La mutuelle Alan a annoncé à ses assurés avoir été victime d'un incident de sécurité touchant son prestataire de tiers payant Almerys, qui a subi une intrusion frauduleuse sur son site de prise en charge. Selon les informations communiquées, cette cyberattaque a conduit à l'exposition de plusieurs millions de données personnelles, un pirate informatique revendiquant le vol de 44 millions d'enregistrements.

Les données compromises incluent l'état civil complet (nom, prénom, date de naissance, rang de naissance), le numéro de sécurité sociale, le numéro de contrat, le nom de l'assureur ainsi que les dates de début et de fin de couverture. Alan précise toutefois que les informations bancaires, les données de santé et les mots de passe des clients ne sont pas concernés par cette fuite. La mutuelle se veut rassurante sur ces aspects sensibles, tout en invitant ses assurés à la vigilance.

Mesures prises et notification aux autorités

Dès la découverte de l'incident, Alan a indiqué avoir notifié l'incident à l'Autorité de contrôle prudentiel et de résolution (ACPR) et prépare actuellement une notification à la Commission nationale de l'informatique et des libertés (Cnil). La plateforme compromise a été mise hors service afin d'empêcher toute nouvelle intrusion. La mutuelle n'a pas précisé le nombre exact de personnes concernées ni la date précise de l'intrusion.

Enquête judiciaire ouverte

La section de lutte contre la cybercriminalité du parquet de Paris a ouvert une enquête et saisi la brigade spécialisée de la préfecture de police. Les investigations visent à identifier les auteurs de l'attaque et à déterminer l'étendue exacte des données exfiltrées. L'enquête devrait également établir les circonstances de l'intrusion sur le site de prise en charge d'Almerys.

Un précédent préoccupant

Cette intrusion rappelle un incident similaire survenu en 2024, lorsqu'Almerys avait déjà été la cible d'une cyberattaque, exposant des données personnelles d'assurés de mutuelles comme Malakoff Humanis. Ce nouveau piratage soulève des interrogations sur la sécurité des données gérées par les prestataires de tiers payant dans le secteur de la santé, d'autant que le volume de données volées serait massif.

Conséquences pour les assurés

Les personnes dont les données ont été compromises risquent une utilisation frauduleuse de leur numéro de sécurité sociale, qui peut servir à des usurpations d'identité ou à des demandes de remboursement indues. Alan recommande à ses clients de surveiller leurs relevés de remboursement et de signaler toute anomalie. La mutuelle s'est engagée à communiquer davantage d'informations au fur et à mesure de l'avancement de l'enquête.

Réactions et perspectives

Pour l'instant, Almerys n'a pas communiqué officiellement sur l'incident. Les autorités enquêtent pour déterminer si d'autres mutuelles ou organismes utilisant les services d'Almerys sont également touchés. Ce piratage intervient dans un contexte de recrudescence des cyberattaques visant les données de santé, particulièrement sensibles. La notification à la Cnil pourrait déboucher sur des sanctions si des manquements à la sécurité des données sont constatés.