Cyberattaque : 33 millions de données françaises exposées

Trente-trois millions de numéros de sécurité sociale, de dates de naissance et de contrats mutuelle exposés en quelques jours : c’est le bilan de deux cyberattaques distinctes qui ont frappé Viamedis et Almerys, les opérateurs du tiers payant utilisés par une grande partie des mutuelles françaises. Voici ce que l’on sait de l’incident, ce que cela change concrètement pour les assurés concernés, et les gestes à adopter sans attendre pour limiter les risques de fraude et d’usurpation d’identité.

Que s’est-il passé et que signifie « 33 millions de données exposées »

L’incident trouve son origine dans deux intrusions informatiques distinctes, survenues à quelques jours d’intervalle début février, chez Viamedis et Almerys. Ces deux sociétés gèrent le tiers payant pour de nombreuses mutuelles de santé en France, c’est-à-dire le mécanisme qui permet aux assurés de ne pas avancer certains frais médicaux. Dans les deux cas, le mode opératoire est similaire : des identifiants de professionnels de santé ont été compromis via des techniques d’ingénierie sociale, notamment du phishing, ouvrant ainsi un accès direct aux portails professionnels et, par ricochet, aux bases de données des assurés.

Il est essentiel de distinguer exposition et vol confirmé. Une exposition signifie que des données ont été rendues accessibles à des personnes non autorisées ; cela ne prouve pas systématiquement qu’elles ont été exfiltrées, copiées et revendues. Dans cette affaire, les enquêtes ont confirmé un accès effectif aux bases, ce qui a conduit à parler de fuite de données avérée plutôt que de simple vulnérabilité théorique. Le chiffre de 33 millions correspond au nombre d’enregistrements uniques concernés, un enregistrement désignant une fiche individuelle liée à un assuré, et non 33 millions de personnes physiques distinctes stricto sensu, certains assurés pouvant apparaître plusieurs fois selon leurs contrats.

Ce chiffre place cet incident parmi les plus importants recensés en France ces dernières années. Il faut également le remettre en perspective : le paysage des fuites de données s’est nettement dégradé, avec 549 incidents identifiés en France sur les quatre premiers mois d’une année récente, et une nouvelle fuite chez Almerys quelques mois plus tard a exposé 15,4 millions de numéros de sécurité sociale supplémentaires. Cette répétition interroge sur la robustesse des dispositifs de sécurité mis en place par les sous-traitants du secteur de la santé. Reste à détailler précisément la nature des informations concernées, pour mesurer le niveau réel de risque encouru par les personnes.

Quelles données sont concernées et pourquoi elles sont sensibles

Les données exposées lors de cette double cyberattaque comprennent plusieurs éléments d’identification directe et administrative :

• le nom et le prénom de l’assuré ;
• la date de naissance ;
• le numéro de sécurité sociale, aussi appelé NIR ;
• le nom de l’assureur ainsi que le numéro de contrat ;
• les dates de début et de fin de couverture.

Le numéro de sécurité sociale constitue l’élément le plus sensible de cette liste. Contrairement à un mot de passe, il ne peut pas être changé : il accompagne une personne toute sa vie et sert de clé d’accès à de nombreux services administratifs, notamment via FranceConnect, qui permet de se connecter à des dizaines de services publics avec une identité unique. Un fraudeur disposant du NIR, du nom et de la date de naissance dispose donc d’une base solide pour tenter de se faire passer pour la victime auprès d’organismes sociaux, bancaires ou administratifs.

Il faut toutefois nuancer l’ampleur du danger immédiat : aucune donnée bancaire, aucun mot de passe et aucune information médicale précise n’ont été dérobés lors de cet incident. Cette absence de données financières directes limite le risque de fraude bancaire instantanée. En revanche, la combinaison identité civile complète et numéro de sécurité sociale reste redoutable pour des scénarios d’usurpation d’identité plus sophistiqués, notamment l’ouverture de droits sociaux frauduleux ou la constitution de dossiers falsifiés. C’est précisément cette combinaison qui ouvre la voie à des scénarios d’exploitation concrets, qu’il convient désormais de détailler.

Quels risques concrets pour les personnes : arnaques, comptes piratés, usurpation

Le premier risque, et le plus immédiat, concerne le phishing ciblé. Les fraudeurs disposant du nom, de la date de naissance et des informations de mutuelle peuvent construire des e-mails ou des SMS extrêmement crédibles, se faisant passer pour l’assurance maladie, la mutuelle elle-même ou un service de remboursement. Le smishing, c’est-à-dire le phishing par SMS, est particulièrement efficace dans ce contexte car il exploite l’urgence et la confiance envers un canal perçu comme personnel.

D’autres scénarios méritent une vigilance particulière :

• de faux conseillers appelant au nom de la mutuelle pour « vérifier » des informations bancaires ;
• des tentatives d’ouverture de lignes téléphoniques ou de contrats au nom de la victime ;
• des attaques de credential stuffing, consistant à tester les identifiants divulgués sur d’autres services en ligne, en pariant sur la réutilisation des mots de passe ;
• des campagnes de chantage évoquant faussement la détention de données médicales sensibles ;
• des tentatives d’ingénierie sociale plus élaborées, combinant plusieurs canaux pour gagner la confiance de la cible avant de solliciter un paiement ou une information confidentielle.

Les signaux d’alerte à surveiller incluent des messages mentionnant des informations personnelles exactes pour paraître légitimes, des demandes urgentes de mise à jour de coordonnées bancaires, ou des appels non sollicités évoquant un remboursement exceptionnel. Un rançongiciel déployé en aval d’un accès obtenu par phishing constitue également un risque pour les structures elles-mêmes, avec des conséquences indirectes pour les assurés si de nouvelles données venaient à être chiffrées ou publiées. Face à ces scénarios, plusieurs réflexes doivent être adoptés sans délai.

Que faire immédiatement si vous pensez être concerné

La première action à mener consiste à renforcer la sécurité de ses comptes en ligne, en particulier ceux liés à des services administratifs ou de santé. Voici une check-list pratique :

• changer les mots de passe des comptes sensibles, notamment ceux utilisant le même mot de passe que d’autres services (pratique à proscrire absolument) ;
• activer l’authentification multifacteur partout où elle est disponible, en particulier sur FranceConnect et les espaces mutuelle ;
• rester extrêmement prudent face aux e-mails et SMS non sollicités, même s’ils semblent provenir d’un organisme connu ;
• surveiller régulièrement les relevés bancaires et les comptes de sécurité sociale pour détecter toute activité inhabituelle ;
• envisager un geste de précaution auprès de sa banque en cas de doute sérieux sur une tentative de fraude ;
• conserver toute preuve d’un message suspect ou d’une tentative de fraude, en vue d’un éventuel signalement ou d’une plainte.

Un gestionnaire de mots de passe fiable permet de générer des identifiants uniques pour chaque service et de limiter drastiquement l’impact d’une fuite isolée.

Ces réflexes individuels ne dispensent pas les organisations responsables du traitement de leurs propres obligations légales, qui encadrent strictement la gestion d’un tel incident en France.

Obligations légales et responsabilités : ce que dit le RGPD en France

Le RGPD impose un cadre précis en cas de violation de données personnelles. Le responsable de traitement, ici les mutuelles ayant recours à Viamedis et Almerys en tant que sous-traitants techniques, doit notifier la CNIL dans un délai de 72 heures après avoir eu connaissance de l’incident. Cette notification de violation doit détailler la nature de l’incident, les catégories et le volume approximatif de données concernées, ainsi que les mesures correctives engagées.

Lorsque le risque pour les personnes est jugé élevé, comme c’est le cas ici compte tenu de la présence du numéro de sécurité sociale, une information directe des personnes concernées est également obligatoire, dans des délais raisonnables et par des moyens clairs. Le DPO (délégué à la protection des données) de chaque organisme joue un rôle central dans cette procédure : il coordonne l’analyse d’impact, assure la liaison avec la CNIL et veille au respect des délais réglementaires.

Les personnes concernées disposent par ailleurs de plusieurs droits qu’elles peuvent exercer sans délai : droit d’accès à leurs données, droit de rectification, droit d’opposition à certains traitements, et possibilité de déposer une plainte auprès de la CNIL si elles estiment que les obligations n’ont pas été respectées. La distinction entre responsable de traitement et sous-traitant est ici déterminante : si Viamedis et Almerys assurent la gestion technique, la responsabilité juridique première reste largement portée par les mutuelles elles-mêmes, qui doivent s’assurer de la conformité de leurs prestataires. Cette répartition des responsabilités pose la question plus large de la prévention, à l’échelle individuelle comme organisationnelle.

Comment limiter l’impact à long terme et éviter la prochaine fuite

À l’échelle individuelle, l’hygiène numérique reste la meilleure protection durable. Cela passe par l’usage systématique de mots de passe uniques et complexes, la généralisation de l’authentification multifacteur, et une méfiance constante envers les sollicitations non vérifiées, qu’elles arrivent par e-mail, SMS ou téléphone. Un antivirus à jour et une solution de sauvegarde régulière des données personnelles complètent ce dispositif de base.

Pour les organisations, la répétition des incidents chez un même acteur, comme la nouvelle fuite touchant Almerys quelques mois après la première, révèle des failles structurelles qu’il convient d’adresser frontalement :

• segmentation stricte des accès selon le principe du moindre privilège ;
• rotation régulière des secrets et des identifiants d’accès aux systèmes sensibles ;
• sensibilisation continue des équipes aux techniques de phishing et d’ingénierie sociale ;
• audits de sécurité réguliers et tests d’intrusion sur les portails professionnels ;
• minimisation des données collectées et révision des durées de conservation, conformément aux principes du RGPD ;
• surveillance active des accès pour détecter rapidement toute connexion anormale.

Le tableau suivant résume les principaux repères chiffrés de cet épisode :

Ces chiffres traduisent une tendance de fond : les fuites de données touchant le secteur de la santé et de la protection sociale se multiplient, faute d’investissements suffisants dans la sécurisation des accès professionnels.

Cet épisode rappelle qu’une donnée volée ne s’efface jamais vraiment, et que la vigilance individuelle doit désormais devenir un réflexe permanent, au même titre que la responsabilité des organismes qui collectent ces informations sensibles.