Fuite chez Malakoff Humanis (via Itelis)

Le 24 novembre 2025, Malakoff Humanis — important organisme français d'assurance santé et de prévoyance (mutuelle) — a révélé que des données d'adhérents avaient été exposées à la suite d'une compromission d'Itelis, le réseau de soins optiques qu'il utilise pour gérer et rembourser les prestations d'optique. L'incident ne résulte pas d'une attaque directe contre Malakoff Humanis mais de son prestataire tiers, impactant plusieurs assureurs clients d'Itelis, dont AXA/APRS et AG2R.

L'attaquant a obtenu l'accès en usurpant l'identité d'un opticien partenaire légitime, exploitant l'interface partenaire de confiance pour interroger et exfiltrer des dossiers de remboursement optique, plutôt qu'en pénétrant directement la plateforme. Les coordonnées bancaires, identifiants de connexion, adresses postales et adresses e-mail n'auraient pas été compromis, ce qui oriente vers un usage frauduleux d'un accès partenaire plutôt qu'une intrusion complète de la base de données.

Les dossiers exposés concernent des prestations d'optique traitées approximativement entre 2020 et début 2022 et comprenaient :

• Noms, prénoms et dates de naissance
• Numéros de sécurité sociale
• Numéros de dossier/référence de prise en charge
• Détails de remboursement optique et données de correction visuelle (prescription)
• Éventuellement des numéros de téléphone

Itelis a déposé plainte auprès du procureur de la République et notifié la CNIL. Comme les données fuitées combinent identifiants de santé et données personnelles, le principal risque est le phishing ciblé et l'ingénierie sociale — AXA a par exemple invité ses adhérents à se méfier de toute demande non sollicitée de modification de contrat. Le nombre exact d'adhérents Malakoff Humanis touchés n'a pas été communiqué, et l'enquête était toujours en cours.