Fuite chez Almerys, Viamedis

Le 6 février 2024, Viamedis et Almerys — deux opérateurs français qui gèrent le tiers payant pour le compte d'assureurs santé complémentaires — ont révélé des violations de données ayant exposé ensemble les informations d'environ 33 millions de personnes, soit près de la moitié de la population française. La CNIL a confirmé l'ampleur de l'incident, ce qui en fait l'une des plus grandes fuites de données de l'histoire du pays.

Les attaquants n'ont pas directement compromis les systèmes centraux des deux sociétés. Ils ont plutôt ciblé les comptes de professionnels de santé disposant d'un accès légitime aux portails de Viamedis et Almerys, vraisemblablement par hameçonnage ou par réutilisation d'identifiants dérobés lors de précédentes fuites. Viamedis a détecté l'intrusion fin janvier 2024 et Almerys a signalé une compromission similaire de comptes professionnels le 5 février.

Les données exposées concernaient les assurés et leurs ayants droit et comprenaient :

• Nom et prénom
• Date de naissance
• Situation matrimoniale et état civil
• Numéro de sécurité sociale
• Nom de l'assureur de santé
• Type de contrat et garanties ouvertes au tiers payant

Les deux opérateurs ont précisé qu'aucune coordonnée bancaire, adresse e-mail ou postale, ni numéro de téléphone n'avait été exposé, ces données n'étant pas stockées sur les systèmes concernés.

Les sociétés ont coupé les accès compromis et averti les assureurs concernés, qui ont à leur tour alerté leurs adhérents. La CNIL a ouvert une enquête pour évaluer les mesures de sécurité en place et le respect des obligations du RGPD, tout en alertant sur un risque accru d'hameçonnage et d'usurpation d'identité compte tenu de l'ampleur des données d'identité et d'assurance divulguées.