La société Almerys, spécialisée dans la gestion du tiers payant pour les complémentaires santé en France, a été la cible d'une cyberattaque d'envergure. Selon les informations disponibles, plus de 15 millions de numéros de sécurité sociale auraient été dérobés et mis en vente sur le dark web.
Données compromises et organismes concernés
L'assureur Alan, qui utilise les services d'Almerys, a publié un communiqué listant les informations de ses clients potentiellement exposées : état civil (nom, prénom, date de naissance, rang de naissance), numéro de sécurité sociale, numéro de contrat, nom de l'assureur, numéro de contrat de l'assureur, ainsi que les dates de couverture. Alan précise que ses propres serveurs n'ont pas été attaqués et que les coordonnées bancaires, mots de passe, adresses et données de santé de ses clients ne sont pas concernés. L'assureur indique ne pas partager d'adresse e-mail ou postale, ni de numéro de téléphone ou d'IBAN avec les prestataires de tiers payant.
Selon des sources spécialisées dans le suivi des cyberattaques, le fichier en vente contiendrait 15 452 549 numéros de sécurité sociale uniques. Le pirate informatique revendiquerait un total de 44 millions de données volées, et 674 organismes de santé seraient potentiellement exposés.
Une situation aggravée par les liens familiaux
La gravité de l'incident pourrait dépasser le simple vol de numéros de sécurité sociale. En effet, un assuré principal peut relier plusieurs membres de sa famille (conjoint, enfants) sous un même numéro. Le hacker se vanterait d'avoir un accès complet aux informations familiales à partir d'une seule ligne. Face à cette incertitude, Alan a choisi une approche prudente : l'assureur déclare préférer considérer que ces incidents touchent l'ensemble des assurés ainsi que leurs ayants droit, tout en reconnaissant ne pas disposer pour l'instant d'une liste détaillée des personnes concernées.
Réaction d'Almerys et recommandations
À la suite de cette attaque, Almerys a coupé son site de prise en charge. Alan recommande à ses clients une vigilance accrue face à d'éventuels messages suspects (SMS, appels vocaux ou courriels) semblant provenir d'Alan ou d'autres organismes, en particulier s'ils demandent des informations personnelles ou invitent à se connecter à un site web. L'assureur conseille de vérifier que les identifiants et mots de passe ne sont saisis que sur des sites officiels et sécurisés, et en cas de doute, de contacter directement l'organisme concerné.
Récurrence des incidents chez Almerys
Cette cyberattaque n'est pas la première pour Almerys. L'opérateur de tiers payant avait déjà été victime d'une fuite de données majeure en janvier 2024. Plus de deux ans plus tard, la situation semble s'aggraver, dans un contexte où les cyberattaques se multiplient en France.
