Cybermois 2026 : un faux message peut déjà connaître votre nom

Votre nom est exact. L’adresse du cabinet aussi. Le message parle d’un dossier administratif à régulariser avant ce soir. Au milieu d’une journée de tournée, ces détails peuvent donner envie de traiter la demande tout de suite.

Pourtant, connaître vos coordonnées ne prouve pas qu’un interlocuteur est celui qu’il prétend être. C’est un repère utile à garder en tête à l’occasion du Cybermois 2026 : le 1er octobre, la CNIL et Cybermalveillance.gouv.fr ont publié un nouveau dépliant pour les personnes dont les données ont été exposées. Il aide à réagir puis à surveiller les conséquences dans les semaines suivantes. Présentation de la ressource — CNIL.

Ce support s’adresse aux particuliers. Pour une IDEL, il éclaire notamment un risque qui peut déborder sur la vie professionnelle : recevoir une sollicitation trompeuse, rendue plus convaincante par des informations exactes. Il ne crée pas de nouvelle obligation pour les cabinets.

Ce que le message sait de vous ne suffit pas

Une fuite de données peut exposer un nom, une adresse électronique, un numéro de téléphone ou d’autres informations. Si des personnes malveillantes les récupèrent, elles peuvent s’en servir pour personnaliser un message ou un appel. Cybermalveillance.gouv.fr recommande précisément de se méfier des interlocuteurs qui prétendent vous connaître à partir d’informations dérobées. Comprendre les suites possibles d’une fuite.

Un message inquiétant reçu après une notification de fuite ne prouve toutefois pas que les deux événements sont liés. Le nom d’un professionnel et les coordonnées de son cabinet peuvent aussi être publics. Le point à vérifier reste le même : qui vous demande d’agir, et par quel circuit pouvez-vous le confirmer ?

Une demande plausible, un chemin à changer

Prenons une situation entièrement fictive. Une infirmière reçoit un courriel qui reprend son nom et l’adresse de son cabinet. L’expéditeur se présente comme un service de l’Ordre. Il annonce qu’une pièce manque à son dossier et demande de se connecter immédiatement depuis un lien.

Le sujet paraît plausible : une demande de complément administratif peut être réelle. C’est justement ce qui rend la décision moins évidente qu’un message rempli de fautes ou promettant un cadeau.

La vérification ne consiste pas à répondre au courriel « êtes-vous bien l’Ordre ? ». Dans notre scénario, l’infirmière ouvre elle-même le site officiel qu’elle utilise habituellement, puis son espace membre. Si elle ne retrouve pas la demande ou si le doute persiste, elle contacte son conseil à partir de l’annuaire officiel. Elle peut alors vérifier le dossier sans utiliser le chemin imposé par le message.

L’Ordre a rappelé le 15 juillet 2026 qu’il ne demande pas de codes de connexion ni de coordonnées bancaires par mail, SMS ou téléphone. Il précise aussi les situations dans lesquelles un contact peut être légitime, notamment un dossier incomplet ou une cotisation non réglée. Cette recommandation est antérieure au Cybermois ; elle ne signale pas, à elle seule, une nouvelle attaque en octobre. Repères et contacts officiels — Ordre national des infirmiers.

Le but est de pouvoir traiter la vraie démarche, si elle existe, après avoir vérifié son origine.

Une validation sur le téléphone est aussi une décision

Le même raisonnement vaut si quelqu’un vous demande de confirmer une connexion. Dans sa fiche destinée aux infirmiers, l’Agence du numérique en santé indique qu’une demande d’authentification e-CPS non sollicitée doit être refusée ou ignorée, puis signalée à l’ANS ou à la CPAM. Les moyens de connexion et leurs codes restent personnels. Fiche de cybersécurité diffusée par l’Ordre, page 1.

Autrement dit, une notification ne devient pas légitime parce qu’elle apparaît dans un outil habituel. Si vous n’avez pas engagé la connexion, la valider pour faire disparaître l’alerte peut autoriser l’accès de quelqu’un d’autre. Avant de confirmer, retrouvez l’action que vous avez vous-même commencée.

Au cabinet, ce principe peut se traduire par un accord simple : une demande administrative douteuse se vérifie par un contact déjà connu, et chacun conserve ses propres accès. Une collègue peut aider à comprendre la demande ; elle n’a pas à communiquer son code à la personne qui appelle.

Après une fuite, regarder les données réellement concernées

Le nouveau dépliant invite d’abord à lire et conserver l’information reçue. Une adresse exposée, un mot de passe compromis et des données bancaires divulguées n’appellent pas exactement les mêmes gestes.

Si un mot de passe a été compromis, il faut le changer rapidement, ainsi que sur les autres comptes où il était réutilisé. Le support recommande aussi de vérifier les accès inhabituels, de renforcer l’authentification lorsque c’est possible et de surveiller ses comptes dans la durée. La réception d’une notification de fuite ne signifie pas que vos données ont déjà été utilisées frauduleusement. Dépliant CNIL et Cybermalveillance.gouv.fr.

Il faut enfin distinguer deux situations : vos propres coordonnées ont été exposées chez un organisme, ou un incident touche les données que votre cabinet traite. Si des dossiers patients sont concernés, le dépliant destiné aux particuliers ne suffit pas. Il faut mobiliser les interlocuteurs techniques concernés et évaluer les démarches propres au responsable du traitement, notamment la documentation et, selon le risque, la notification de la violation. Démarches professionnelles — CNIL.

Vous pouvez conserver le dépliant avec vos contacts utiles. Et, devant le prochain message pressant, revenir à cette question : « Est-ce que je connais vraiment l’expéditeur, ou est-ce seulement lui qui connaît mon nom ? »