Cyberattaque contre l'EFS : des chambres froides de sang piratées chez un prestataire, aucun produit altéré

Dans la nuit du dimanche 1er au lundi 2 novembre 2026, des chambres froides utilisées par l'Établissement français du sang ont vu leurs réglages modifiés après un incident informatique chez un prestataire. Un prestataire, ici, est une entreprise payée pour fournir ou entretenir un équipement, sans faire partie de l'établissement. L'EFS affirme qu'aucun produit sanguin n'a été altéré et qu'aucune perte n'est à déclarer. Les collectes et la distribution continuent, selon les textes publiés le 4 novembre.

Le nom de l'entreprise, Coolworld, et le chiffre de 110 °C ne viennent pas des phrases que les journaux attribuent à l'EFS. Ils viennent du Canard enchaîné, qui a révélé l'affaire le 3 novembre. Ce journal écrit que les chambres ont été programmées pour atteindre 110 °C. Il n'écrit pas, dans le corps de l'article, qu'une poche a été mesurée à cette température.

Ce que les journaux ont établi

Le Canard enchaîné, signé Fanny Ruz-Guindos et Louise Colvert, écrit que Coolworld, qui assure la maintenance de conteneurs de stockage de l'EFS, notamment en Bourgogne-Franche-Comté, a été piratée le 1er novembre. Les chambres froides, où des échantillons de donneurs sont conservés à −30 °C, « ont été programmées pour atteindre 110 °C ». Le chapô du même article est plus net : les chambres « ont été réchauffées jusqu'à 110 degrés ». Les deux phrases ne disent pas la même chose. L'une parle d'un réglage. L'autre laisse entendre que la température a été atteinte.

Le ministère de la Santé, cité par le Canard, déclare : « Il y a zéro conséquence opératoire, car la situation a été repérée. » L'EFS, dans le même article : « Un technicien de permanence a constaté dans la nuit de dimanche à lundi une remontée en température dans les chambres froides. » L'établissement avait d'abord indiqué que ces échantillons relevaient d'un dispositif de veille sanitaire lié à la transfusion. Il a ensuite reconnu que « du plasma congelé destiné à la transfusion » avait aussi été visé.

franceinfo, le 4 novembre à 11 h 08, Le Parisien à 10 h 51 et Le Dauphiné à 10 h 51 s'appuient sur un communiqué que l'EFS aurait publié la veille sur son site. La page de ce communiqué n'a pas été ouverte pour cet article. La salle de presse de l'établissement, consultée le 4 novembre, ne montrait pas ce texte dans la liste visible. Les phrases qui suivent sont donc celles que ces rédactions reproduisent, pas une relecture du document original.

Ce que l'EFS et le ministère disent

BFMTV, le 4 novembre à 9 h 55, écrit tenir de l'EFS cette précision : « L'EFS n'a pas été directement visé par un incident de cybersécurité. C'est notre prestataire frigorifique qui a été victime hier d'un incident de cybersécurité susceptible d'affecter certaines installations de supervision et de pilotage de chambres froides, déployées sur quelques sites de l'EFS. »

La supervision et le pilotage, ce sont les systèmes qui permettent de surveiller une machine et d'en changer les réglages, y compris à distance. Une chambre froide pilotable à distance n'est pas un simple placard : quelqu'un qui entre dans le système de réglage peut modifier la consigne, c'est-à-dire la température demandée à l'appareil.

Le Parisien cite le communiqué : « Des anomalies ont été signalées, entraînant une altération des paramètres de fonctionnement de chambres froides, équipées de la solution du prestataire de l'établissement. » Et : « concrètement, des seuils de température et de dégivrage ont été portés à de très hautes températures ». Un seuil est la valeur à partir de laquelle l'appareil est censé réagir. Le dégivrage est le cycle qui fait fondre le givre pour que le froid continue de fonctionner. L'EFS parle donc de réglages poussés très haut. Il ne publie pas, dans ces citations, le nombre 110.

franceinfo et Le Dauphiné parlent de trois sites. BFMTV, dans la citation reproduite plus haut, parle de « quelques sites ». Les deux formulations circulent. Aucun texte lu ne donne le nom des villes, en dehors de la mention « notamment en Bourgogne-Franche-Comté » du Canard.

Sur le contenu des chambres, BFMTV attribue à l'EFS « des produits sanguins » en attente de livraison vers des établissements de santé, et « des échantillons destinés à nos biothèques ». Une biothèque, dans cette phrase, est un stock d'échantillons biologiques conservés pour des contrôles sanitaires ultérieurs. Le même article précise qu'il s'agissait notamment de « poches de plasma destinées à la transfusion des patients et des poches de plasma destinées au fractionnement pour le LFB ». Le LFB est le Laboratoire français du fractionnement et des biotechnologies. Le fractionnement sépare le plasma, la partie liquide du sang, en composants qui servent à fabriquer des médicaments. L'annuaire Service-Public rappelle que l'EFS, établissement public sous la tutelle du ministère chargé de la santé, approvisionne ce laboratoire en plasma.

Les alarmes de l'EFS ont, selon ces articles, permis d'agir vite. La formule reprise par BFMTV : « Selon les cas, dès la survenue de l'incident, les équipements concernés ont été maîtrisés, sans impact sur les produits (…) et échantillons, ou neutralisés, les produits stockés dans ces chambres froides ayant été transférés de façon préventive vers d'autres installations. » Puis : « Aucun impact sanitaire n'a été identifié et aucune perte de produits sanguins n'est à déclarer. Les produits conservés dans les équipements concernés ont été transférés ou sécurisés. »

Le Parisien ajoute une phrase attribuée à l'établissement : « La continuité des activités de prélèvement et de distribution est garantie, au service des patients. » franceinfo écrit que les équipes techniques sont mobilisées avec l'Agence nationale de la sécurité des systèmes d'information (l'ANSSI, l'agence de l'État pour la sécurité informatique) et le ministère de la Santé, et que la surveillance des températures a été renforcée sur l'ensemble des équipements.

Le ministère, toujours selon BFMTV, indique que les accès à distance des équipements concernés ont été neutralisés. Il déclare : « La situation est à ce jour maîtrisée et fait l'objet d'une surveillance renforcée. » Il ajoute que « des investigations techniques se poursuivent », pour établir le mode opératoire, les circonstances, le nombre total d'équipements potentiellement concernés, et le calendrier d'une remise en service sécurisée. « Maîtrisée » ne veut donc pas dire que le décompte est clos.

Le Dauphiné et Numerama attribuent en outre à Frédéric Pacoud, président de l'EFS, deux phrases prononcées sur BFMTV : « Il n'y a pas eu d'atteinte à la sécurité des produits. » Et : « On aurait pu perdre des échantillons ou des poches de plasma destinés à soigner des patients. » La page gouvernance de l'EFS confirme que Frédéric Pacoud préside l'établissement. L'article écrit de BFMTV ouvert pour cette enquête, et la page de la vidéo, ne contiennent pas ces deux phrases. Elles sont donc citées ici comme un relais de presse, pas comme une transcription.

Ce que 110 °C veut dire, et ce que cela ne veut pas dire

110 °C, c'est plus chaud qu'une eau qui bout. −30 °C, c'est la zone où l'on conserve du plasma congelé. L'écart, s'il avait été réel et prolongé dans les poches, rendrait ces produits inutilisables. C'est le sens de la phrase prêtée au président : une perte était possible. L'EFS dit que cette perte n'a pas eu lieu.

Le chiffre de 110 °C reste celui du Canard. BFMTV le présente comme tel : les chambres « ont été réchauffées jusqu'à 110 °C, d'après le journal ». La fiche French Breaches, qui s'appuie sur le Canard, sépare la consigne de la mesure. 110 °C est la température que les textes décrivent comme programmée. Ce n'est pas une température publiée comme ayant été atteinte dans les poches. Aucun article lu ne dit combien de temps la température est montée, ni de combien de degrés, ni combien de poches se trouvaient dans les chambres.

20 minutes, le 4 novembre à 7 h 41, reprend le Canard plus tôt dans la matinée. Il allonge la phrase du ministère (« zéro conséquence opératoire », « ni sur la chaîne transfusionnelle, ni pour aucun patient ») et rattache la reconnaissance du plasma à un pronom ambigu. Le Canard, lui, attribue cette reconnaissance à l'EFS, et limite la citation du ministère à « zéro conséquence opératoire, car la situation a été repérée ».

Coolworld, le prestataire nommé par la presse

Coolworld n'apparaît pas dans les citations de l'EFS reproduites par franceinfo, qui écrit que le nom du prestataire n'a pas été précisé. C'est le Canard qui le donne. Le site de Coolworld, ouvert le 4 novembre, présente une société européenne de location de matériel de froid, de congélation et de chauffage, avec plus de 30 ans d'activité, un bureau à Savigny-le-Temple et un siège aux Pays-Bas. Le catalogue public décrit, entre autres, des chambres de congélation de −30 à −15 °C et des conteneurs réfrigérés de −40 à +25 °C, ainsi qu'une astreinte 24 heures sur 24. Ces pages ne parlent ni de l'EFS ni de l'incident. Elles ne disent pas quel appareil était installé sur les sites touchés. Aucun communiqué de l'entreprise n'a été trouvé.

Ce décalage est le point utile pour un lecteur. L'établissement public dit ne pas avoir été visé directement. La porte décrite par la presse est celle d'un sous-traitant dont les systèmes règlent des machines chez le client. Un rançongiciel, logiciel qui bloque des fichiers et réclame un paiement pour les rendre, n'est pas ce que les textes décrivent ici. Ils ne décrivent pas non plus un vol de dossiers de donneurs. Ils décrivent un changement de réglages sur des équipements physiques.

Ce que cela révèle, sans mélanger les affaires

Mi-octobre, des installations de froid de supermarchés avaient déjà été déréglées à distance, en France. Le Dauphiné, Numerama et 20 minutes rappellent cette vague. 20 minutes écrit qu'aucun lien n'est formellement établi avec l'affaire de l'EFS. Numerama écrit la même réserve, et ajoute qu'on ne sait pas si les chambres concernées utilisaient les mêmes appareils.

Le 12 octobre, le CERT-FR, la cellule d'alerte de l'ANSSI, a publié un bulletin sur des contrôleurs à distance d'installations de réfrigération, mis à jour le 16 octobre (CERTFR-2026-ALE-012). Un contrôleur, dans ce bulletin, est le boîtier qui pilote le froid. Le texte dit que l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques : une page de réglage laissée ouverte à tout l'internet n'est pas une façon normale de surveiller une chambre froide. Ce bulletin ne cite ni l'EFS ni Coolworld. Il ne permet pas de dire que les mêmes boîtiers, ou les mêmes personnes, sont en cause dans la nuit du 1er au 2 novembre.

Le même jour, une revendication distincte

Le 3 novembre, un autre sujet circule, qui ne porte pas sur des températures. Fuites Infos écrit qu'une page a été remplacée, le 3 novembre, sur le site base-pcb.inrae.fr. L'INRAE est l'institut public de recherche sur l'agriculture, l'alimentation et l'environnement. Cette page modifiée est, selon Fuites Infos, le seul élément constaté. Le reste est une annonce : 9 bases de données, des archives et du code auraient été copiés, pour environ 1,2 gigaoctet, avec des comptes de personnels et des mots de passe conservés sous une forme transformée, illisible telle quelle. L'institut n'avait publié aucun communiqué sur sa page presse à 1 h 50 le 4 novembre, selon cette lecture.

Le même matin, un rapport du CERT-FR déjà en ligne depuis le 20 octobre est relayé. La page indique que le service a suivi près de 200 violations de données issues d'applications web en 2025. Le PDF précise : 196 incidents d'exfiltration portés à sa connaissance en 2025, contre 130 en 2024. Il écrit que des annonces publiques de vols de données peuvent être fausses, ou recycler d'anciens fichiers. La vérification revient à l'organisme qui détient les données. C'est le cadre dans lequel lire la revendication visant l'INRAE. Pour une personne qui ne travaille pas dans cet institut, les textes lus ne décrivent pas un dossier personnel identifiable.

Ce qu'un donneur ou un patient peut retenir

L'EFS dit que les prélèvements et la distribution continuent, qu'aucun impact sanitaire n'a été identifié et qu'aucune perte de produits n'est à déclarer. Aucun des articles lus ne demande une démarche à une personne qui a donné son sang, ni à une personne qui a reçu une transfusion. Aucun ne décrit un fichier de donneurs copié à cette occasion.

Le risque qui était en jeu, selon les citations, portait sur des poches et des échantillons, pas sur l'identité des donneurs. Le ministère dit que des investigations continuent, notamment pour savoir combien d'équipements ont été concernés. Le bilan « aucune perte à déclarer » est la formule officielle disponible le 4 novembre. Il n'est pas présenté comme le dernier mot sur le nombre de machines.

Un message qui réclamerait un paiement, un mot de passe ou des informations personnelles en se présentant comme l'EFS à propos de cet incident ne correspond à rien de ce que l'établissement a fait publier. Les adresses officielles restent efs.sante.fr et dondesang.efs.sante.fr. Un message douteux peut être signalé sur cybermalveillance.gouv.fr, le dispositif public d'aide aux victimes d'actes malveillants en ligne.

À retenir, le 4 novembre : des réglages de froid ont été modifiés chez un prestataire de l'EFS ; l'alerte interne a permis un transfert ou une sécurisation des produits ; 110 °C est une consigne rapportée par le Canard, pas une température que l'EFS dit avoir mesurée dans les poches ; les dons et les transfusions ne sont pas suspendus dans les textes officiels repris par la presse.