Novabio : incident de cybersécurité sur le système qualité du laboratoire, identité et informations de santé de patients potentiellement exposées

Le 30 octobre 2026, le laboratoire de biologie médicale Novabio, présent en Dordogne, en Corrèze, dans le Lot-et-Garonne et en Gironde et membre du groupe Inovie depuis fin 2025, a publié sur son site une « information importante » : « il y a quelques mois », le laboratoire a été victime d’un incident de cybersécurité sur son système qualité, l’outil qui gère les réclamations de patients et les non-conformités. Fuites Infos, FrenchBreaches et Cyberattaque.org en ont rendu compte le 5 novembre. La date de l’attaque, son mode opératoire et l’éventuelle faille exploitée ne sont pas précisés.

Novabio indique que ce système ne contient pas de données de santé à grande échelle, mais que des données d’identité et de santé de certains patients « peuvent avoir fait partie d’une fuite de données », par l’intermédiaire de réclamations ou de non-conformités. Ces données sont dans un format non structuré, ce qui empêche le laboratoire de les extraire pour contacter individuellement les personnes concernées ; aucun nombre de patients ni volume de données n’est donc communiqué. Le laboratoire dit avoir mis en œuvre des mesures techniques pour sécuriser les services, prestataires et infrastructures concernés.

Le statut « confirmée » repose sur cette information publiée par Novabio sur son propre site, lue directement le 9 novembre 2026 ; le laboratoire emploie toutefois le conditionnel pour la fuite elle-même. La gravité est retenue à « critique » parce que des informations de santé associées à l’identité de patients sont en cause, même si leur volume est inconnu. Selon FrenchBreaches, qui reprend les sites de fuite des groupes sans valeur de confirmation, un groupe de rançongiciel nommé Nova a inscrit le 10 décembre 2025 une victime « Novabio (france laboratories) » ; un rapport de HookPhish, tiré des flux de Ransomware.live, prête à cette revendication environ 500 Go de données. Ni Novabio ni les sources consultées ne rattachent cette revendication à l’incident du système qualité, dont la date est inconnue, et aucune diffusion de données n’est rapportée à ce jour.

Selon Cyberattaque.org, Novabio a publié le 2 novembre 2026 une seconde communication, sur un incident distinct chez son prestataire Maileva, qui concerne des noms, prénoms et adresses postales de patients de plusieurs laboratoires du groupe Inovie : il fait l’objet de la fiche Maileva. Cyberattaque.org indique que rien ne permet d’affirmer que les deux incidents ont les mêmes auteurs ou une vulnérabilité commune.

Les patients de Novabio peuvent se méfier des courriels, SMS et appels se présentant comme le laboratoire, un professionnel de santé, une mutuelle ou l’Assurance maladie, surtout s’ils demandent de cliquer sur un lien ou de payer. Ces messages se signalent à Signal Spam et au 33700, cybermalveillance.gouv.fr propose une assistance gratuite, et l’adresse contact.cyber@novabio.fr, indiquée par le laboratoire, permet de demander des précisions sur sa situation.