre approximatif d’enregistrements et de personnes restait en cours d’investigation. Cela étaye un risque de violation de confidentialité de données de santé. Cela ne justifie pas d’inventer un décompte national de patients. Le chiffre de 23 000 est le nombre de professionnels de santé touchés opérationnellement par l’arrêt.
Ce qui n’était pas dans le périmètre
Aucun total public fiable et définitif de dossiers patients concernés n’a été trouvé. Les éléments ne permettent pas d’établir l’export massif de l’ensemble des dossiers patients WEDA. Les professionnels locaux qui ont ensuite indiqué à leurs patients que leur cabinet n’avait pas identifié de données de santé compromises ne doivent pas être généralisés en une affirmation qu’aucune donnée patient WEDA n’a été consultée nulle part.
Ce que cela a changé concrètement
L’arrêt a immédiatement perturbé les parcours de soins. Les cliniciens ont temporairement travaillé sans accès électronique normal aux antécédents, prescriptions, courriers et outils de facturation, en revenant parfois au papier et en demandant aux patients d’apporter des documents récents. Le risque de confidentialité est particulièrement grave parce que le système stocke des informations de santé. Même un accès non autorisé à un sous-ensemble plus restreint de données médicales peut créer des risques importants de vie privée et de discrimination.
Ce qui a suivi
WEDA a fermé le service, désactivé les comptes suspects, bloqué les adresses IP sources, fait appel à une assistance forensique, contacté l’ANSSI, déposé plainte et accompagné la notification CNIL. Avant la réouverture, elle a revu Pro Santé Connect, durci les restrictions d’IP sources, retiré les points d’accès vulnérables et limité la connexion des professionnels à des mécanismes d’authentification santé plus forts pendant la période de rétablissement dégradé.
Ce que les suites ont modifié
Parler d’une intrusion non précisée est trop vague au vu du document primaire ultérieur de WEDA. Le dossier public étaye désormais l’usage de comptes clients authentifiés pour appeler des API, une API capable de renvoyer des données patients hors du périmètre du client, et une perte de confidentialité. Le nombre de patients concernés reste inconnu.
Dans leurs mots
un pic d’activité anormal
Document WEDA de notification CNIL
Perte de la confidentialité
Document WEDA de notification CNIL
toujours en cours d’investigation
Document WEDA de notification CNIL
Qu’est-ce que cela veut dire ?
- Hameçonnage
- Un message ou un appel qui imite une vraie organisation pour vous faire donner un mot de passe, un code ou un paiement.
- Identifiants
- Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.