Logiciel WEDA cyberattaque : ce qui s'est passé en novembre 2025 et les leçons pour la cybersécurité en santé

En novembre 2025, une cyberattaque a frappé le logiciel médical WEDA. Utilisé par quelque 23 000 professionnels de santé en France – médecins, infirmiers, sages-femmes, structures pluriprofessionnelles –, cet outil SaaS centralise dossiers patients, consultations, ordonnances et facturation. Le 10 novembre au soir, l'éditeur (filiale du groupe Vidal) a repéré une activité anormale sur plusieurs comptes. La plateforme a été coupée net. Pendant plusieurs jours, des milliers de cabinets ont tourné sans accès à leurs données électroniques. Retour au papier forcé, facturation manuelle, consultations un peu dans le brouillard.

Le point intéressant, pour qui suit les incidents de cybersécurité, c'est moins le "comment ils sont rentrés" que ce que révèle cette histoire sur la fragilité des outils numériques en santé. On va y aller dans l'ordre.

Chronologie de l'incident WEDA

Tout commence dans la soirée du lundi 10 novembre 2025. Vers 17h-21h, une première alerte sur un compte d'un médecin parti du cabinet : activité anormale, consultation de dossiers de patients qui n'étaient pas les siens. Puis, à partir de 22h, d'autres comptes montrent le même genre de comportement. À 23h, l'équipe technique prend la décision : tout fermer pour stopper l'intrusion.

WEDA qualifie ça de "tentative d'intrusion" et d'"activité inhabituelle sur certains comptes utilisateurs". Pas de revendication publique, pas de ransomware. Juste des accès non autorisés qui ont permis, potentiellement, d'explorer et d'extraire des données.

Le 12 novembre, plainte déposée auprès des forces de l'ordre. Notification à la CNIL et à l'ANSSI. Les utilisateurs reçoivent les premiers messages les 12-14 novembre. Le 14, reprise partielle : accès en lecture aux dossiers existants via connexion sécurisée. Les fonctions d'écriture (nouveaux dossiers, facturation, télétransmission) ont mis plus longtemps à revenir. Certains modules, comme la synchronisation MSSanté, ont gardé des bugs plusieurs semaines.

Ce que l'on sait sur les données compromises

Les analyses internes de WEDA indiquent que les accès malveillants "auraient pu permettre une extraction partielle de données". On parle de données d'identité (nom, prénom, adresse, email, téléphone) et de données de santé (historiques, pathologies, résultats d'examens, ordonnances). Le secret médical est directement dans la ligne de mire.

À ce jour, il n'existe pas de confirmation publique d'une exfiltration massive ni de volume précis. WEDA a toujours dit que ni l'ampleur ni la confirmation formelle n'étaient établies au moment des premières communications. En mars 2026 encore, les FAQ de l'éditeur parlaient d'incident maîtrisé et recommandaient surtout une vigilance accrue contre le phishing.

Honnêtement, ce flou est assez classique. Les enquêtes techniques prennent du temps, et les éditeurs évitent de donner trop de détails tant que l'investigation tourne. Ce qui compte, c'est que l'incident a été traité comme une violation de données potentielle dès le départ.

Le vecteur probable ? Des identifiants utilisateurs compromis, via malware sur poste de travail (keylogger) ou mots de passe réutilisés. Une fois à l'intérieur, les attaquants ont exploité les droits associés à ces comptes pour accéder à d'autres dossiers. Ça pose question sur les contrôles d'accès et la segmentation dans ce type de plateforme multi-locataires.

L'impact opérationnel sur les cabinets

Pour les 23 000 professionnels concernés, ça n'a pas été qu'une histoire de données. C'est tout le quotidien qui s'est arrêté. Plus d'accès aux historiques patients. Plus de transmission électronique. Des équipes qui rappelaient les patients pour qu'ils ramènent leurs ordonnances papier ou leurs résultats d'analyses.

Dans les maisons de santé pluriprofessionnelles, la coordination entre médecins, infirmiers et autres soignants est devenue un casse-tête. Un praticien parlait de consultations "dans le brouillard". Un autre pointait le vrai problème : tout est dans le cloud, et quand le cloud s'arrête, il n'y a plus de plan B local solide.

Ce n'est pas anodin dans un secteur où la continuité des soins est critique. L'incident WEDA a mis en lumière une dépendance forte à un seul prestataire, sans toujours de mécanismes de résilience suffisants.

RGPD, CNIL et responsabilités : qui fait quoi ?

WEDA est sous-traitant. Les médecins et les structures sont responsables de traitement. C'est à eux d'évaluer le risque, de notifier la CNIL si nécessaire (article 33 RGPD) et d'informer les patients en cas de risque élevé pour leurs droits et libertés (article 34).

WEDA a alerté les autorités et a fourni des analyses d'impact à ses clients. Elle a aussi envoyé des fichiers permettant d'identifier les patients potentiellement concernés. Mais elle ne peut pas notifier à leur place ni informer directement les patients, pour des raisons de secret médical et de statut juridique.

Des syndicats comme la CSMF ont publié des recommandations pragmatiques : changer les mots de passe WEDA tout de suite, vérifier qu'ils ne sont pas réutilisés ailleurs, documenter l'incident, et privilégier une information générale des patients (affichage en salle d'attente, site web, serveur vocal) plutôt qu'un envoi individuel à des milliers de personnes – souvent disproportionné et irréalisable pour un cabinet.

En mars 2026, les FAQ WEDA indiquaient que l'évaluation du risque restait entre les mains des professionnels et que, dans de nombreux cas, une information individuelle n'était pas obligatoire. Vigilance contre le phishing recommandée, mais pas de panique généralisée.

Les leçons cybersécurité de l'affaire WEDA

Ce qui frappe dans cet incident, c'est à quel point il illustre les risques de la supply chain en santé numérique. On n'attaque pas forcément l'hôpital lui-même. On vise le prestataire qui centralise les données de dizaines de milliers de cabinets. C'est plus rentable, plus discret, et l'impact est immédiat.

Le vecteur (comptes utilisateurs compromis) rappelle des fondamentaux qu'on voit encore trop souvent négligés :

• Mots de passe uniques et robustes pour chaque outil critique.
• Authentification multifacteur activée partout où c'est possible (WEDA a renforcé ses mesures après l'incident).
• Surveillance des anomalies de connexion (horaires, IP, volumes d'accès).
• Plans de continuité qui ne reposent pas uniquement sur "le logiciel va revenir".

Pour les éditeurs de logiciels médicaux, ça impose aussi des exigences plus fortes : segmentation fine des accès, détection comportementale en temps réel, tests d'intrusion réguliers, et une vraie capacité à isoler rapidement un compte compromis sans tout couper.

L'incident WEDA n'est pas isolé. D'autres outils de santé ont connu des problèmes similaires dans la même période. La numérisation du secteur avance vite, mais la robustesse et la résilience ne suivent pas toujours au même rythme.

Ce que vous pouvez faire concrètement aujourd'hui

Si vous utilisez WEDA ou un outil équivalent :

Changez les identifiants liés à la plateforme et activez la double authentification. Vérifiez les logs de connexion pour repérer des accès suspects. Documentez tout ce que vous avez fait depuis l'incident – ça compte pour la conformité RGPD.

Mettez en place un vrai plan de continuité : même basique, avec des procédures papier rodées et des exports périodiques des données critiques. Formez votre équipe aux risques de phishing et de malware, parce que c'est souvent par là que ça rentre.

Et plus largement : traitez la cybersécurité comme une question de continuité des soins, pas seulement de case à cocher. Quand un outil tombe, ce sont les patients qui en subissent les conséquences en premier – retards de prise en charge, erreurs potentielles par manque d'information, perte de confiance.

Au bout du compte, l'histoire du logiciel WEDA montre que protéger les données de santé, c'est autant une affaire de technique que d'organisation et de préparation. Les menaces ne vont pas disparaître. Reste à voir si les acteurs du secteur vont investir sérieusement dans la résilience ou continuer à gérer les incidents au coup par coup.