Les titulaires d'un carnet de vaccination numérique MesVaccins.net, ainsi que les élèves des campagnes de vaccination en collège et leurs représentants légaux, sont concernés par une fuite de données confirmée. Les deux services sont développés et opérés par la même société bordelaise, Syadem. Le 29 septembre 2026, un ensemble présenté comme issu des deux plateformes a été mis en vente sur un forum cybercriminel.
Deux services, un même opérateur
Lancé en 2009, MesVaccins.net est une plateforme française de carnet de vaccination numérique et d'aide à la décision vaccinale, utilisée par le grand public comme par les professionnels de santé. Syadem, qui la développe et l'opère, gère aussi une autre plateforme : celle qui recueille les autorisations parentales pour les campagnes de vaccination en collège contre les papillomavirus (HPV) et les méningocoques ACWY, pour le compte des agences régionales de santé.
La chronologie de l'incident
Syadem a découvert l'intrusion le 15 juin 2026. Le 22 juin, un incident sur la plateforme de recueil des autorisations parentales a été signalé aux centres de vaccination et aux agences régionales de santé. Le 23 juin, MesVaccins.net a informé ses utilisateurs qu'un tiers non autorisé avait pu accéder à des données personnelles du carnet et en obtenir une copie.
Du 2 au 8 juillet, plusieurs agences régionales de santé, dont celles de Provence-Alpes-Côte d'Azur, d'Auvergne-Rhône-Alpes et de Nouvelle-Aquitaine, ont informé les familles des élèves. Deux d'entre elles ont présenté la faille comme résolue par le prestataire. En août, Syadem a indiqué avoir fait auditer son système par un prestataire indépendant et reconstruit son infrastructure.
Les données déclarées
Pour le carnet, MesVaccins.net a cité l'identité et les coordonnées, le numéro de sécurité sociale lorsqu'il était renseigné, et des données de santé : données vaccinales et profil santé enregistré sous forme codée. Selon la plateforme, les mots de passe, stockés chiffrés, n'étaient pas concernés, et aucune exposition d'informations médicales en clair n'avait été identifiée.
Pour les campagnes en collège, les agences régionales de santé ont cité l'identité et l'établissement des élèves, leur statut vaccinal, ainsi que les coordonnées, la signature et le numéro et le régime de sécurité sociale des représentants légaux.
Aucun nombre de personnes n'a été communiqué. MesVaccins.net considère par précaution tous les titulaires d'un carnet comme potentiellement concernés, et les agences retiennent l'ensemble des élèves des campagnes en collège et leurs représentants légaux.
La mise en vente de septembre
Le 29 septembre 2026, un acteur a mis en vente un ensemble présenté comme issu de MesVaccins.net et de Syadem, couvrant les deux plateformes. Selon l'annonce, il représenterait environ 533 Go répartis sur plus d'un million de fichiers, dont environ 535 000 documents de santé et près de 480 000 numéros de sécurité sociale.
L'annonce cite aussi des pièces d'identité, des données de facturation, des éléments liés aux mots de passe et aux sessions de connexion, des clés de serveurs et le code source de l'éditeur. Elle porte donc sur des catégories que les notifications n'évoquaient pas, et les mots de passe qu'elle mentionne avaient été déclarés hors de cause par MesVaccins.net. Au 30 septembre 2026, la page d'information de Syadem ne faisait pas état de la mise en vente.
Pourquoi c'est sensible
Un numéro de sécurité sociale ne se change pas : associé au nom et à la date de naissance, il facilite l'usurpation d'identité. Pour les élèves, c'est souvent celui d'un parent qui figure au dossier, ce qui expose deux personnes à la fois. Des informations de santé réelles et le nom du collège pourraient aussi rendre crédibles des messages frauduleux se présentant comme l'agence régionale de santé, l'établissement, un centre de vaccination ou l'assurance maladie.
Détails techniques :
- Intrusion découverte par Syadem le 15 juin 2026 ; CNIL notifiée et plainte déposée
- Incident de la plateforme scolaire signalé le 22 juin 2026, notification de MesVaccins.net le 23 juin 2026, courriers et communiqués des agences régionales de santé du 2 au 8 juillet 2026
- Mise en vente annoncée le 29 septembre 2026, volumes non vérifiés
- Chiffres publics de 2017 : plus de 11 000 professionnels de santé abonnés, plus de 1,8 million de vaccins enregistrés, près de 3 millions de visites, sans lien établi avec le nombre de personnes concernées en 2026
Données concernées :
- Identité, date de naissance, sexe et nationalité
- Adresse électronique, téléphone et adresse postale
- Numéro de sécurité sociale
- Données de santé et dossier médical
- Données de mineurs et établissement scolaire
- Signature des représentants légaux
- Identifiant de professionnel de santé
- Factures et montants
- Documents
Données annoncées non vérifiées :
- Environ 533 Go
- Plus d'un million de fichiers
- Environ 535 000 documents de santé
- Près de 480 000 numéros de sécurité sociale
- Pièces d'identité
- Éléments liés aux mots de passe et aux sessions de connexion
- Clés de serveurs
- Code source de l'éditeur
Mentions :
Statut Fuites Infos : Confirmée