Fuite de données Change Healthcare : le plus grand piratage de santé de l’histoire

✦Faites exploser le trafic de votre site webEn savoir plus

Cent quatre-vingt-douze millions sept cent mille personnes : le bilan officiel de la fuite de données Change Healthcare, transmis au régulateur américain le 31 juillet 2025, touche près de 55 % de la population des États-Unis (CyberInsider, août 2025). Derrière ce record se cache une attaque de février 2024 entrée par une porte dérisoire, un portail sans double authentification, et une rançon de 22 millions de dollars payée pour rien ou presque. L’affaire dépasse la santé américaine : elle raconte ce qui arrive quand tout un secteur dépend d’une seule plateforme, et ce que chaque dirigeant devrait vérifier chez lui comme chez ses prestataires.

La réponse courte : La fuite Change Healthcare est la plus grande fuite de données de santé de l’histoire : 192,7 millions de personnes touchées par le rançongiciel ALPHV/BlackCat de février 2024, une rançon de 22 millions de dollars payée et des paiements de soins figés à travers les États-Unis (CyberInsider, août 2025).

Temps de lecture : 13 min

Mis à jour le 10 novembre 2026

Les points clés

• 192,7 millions de personnes touchées, près de 55 % de la population américaine
• Entrée par un portail Citrix sans authentification multifacteur
• Rançon de 22 millions de dollars payée, fuite non évitée
• Des semaines de paiements de soins figés dans tout le pays

Qu’est-ce que la fuite de données Change Healthcare ?

La fuite de données Change Healthcare est la conséquence d’un rançongiciel de février 2024 attribué au groupe ALPHV/BlackCat, qui a exposé les informations de 192,7 millions de personnes, la plus grande fuite de données de santé de l’histoire des États-Unis (CyberInsider, août 2025). La plateforme appartient à UnitedHealth Group, premier assureur santé américain, et sert de plaque tournante aux factures et remboursements du pays.

Une plateforme invisible et omniprésente

Change Healthcare traite les échanges entre hôpitaux, pharmacies et assureurs : vérification des droits, facturation, paiement. Les patients n’en connaissent pas le nom, mais leurs données y transitent à chaque ordonnance et à chaque consultation.

Cette position d’intermédiaire explique l’ampleur du choc : attaquer la plateforme revenait à attaquer d’un coup des dizaines de milliers d’établissements clients. Le rachat de Change Healthcare par UnitedHealth, finalisé peu avant l’attaque, avait justement été débattu pour ce motif de concentration : réunir l’assureur dominant et la tuyauterie de facturation du secteur créait un carrefour sans équivalent, donc une cible sans équivalent.

Un rançongiciel signé ALPHV/BlackCat

Un rançongiciel chiffre les systèmes et monnaye leur déverrouillage. L’attaque de février 2024 est attribuée à ALPHV/BlackCat, l’une des franchises criminelles les plus actives du moment, qui loue son logiciel à des affiliés contre un pourcentage des rançons (CyberInsider, août 2025).

La facturation en pharmacie, la facturation médicale et les systèmes de paiement ont été perturbés d’un coup, plongeant cliniques et officines dans des semaines d’improvisation. Le modèle de la franchise criminelle explique l’efficacité : le cœur du groupe perfectionne l’outil et la logistique de négociation, les affiliés apportent les intrusions, et chacun touche sa part de la rançon.

Pourquoi parle-t-on du plus grand piratage de santé de l’histoire ?

Le record tient au bilan humain : 192,7 millions de personnes, soit près de 55 % de la population américaine, un niveau jamais atteint par une fuite de données de santé (CyberInsider, août 2025). Aucun précédent, hôpital ou assureur, n’avait approché cette échelle.

Un bilan qui a doublé en dix mois

Le chiffrage a suivi une pente révélatrice : 100 millions annoncés en octobre 2024, 130 millions en janvier 2025, puis 192,7 millions transmis au régulateur le 31 juillet 2025 (CyberInsider, août 2025). Chaque vague de notification a élargi le périmètre.

Cette inflation n’a rien d’exceptionnel dans les grandes fuites : l’inventaire exact des données volées prend des mois, et les premières annonces minorent presque toujours la réalité. Pour les dirigeants, la conséquence pratique est double : ne jamais communiquer un bilan comme définitif tant que l’inventaire court, et dimensionner la cellule de crise pour des mois, pas pour des semaines.

Des données impossibles à révoquer

Les informations exposées couvrent noms, numéros de sécurité sociale, antécédents médicaux, demandes de remboursement et données de paiement (CyberInsider, août 2025). Un mot de passe volé se change ; un numéro de sécurité sociale et un historique médical accompagnent leur titulaire à vie.

C’est ce caractère définitif qui distingue les fuites de santé : leur valeur pour les fraudeurs ne s’érode pas avec le temps, elle se revend par couches pendant des années.

Comment les pirates sont-ils entrés, et pourquoi la rançon a-t-elle été payée ?

L’intrusion a commencé par un portail Citrix d’accès distant dépourvu d’authentification multifacteur : un identifiant volé a suffi, sans code de confirmation ni validation sur un second appareil (CyberInsider, août 2025). Les attaquants ont ensuite circulé neuf jours dans le réseau avant de déclencher le chiffrement.

Neuf jours d’exploration sans alarme

Ces neuf jours constituent la vraie fenêtre perdue : repérage des systèmes, vol des données, préparation du chiffrement. Une détection d’anomalies sur les connexions et les mouvements internes aurait eu neuf jours pour sonner.

La double leçon technique tient en deux lignes : l’authentification multifacteur bloque l’entrée, la surveillance des mouvements internes rattrape ce qui est entré quand même. L’authentification multifacteur, ou MFA, ajoute une preuve au mot de passe, un code ou une validation sur un second appareil : elle neutralise la majorité des identifiants volés, pour un coût de déploiement qui se compte en jours.

Une rançon payée, une fuite quand même

UnitedHealth a reconnu le paiement de 22 millions de dollars au groupe criminel pour récupérer les données (ITPro, janvier 2025). Le paiement n’a pas refermé la fuite : le bilan des personnes touchées a doublé après coup, et les pertes du groupe se chiffrent en milliards de dollars selon la même source.

L’épisode illustre la mécanique du crime organisé : payer finance l’industrie qui vous attaquera demain, sans garantie sur les copies des données déjà exfiltrées. Les autorités déconseillent le paiement pour cette raison, tout en reconnaissant que des opérateurs pris à la gorge, soins suspendus et trésorerie à sec, arbitrent rarement sur le principe.

Le débat s’est depuis déplacé vers l’assurance et la loi : faut-il interdire le paiement des rançons, le plafonner, ou imposer sa déclaration ? L’affaire Change Healthcare sert d’argument central aux trois camps, précisément parce que le paiement n’y a rien réglé.

Pour passer à l’action : garder la main sur votre IA : gouvernance et ROI.

Quelles conséquences pour les patients et les soignants ?

Les conséquences ont frappé en deux vagues : d’abord l’arrêt des flux financiers, qui a mis cliniques et pharmacies en difficulté de trésorerie, puis l’exposition durable des données intimes de la moitié du pays, dont les effets s’étaleront sur des années.

Des soins ralentis par une panne de facturation

Sans vérification des droits ni facturation, les officines ont avancé des médicaments à l’aveugle et les établissements ont vu leurs remboursements se figer (CyberInsider, août 2025). La santé a découvert qu’une panne administrative pouvait produire des effets cliniques : des patients repoussant un traitement faute de prise en charge confirmée, des praticiens arbitrant entre avancer les frais et refuser le soin.

Pour les petites structures, l’épisode a aussi été une crise de trésorerie pure : des semaines sans remboursement suffisent à mettre en danger une officine ou un cabinet, quelle que soit la qualité des soins délivrés. La dépendance à un flux de paiement unique est un risque vital, au sens propre.

Le régulateur fédéral, l’OCR, enquête toujours sur une éventuelle violation de la loi HIPAA, qui protège les données médicales américaines.

Un risque de fraude qui ne s’éteint pas

Pour les personnes touchées, le risque prend la forme d’usurpations d’identité, de fausses déclarations de soins et d’hameçonnages sur mesure, nourris par de vrais antécédents médicaux. La surveillance de crédit offerte quelques mois ne couvre pas des données valables à vie.

Les soignants, eux, gardent une leçon d’organisation : les établissements qui ont le mieux traversé la panne étaient ceux qui savaient encore travailler en mode dégradé, ordonnances papier et facturation différée comprises. La résilience ne s’improvise pas le jour de l’incident, elle s’entretient comme un exercice d’évacuation.

Que révèle l’affaire sur la concentration des infrastructures ?

L’affaire révèle le prix du point unique de défaillance : une plateforme qui concentre les flux d’un secteur concentre aussi son risque, et chaque client hérite des failles de son prestataire sans les connaître. Le phénomène dépasse la santé américaine.

Le même schéma d’un secteur à l’autre

L’industrie automobile britannique a vécu la même mécanique en 2025 : l’arrêt d’un seul constructeur a privé d’activité des milliers de fournisseurs, comme détaillé dans notre bilan de la cyberattaque Jaguar Land Rover. Les réseaux télécoms offrent la version espionnage du même schéma, documentée dans notre analyse de la campagne Salt Typhoon.

Dans les trois cas, la cible n’était pas la victime finale : c’était le nœud par lequel tout le monde passe. Les attaquants raisonnent en cartographes : ils cherchent le point du graphe dont la chute entraîne le plus de dépendants, exactement comme un investisseur cherche la position dominante. La défense doit adopter la même carte, en sens inverse.

L’automatisation des attaques aggrave l’équation

Les données volées en masse n’ont de valeur que triées, et les outils d’analyse automatisée s’en chargent désormais côté criminel comme côté marketing. L’étape suivante est déjà documentée : des agents d’IA qui mènent l’intrusion elle-même, comme dans la campagne GTG-1002 analysée ici.

Face à des attaquants outillés, la concentration des infrastructures transforme chaque faille élémentaire, comme un portail sans double authentification, en risque systémique. Le régulateur américain a d’ailleurs ouvert le débat sur des exigences minimales imposées aux acteurs pivots de la santé, sur le modèle de ce que l’Europe applique déjà aux secteurs essentiels.

Tirez cinq garde-fous de l’affaire Change Healthcare

Tirer les garde-fous de l’affaire ne demande ni budget d’assureur géant ni équipe dédiée : les cinq mesures qui auraient changé le cours de l’attaque sont à la portée d’une PME, à condition d’être appliquées sans exception.

Cinq mesures, zéro exotisme

• Authentification multifacteur sur tous les accès distants, sans dérogation
• Détection des mouvements internes anormaux, pas seulement des entrées
• Sauvegardes isolées du réseau et restaurations testées
• Cartographie des prestataires critiques et de leurs obligations de notification
• Mode dégradé écrit par processus vital : facturer, payer, livrer sans le système central

La hiérarchie compte : la première mesure aurait bloqué l’entrée, la deuxième aurait rattrapé les neuf jours d’exploration, les trois suivantes auraient réduit la facture et la durée de la crise. L’ordre d’investissement suit donc le déroulé de l’attaque, et non le catalogue des fournisseurs : on ferme la porte avant d’acheter des caméras.

Étendre l’exigence à ses prestataires

Le questionnaire fournisseur devient un outil de survie : authentification multifacteur imposée, délais de notification contractuels, preuve de tests de restauration. Un prestataire qui refuse de répondre donne déjà sa réponse.

Côté réglementation européenne, ces exigences cessent d’être volontaires : la directive NIS2 et le RGPD imposent déjà notification et mesures démontrables aux secteurs essentiels et à leurs chaînes, et l’AI Act ajoute depuis le 2 août 2026 ses obligations de transparence sur les usages d’IA. La conformité rejoint ici l’intérêt bien compris.

Cette discipline rejoint la méthode détaillée dans notre guide d’implantation de l’IA sans risque : mêmes réflexes de cloisonnement, de supervision et de traçabilité, que l’outil soit une plateforme de facturation ou un agent d’IA.

FAQ : la fuite Change Healthcare en questions

Qu’est-ce que la fuite de données Change Healthcare ?

La fuite de données Change Healthcare est la conséquence d’un rançongiciel de février 2024 attribué au groupe ALPHV/BlackCat, qui a exposé les informations de 192,7 millions de personnes, la plus grande fuite de données de santé de l’histoire des États-Unis (CyberInsider, août 2025). La plateforme, filiale de UnitedHealth Group, relie hôpitaux, pharmacies et assureurs : son arrêt a figé la facturation des soins à travers le pays pendant des semaines, et le bilan humain n’a cessé de grossir jusqu’à l’été 2025.

Combien de personnes sont touchées par la fuite Change Healthcare ?

Le bilan officiel atteint 192,7 millions de personnes, un chiffre transmis au régulateur américain de la santé le 31 juillet 2025 (CyberInsider, août 2025). L’estimation initiale d’octobre 2024 évoquait 100 millions, relevée à 130 millions en janvier 2025. Près de 55 % de la population américaine est potentiellement concernée, ce qui en fait la plus grande fuite de données de santé jamais recensée.

Quelles données ont été volées chez Change Healthcare ?

Les données exposées comprennent des noms, des numéros de sécurité sociale, des antécédents médicaux, des demandes de remboursement d’assurance et des données de paiement (CyberInsider, août 2025). Ce cocktail cumule le pire des deux mondes : des identifiants durables, impossibles à changer comme un mot de passe, et des informations intimes exploitables pour des fraudes ou des chantages pendant des années.

Comment les pirates sont-ils entrés dans Change Healthcare ?

L’accès initial est passé par un portail Citrix dépourvu d’authentification multifacteur : un simple identifiant volé a suffi (CyberInsider, août 2025). Les attaquants ont ensuite circulé neuf jours dans le réseau avant de déclencher le chiffrement. Autrement dit, la plus grande fuite de santé de l’histoire a commencé par l’absence d’une protection élémentaire, disponible sur étagère.

UnitedHealth a-t-il payé la rançon après l’attaque ?

Oui. Le groupe a reconnu le paiement d’une rançon de 22 millions de dollars au groupe ALPHV/BlackCat pour récupérer les données (ITPro, janvier 2025). Le paiement n’a pas empêché la fuite : le bilan des personnes touchées a continué de grossir jusqu’à 192,7 millions, et les pertes totales de l’opérateur se chiffrent en milliards de dollars selon la même source.

Que risque Change Healthcare sur le plan réglementaire ?

Le régulateur fédéral de la santé américain, l’OCR, enquête toujours sur une éventuelle violation de la loi HIPAA, qui encadre la protection des données médicales aux États-Unis (CyberInsider, août 2025). En Europe, un scénario comparable tomberait sous le RGPD et, pour les infrastructures critiques, sous les exigences de la directive NIS2 : notification rapide, mesures de sécurité démontrables et sanctions financières à la clé.

Qu’est devenu le groupe ALPHV/BlackCat après l’attaque ?

ALPHV/BlackCat fonctionnait comme une franchise : le cœur du groupe louait son rançongiciel à des affiliés chargés des intrusions, contre un pourcentage des rançons. Après l’affaire Change Healthcare et la rançon de 22 millions de dollars reconnue par UnitedHealth (ITPro, janvier 2025), la marque a disparu des radars dans des conditions troubles, ses affiliés se dispersant vers d’autres enseignes. La disparition d’un nom ne retire rien au modèle économique, qui se reconstitue ailleurs.

Quelle leçon principale une entreprise doit-elle tirer de l’affaire ?

La leçon tient en deux mots : point unique. Un prestataire qui concentre les flux de tout un secteur concentre aussi son risque, et chaque client hérite de ses failles. Cartographier ses dépendances critiques, exiger l’authentification multifacteur chez soi comme chez ses prestataires, et préparer un mode dégradé par processus vital : voilà le socle que l’affaire a rendu non négociable.

Diag IA offert — 30 minÉcrire à HDVMAParler à Eric

✦L’IA dans votre entreprise, c’est simple !En savoir plus

✦Que cherchez-vous ?466 articles · 12 domaines · réponse en quelques secondes

Automatiser mes devisÊtre visible dans ChatGPTUn LLM en localPar où commencer ?

➤

Réponses construites uniquement sur nos articles publiés.

Un article par semaine, dans votre boîte mail.Je m’inscris

Eric ChristopheFondateur · il répond lui-même☏ 06 25 34 34 25◷ Prendre RDV

Les domaines

Explorez par sujet

IA générative & LLML'IA générative et les grands modèles de langage (LLM) transforment la137Outils & agents IALes outils et agents IA permettent d'automatiser des tâches complexes et88Écosystème ClaudeL'écosystème Claude d'Anthropic est devenu la boîte à outils de référence56Actualité & société IAL'IA transforme l'économie, le droit et la société. Cette rubrique décrypte48GEO & SEO techniqueLe GEO (Generative Engine Optimization) et le SEO technique déterminent votre38IA locale & hardwareFaire tourner l'IA en local , sur un mini-PC, une station28Forward Deployed EngineerLe Forward Deployed Engineer (FDE), ou ingénieur déployé chez le client,26Robots & IA physiqueLes robots humanoïdes et l'IA physique passent du laboratoire au monde20Juridique & IAL'IA s'invite dans le droit : rédaction de conclusions, recherche de8Commerce IA & e-commerceLe commerce IA réinvente la vente en ligne : fiches produits7Marketing IALe marketing IA transforme l'acquisition : stratégie de contenu, génération de5Création de site & devCréer un site web et développer avec l'IA n'a jamais été5