Malakoff Humanis visé par une revendication de vol de données de santé

Un pirate informatique affirme avoir divulgué plus de 16 500 enregistrements associés à Malakoff Humanis. Le groupe de protection sociale confirme qu’un de ses prestataires a été victime d’une cyberattaque et investigue sur l’authenticité et le périmètre des données publiées, susceptibles de concerner des équipements optiques et/ou auditifs (cela n’est cependant pas précisé).  

Selon le site spécialisé FrenchBreaches, qui a examiné des échantillons des fichiers concernés par cette cyberattaque, les documents comprennent des noms et prénoms d’assurés, des dates de naissance, des coordonnées, des références de dossiers, ainsi que des informations relatives à des prestations de santé. Parmi les éléments examinés figurent notamment des accords de prise en charge hospitalière, des relevés de remboursements médicaux et des échanges entre assurés et services de gestion. Certains documents mentionnent des dates de soins, des établissements de santé, des montants facturés ou remboursés et des restes à charge. FrenchBreaches indique également avoir relevé des références de virements et des coordonnées bancaires partiellement masquées, sans pouvoir établir que des coordonnées bancaires complètes ou des données de cartes de paiement ont été divulguées. Le site précise également que les 16 556 enregistrements revendiqués ne correspondent pas nécessairement à autant de personnes distinctes, plusieurs documents pouvant concerner un même assuré. Il souligne également que l’authenticité de l’ensemble des données et les circonstances exactes de leur obtention restent à confirmer.

Dans une communication publiée le 18 octobre, Malakoff Humanis indique avoir « pris connaissance d’une revendication de vol de données publiée le 17 octobre ». Le groupe précise que « ces données publiées renvoient à une cyberattaque qui a visé un des prestataires de gestion (IGA) gérant environ 2 000 assurés [du] Groupe », et dont il a été informé le 11 août dernier. Malakoff Humanis assure avoir immédiatement engagé les démarches réglementaires : « Dans la continuité immédiate de l’incident, la procédure a été intégralement respectée : notification Cnil et autorités compétentes, information des assurés, etc. » L’organisme indique poursuivre ses investigations sur les éléments rendus publics : « Nos équipes analysent les éléments publiés pour en vérifier l’authenticité, l’origine et le périmètre. »

Les données décrites par FrenchBreaches pourraient être utilisées pour élaborer des tentatives de fraude personnalisées, en reprenant des informations relatives à des remboursements ou à des demandes de prise en charge. Malakoff Humanis indique que « les personnes concernées seront directement informées » et invite également ses assurés à « rester vigilants face à tout email, SMS ou appel inhabituel se présentant comme émanant de Malakoff Humanis ».

Il rappelle enfin qu’un conseiller du groupe ne demandera jamais de mot de passe ni de codes de sécurité par téléphone, SMS ou courrier électronique.