Cyberattaque du logiciel Weda

1. Contexte et déroulé de l’incident

Dans la nuit du 10 novembre 2025, l’éditeur du logiciel médical Weda (groupe Vidal) a détecté une « activité inhabituelle sur certains comptes utilisateurs », laissant présumer un accès non autorisé à sa plateforme SaaS. Par précaution, Weda a immédiatement suspendu l’accès à ses services, entraînant plusieurs jours d’indisponibilité pour les professionnels de santé.

Selon les chiffres communiqués, plus de 23 000 professionnels de santé (sur environ 85 000 utilisateurs revendiqués) ont été directement concernés par cette interruption.  L’éditeur indique que ses premières analyses « montrent que des accès malveillants auraient pu permettre une extraction partielle de données ». À ce stade, l’éditeur n’a pas encore précisé quelles données précises ont été consultées ni dans quel volume, et indique que l’accès non autorisé aurait pu se produire via des comptes utilisateurs compromis.

L’accès non autorisé constitue, à lui seul, une violation de données à caractère personnel au sens du RGPD, même si aucune suppression, altération ou exfiltration n’a été confirmée.

Les autorités compétentes – CNIL (Commission nationale de l’informatique et des libertés) et ANSSI (Agence nationale de la sécurité des systèmes d’information)– ont été saisies et une plainte a été déposée par Weda.

2. Les conséquences pour les utilisateurs du logiciel Weda

a) Continuité des soins et activité perturbées

La suspension soudaine de l’accès à Weda a contraint de nombreux cabinets, centres de santé et maisons de santé pluriprofessionnelles (MSP) à basculer en gestion dégradée : retour aux dossiers papier, absence d’historique des patients, etc.

Ce retour au manuel a engendré retards, surcharge administrative et hausse du risque d’erreurs opérationnelles.

b) Risque sur la confidentialité des données

Les données hébergées dans Weda sont particulièrement sensibles au sens du RGPD :identité des patients, numéros de sécurité sociale, données de santé, antécédents, traitement en cours, résultats d’examens, etc.

Un accès non autorisé à ce type d’informations peut entraîner des usages malveillants.  Lorsqu’un tiers parvient à obtenir des informations d’identité et des données de santé, le risque d’escroqueries ciblées augmente fortement. En pratique, ces éléments permettent à un cybercriminel de construire des messages frauduleux très convaincants, facilitant la manipulation des personnes concernées. Cela peut conduire à la collecte d’informations supplémentaires, à des demandes de paiement pour de prétendus frais médicaux, à des actes de fraude à l’assurance maladie, voire à des tentatives de chantage fondées sur la sensibilité des données.

Même si l’éditeur n’a pas confirmé à ce stade une exfiltration massive de données, l’accès non autorisé est avéré et la possibilité d’une compromission partielle d’informations reste réelle.

c) Obligations juridiques et réglementaires

Entant que responsables de traitement, les cabinets médicaux, MSP et structures utilisant Weda restent soumis à leurs obligations au titre du RGPD.

Weda intervient, quant à lui, en tant que sous-traitant, et a déjà entrepris ses propres démarches, notamment la notification de la violation à la CNIL. Cependant, cette notification par le sous-traitant ne dispense pas les responsables de traitement de leurs propres obligations.

Chaque utilisateur doit donc analyser sa situation et, le cas échéant, procéder à ses propres notifications et mesures de sécurité.

3. Les actions à mener immédiatement par les utilisateurs

Si vous êtes utilisateur du logiciel Weda, Alowa vous recommande les actions suivantes :

1. Vérification immédiate de vos systèmes

Consultez vos accès à Weda et contrôlez l’intégrité des dossiers patients : assurez-vous que les dossiers et données patients sont accessibles, complets et non altérés.

Vérifiez les logs de connexion si disponibles : identifier les connexions inhabituelles (en dehors des heures de travail, depuis un autre pays, etc.).

Vérifier la mise à jour des postes et logiciels : s’assurer que tous vos équipements et logiciels sont à jour (système, antivirus, pare-feu).

Lancez des analyses antivirus/antimalware sur tous les postes de travail, tablettes ou smartphones connectés à votre établissement dans la mesure où la cyberattaque a pu être réalisée via des comptes utilisateurs compromis.

2. Sécurisation des identifiants et accès

Changez immédiatement tous les mots de passe liés à Weda (et services associés) et vérifier qu'ils ne sont pas réutilisés sur d’autres outils ou services, sinon modifier ces mots de passe également.

Si ce n’est pas déjà fait, activez l’authentification forte/double facteur(MFA) sur vos comptes.

Informez et sensibilisez vos collaborateurs à la vigilance concernant les courriels/sms suspects (phishing) se faisant passer pour Weda ou un organisme de santé. Les utilisateurs doivent être informés de ne répondre à aucune demande de documents médicaux, d’identifiants ou de «validation de compte Weda » reçue par SMS ou email et être vigilant s’ils reçoivent tout lien visant à « vérifier des données ».

3. Notification de la violation de données

Entant que responsable de traitement, vous avez également l’obligation de notifier une violation de données à la CNIL, dans les 72 heures après avoir pris connaissance de la violation de données. Si le délai est dépassé, vous avez toujours la possibilité de réaliser la notification en justifiant le retard.

Même si vous ne savez pas encore si vos dossiers ont été spécifiquement consultés ou extraits, l’accès non autorisé aux environnements de Weda constitue une violation avérée, susceptible d’avoir un impact sur vos patients.

👉 Alowa recommande donc de procéder à la notification, y compris en cas de doute raisonnable, afin de démontrer votre transparence et vous protéger en cas de conséquences ultérieures (phishing ciblé, fraude, réclamations…).

Pour notifier la violation de données, rendez-vous sur le site de la CNIL.

4. Information des patients

En plus de la notification, vous avez également l’obligation d’informer les patients lorsque la violation de données « est susceptible d’engendrer un risque élevé » pour les patients.

Cette information a pour objectif de démontrer votre transparence vis-à-vis des patients et les avertir des conséquences probables de la violation de données. Les patients sont ainsi informés et pourrons prendre les précautions utiles pour se prémunir de la cyberattaque et se protéger.

Dans tous les cas, Alowa vous recommande de fournir cette information :

-         a minima par un affichage au cabinet,

-         idéalement par email ou courrier si cela est possible.

5. Renforcement et prévention pour l’avenir

Mettre en place un plan de continuité (PCA/PRA) : il permettra de vous prémunir d’une nouvelle indisponibilité de votre système d’information, en définissant à l’avance les actions à mettre en œuvre et les méthodes de travail pour continuer votre activité en toute sécurité.

Mettre à jour ou définir une politique de mot de passe (gestionnaire, complexité, pas de réutilisation).

Les utilisateurs du logiciel ont normalement reçu une information de la part de Weda pour les informer de la cyberattaque. Les utilisateurs doivent suivre les recommandations et leurs futures communications pour documenter la violation de données.

‍

4. Comment Alowa peut vous accompagner

Chez Alowa, nous accompagnons les organismes dans leur mise en conformité RGPD, et notamment dans la gestion des risques liés aux données et des violations de données. Voici comment nous pouvons intervenir dans ce contexte :

-         Audit rapide de votre situation : en lien avec l’incident Weda, nous réalisons un diagnostic de vos usages et traitements de données.

-         Notification à la CNIL et information des patients : nous vous accompagnons pour réaliser sereinement la notification de violation de données à la CNIL et fournissons la note d’information à communiquer à vos patients.

-         Documentation de la violation : nous établissons votre dossier de preuves en lien avec la violation et renseignons votre registre des violations de données.

‍

Ensuite, une fois l’urgence passée :

-         Mise en place ou renforcement de votre plan de conformité RGPD et sécurité : actualisation ou création des procédures, accompagnement et conseils concernant la sécurité des données (politique de mot de passe, gestion des accès, journalisation, sensibilisation des équipes, etc.)

-         Documentation et preuve de conformité : maintien d’un registre des traitements, suivi d’un plan d’action personnalisé (ce qui vous permettra de justifier vos mesures en cas de contrôle), etc.

La cyberattaque visant Weda rappelle brutalement combien la dépendance aux plateformes SaaS dans le secteur de la santé nécessite vigilance.

La conformité RGPD ne consiste pas seulement à « remplir des documents ». C’est instaurer une véritable culture de maîtrise des risques.

Dans un environnement où les cyberattaques visant les logiciels médicaux et les données de santé se multiplient, les structures qui ont anticipé, documenté et sécurisé leurs pratiques sortent clairement gagnantes : moins de stress, moins de risques juridiques et une reprise d’activité bien plus rapide et efficace.

C’est précisément l’objectif d’Alowa : permettre de passer d’une mise en conformité « symbolique »à une conformité opérationnelle, simple, structurée et protectrice. Une conformité qui ne se voit pas seulement sur le papier, mais qui se ressent face aux crises numériques.

‍

Besoin d’un coup de patte pour gérer cet indicent ? Alowa est là.

Contactez-nous pour un accompagnement en toute sérénité

‍