Almerys au cœur d’une fuite massive de 15 millions de numéros de sécurité sociale

Le 22 mai 2026, Almerys — l’un des principaux opérateurs français de tiers payant, qui gère les flux de remboursement santé pour des centaines de mutuelles — s’est retrouvé au cœur de l’une des plus importantes fuites de données santé du pays après la mise en vente d’une base de données sur un forum cybercriminel.

Les attaquants ont obtenu un accès non autorisé au site de délivrance des prises en charge (PEC), le service web utilisé par certains professionnels et établissements de santé pour valider la couverture des patients. Le fichier divulgué contiendrait plus de 44 millions de lignes et, surtout, 15,4 millions de numéros de sécurité sociale (NIR) uniques, couvrant des données accumulées d’environ 2010 à 2026. Les échantillons faisaient référence à de nombreuses mutuelles françaises, dont Viasanté, MMJ et le groupe Viasanté.

Les données exposées comprenaient :

• Noms, prénoms et dates de naissance
• Numéros de sécurité sociale (NIR)
• Numéros de contrat et noms des assureurs santé
• Noms des organismes de complémentaire santé (mutuelles)
• Dates de début et de fin de couverture
• Liens potentiels de relations familiales entre assurés

Almerys a confirmé l’attaque dans un communiqué du 25 mai, évoquant l’exposition de données personnelles concernant « l’ensemble des clients ». L’entreprise a provisoirement fermé le site PEC compromis — perturbant les prises en charge en optique, audiologie, dentaire ainsi que certaines hospitalisations — tout en précisant que ses autres services (gestion, mise à jour des bases, traitement des flux et paiement des prestations) restaient opérationnels. Almerys a déposé une notification initiale auprès de la CNIL dans le délai réglementaire de 72 heures, porté plainte auprès du procureur de la République et saisi l’ANSSI, une reprise progressive des opérations PEC étant prévue pour la semaine du 1er juin 2026. L’association des numéros de sécurité sociale et des données de couverture santé fait peser un risque sérieux d’usurpation d’identité, de fraude administrative et d’hameçonnage ciblé. Il s’agit du deuxième incident majeur touchant Almerys, après la fuite Viamedis/Almerys du début 2024 qui avait concerné des dizaines de millions de Français.