Cyberattaque Weda – Des leçons à tirer

Sur le plan technique

Les sites d’hébergement de données médicales personnelles sont sécurisés, mais il y a des voies d’accès détournées, que ce soit par l’ingénierie sociale ou par des failles logicielles.

En l’espèce se sont des logiciels malveillants de vols de données qui ont été utilisés (cleptogiciels ou infostealers) qui ont préalablement dérobé les identifiants de connexion de certains utilisateurs.

• Un accompagnement des médecins et de tout leur personnel reste d’actualité pour mieux connaitre les pièges des biais cognitifs. C’est le travail de formation de l’URPS depuis quelques années.
• La sécurisation des postes de travail est prioritaire : antivirus actif, mises à jour régulières de tous les logiciels, et surtout ne jamais réutiliser un même mot de passe sur plusieurs services !
• Nécessité d’utiliser des applications de sécurisation de connexion, comme Pro Santé Connect ou une double authentification, certes contraignantes. L’utilisation de canaux sécurisés de communication (VPN) est aussi à réfléchir. Weda a d’ailleurs procédé après l’incident à des modifications structurelles de ses systèmes d’accès et d’authentification.
• Cet événement doit aussi influencer nos choix du logiciel métier, à une époque où la plupart d’entre nous bascule vers des logiciels hébergés à distance (SAS). Se repose la question d’un logiciel à hébergement local, certes plus lourd à gérer mais nous proposant d’avoir un « coffre-fort à domicile plutôt qu’à la banque ».
• Développement de solutions de repli en cas de problème, par une application de l’éditeur installée sur notre poste ou par un accès aux informations du DMP (ESEA en Nouvelle Aquitaine travaille sur le projet CONFLUENCE, avec pour objectif de présenter sous la forme d’une « ligne de vie » les éléments principaux du DMP du patient). Cela donne accès à des informations certes partielles mais permet d’attendre sans trop de dégât le rétablissement complet du logiciel métier.
• Nécessité de réfléchir à un « plan de continuité » au sein de son cabinet, avec par exemple, imprimer les plannings des prochains jours – conserver des blocs d’ordonnance « papier » – demander aux patients de garder leurs principaux documents…

Sur le plan juridique

La déclaration de l’évènement à la CNIL était impérative dans les 72h. Un point important à clarifier : Weda, ou tout éditeur de logiciel, agit en tant que sous-traitant (au sens du RGPD, art. 28), et a notifié lui-même les autorités. Mais cette démarche ne dispense pas le praticien de ses propres obligations en tant que responsable de traitement : si des données de vos patients ont pu être compromises, vous devez effectuer votre propre déclaration à la CNIL et informer votre patientèle en cas de risque élevé.
Sommes-nous protégés par nos assurances ? La garantie cybersécurité n’est pas toujours incluse dans notre multirisque professionnelle, et cela mérite d’être étudié.

Sur le plan communication

Nous avons été devant un éditeur de logiciel fournissant au compte-goutte une information certes objective à ses clients, mais ne pouvant répondre à toutes les questions sur l’activité professionnelle durant l’évènement.

Sur le plan psychologique

Un travail médical ralenti et non sécurisé, sans connaitre son planning et avec la nécessité d’une saisie a posteriori des informations, restera un stress et une perte de temps importants pour les praticiens victimes.

Un événement qui n’est pas isolé…

L’affaire Weda n’est malheureusement pas un incident unique. Fin 2025, le logiciel MonLogicielMedical (Cegedim) a été victime d’une cyberattaque d’une toute autre ampleur : les données de 11 à 15 millions de patients français se sont retrouvées en vente sur le dark web, révélées par France 2 en février 2026. Cet événement n’a été médiatisé que trois mois après les faits… Le secteur de la médecine de ville est désormais une cible identifiée et récurrente.

Sur le plan réglementaire, un premier levier existe désormais : le décret n°2026-153 du 3 mars 2026 prévoit la possibilité de sanctionner financièrement les éditeurs de services numériques en santé qui ne respectent pas les référentiels de sécurité de l’ANS — jusqu’à 1 % de leur chiffre d’affaires, avec publication publique des manquements. C’est une avancée, mais elle ne protège pas les médecins des incidents : elle crée une pression réglementaire sur les éditeurs après coup.