Skip to content
Chaîne d’approvisionnementContenu

Fuite chez AG2R la Mondiale (via Itelis)

Révélée en novembre 2025, une cyberattaque contre Itelis — le réseau de soins optiques utilisé par l'assureur AG2R la Mondiale — a exposé les nom, date de naissance, numéro de sécurité sociale, dossiers de remboursement et données de correction visuelle de bénéficiaires couverts en optique entre 2020 et début 2022.

Victime
AG2R la Mondiale

Le 25 novembre 2025, AG2R la Mondiale — l'un des plus grands groupes français de protection sociale et d'assurance — a informé ses bénéficiaires d'une fuite de données provenant non pas de ses propres systèmes, mais d'Itelis, le réseau de soins optiques sur lequel il s'appuie pour relier les opticiens et traiter les remboursements en optique. Itelis (membre de l'écosystème de partenaires santé d'Axa) a révélé une cyberattaque le 24 novembre 2025 ; AG2R la Mondiale a commencé à alerter les adhérents concernés par courriel dès le 23 novembre.

La compromission proviendrait d'un accès non autorisé à la plateforme Itelis — les premiers éléments évoquent des identifiants d'employé compromis plutôt qu'une intrusion directe dans la base de données. Comme les données exposées transitaient par un prestataire tiers mutualisé, plusieurs assureurs et mutuelles au-delà d'AG2R ont été touchés. Les dossiers concernaient une prise en charge optique réalisée entre 2020 et le premier trimestre 2022.

Les catégories de données exposées comprennent :

  • Nom et prénom
  • Date de naissance
  • Numéro de sécurité sociale (NIR)
  • Dossiers / remboursements
  • Données de correction visuelle
  • Numéro de téléphone (dans certains cas)

Les coordonnées bancaires, adresses postales et électroniques, ainsi que les identifiants de connexion n'auraient pas été affectés. La presse française a estimé que jusqu'à 1,6 million de bénéficiaires, tous assureurs clients confondus, pourraient être concernés, sans qu'un chiffre propre au portefeuille d'AG2R la Mondiale ait été confirmé. AG2R la Mondiale a notifié la CNIL, déposé une plainte auprès du procureur de la République et appelé ses adhérents à la vigilance face aux tentatives d'hameçonnage exploitant les données divulguées.

Sources

  1. next.inkhttps://next.ink/brief_article/fuite-de-donnees-personnelles-chez-itelis-axa-nom-dossier-correction-numero-secu/
  2. clubic.comhttps://www.clubic.com/actualite-518218-un-nouveau-prestataire-de-sante-francais-touche-par-une-cyberattaque-visant-les-donnees-personnelles-des-assures.html
  3. stroople.comhttps://www.stroople.com/data-breach-observatory/data-breach-itelis-november-2025/

Incidents liés

Chaîne d’approvisionnementContenu

Fuite chez ASAF & AFPS (via Itelis)

Des adhérents de l'assureur ASAF & AFPS ont vu leurs données personnelles exposées après une fuite chez Itelis, le réseau de soins optiques qui traite leurs remboursements ; nom, date de naissance, numéro de sécurité sociale, dossiers et données de correction visuelle de 2020-2022 sont concernés.

Victim
ASAF & AFPS
Chaîne d’approvisionnementContenu

Fuite chez La Nef

En septembre 2025, la banque coopérative éthique française La Nef a alerté ses sociétaires sur l'exposition de leurs adresses email à la suite d'une cyberattaque visant le prestataire de vote SLIB ; seules des adresses email ont été touchées, sans données bancaires, pièces d'identité ni mots de passe.

Victim
La Nef
Chaîne d’approvisionnementContenu

Fuite chez MAIF & BPCE

Une attaque par rançongiciel contre l'éditeur français de logiciels de gestion de patrimoine Harvest (groupe Run Some Wares, détectée le 27 février 2025) a exposé des données personnelles et financières de clients de l'assureur MAIF et du groupe bancaire BPCE (Banque Populaire / Caisse d'Épargne), via une attaque sur la chaîne d'approvisionnement.

Victim
MAIF & BPCE
Chaîne d’approvisionnementContenu

Fuite chez Direct Assurance

En mars 2025, l'assureur direct Direct Assurance (filiale d'AXA) a subi une fuite via son partenaire Run Assurance : les attaquants ont exploité une faille dans les échanges de données entre les deux entreprises pour accéder aux données personnelles de clients, exposant à l'usurpation d'identité et au phishing.

Victim
Direct Assurance