La sécurité des données de 20 millions de Français compromise après une cyberattaque visant une assurance santé complémentaire.

Le 1er février, Malakoff Humanis, géant de l'assurance complémentaire santé, a informé ses clients par e-mail de la cyberattaque subie par Viamedis, l'organisme en charge de la gestion du tiers payant de sa complémentaire santé. 

La source de l'attaque a été identifiée comme un phishing visant le compte d'un professionnel de santé, selon Christophe Candé, directeur général de Viamedis. Avec la gestion de 84 complémentaires santé, soit 20 millions d'assurés, les données exposées pourraient être considérables, bien que Malakoff Humanis assure que les informations bancaires, données médicales, coordonnées postales, et numéros de téléphone et d'e-mail ne soient pas stockés sur la plateforme touchée. 

Les informations compromises se limitent à l'état civil, la date de naissance, le numéro de sécurité sociale, le nom de l'assureur santé et les garanties du contrat, comme l'a précisé Malakoff Humanis.

Malgré la déconnexion de la plateforme et le dépôt d'une plainte auprès du procureur de la République, le site reste inaccessible, entraînant des perturbations anticipées pour certains professionnels de santé, notamment les opticiens et audioprothésistes. 

Viamedis a assuré que les bénéficiaires pourront toujours utiliser leur carte vitale et leur carte de tiers payant. Les risques liés à l'accès des hackers à ces données sont doubles. En ayant accès au numéro de sécurité sociale, les pirates pourraient exploiter divers services publics tels qu'Ameli, le site de l'Assurance maladie, et abuser de la plateforme FranceConnect. 

De plus, ils pourraient utiliser ces informations pour créer des e-mails de phishing personnalisés, imitant la forme des communications de la mutuelle, dans le but de recueillir de nouvelles informations.

Cette cyberattaque rappelle d'autres incidents similaires au cours de l'année précédente, comme celle visant Pôle emploi en août 2023 après le ciblage d'un prestataire, la société Majorel. En juin 2023, le CHU de Rennes (Ille-et-Vilaine) a également été touché, suivi d'une publication de données personnelles sur le dark web un mois plus tard.