Solimut Mutuelle de France, la Mutuelle Générale de Prévoyance et Evy : en l’espace de quinze jours, trois acteurs de l’assurance ont été frappés par des cyberattaques distinctes. Au-delà du nombre de victimes, ces trois dossiers semble dessiner une même faille structurelle : la vulnérabilité de la chaîne de sous-traitance technique du secteur.
Depuis le début du mois d’août, le rythme des révélations ne faiblit pas. Après la Mutuelle Générale de Prévoyance puis Evy, c’est au tour de Solimut Mutuelle de France de confirmer, ce week-end, avoir été victime d’une intrusion ayant entraîné une violation de données personnelles.
Solimut Mutuelle de France : l’incident le plus récent
Solimut a détecté l’attaque dimanche 23 août en tout début de journée. Selon la mutuelle, les équipes techniques ont rapidement isolé l’intrusion et y ont mis un terme ; les services et accompagnements aux adhérents n’ont pas été perturbés. Le même jour, conformément à ses obligations, Solimut a notifié l’incident à l’ACPR, la notification à la CNIL devant suivre dans les délais réglementaires.
Le périmètre exact reste, à ce stade, en cours d’inventaire par la mutuelle. Un pirate affirme cependant, selon l’observatoire indépendant Cyberattaque.org, avoir extrait cette semaine plusieurs bases de données particulièrement sensibles : plus de 1,24 million d’assurés, environ 770 000 comptes bancaires, plus de 1,38 million de fiches individuelles et près de 1,08 million de déclarations sociales nominatives (DSN). Ces volumes, revendiqués par l’attaquant, n’ont pas été confirmés par la mutuelle à l’heure où ces lignes sont écrites. Solimut invite ses adhérents à la prudence face à toute sollicitation par mail ou téléphone dans les prochains jours, et promet un retour individualisé une fois les investigations achevées.
La Mutuelle Générale de Prévoyance : une attaque par rebond, via un prestataire technique
Une dizaine de jours plus tôt, la Mutuelle Générale de Prévoyance avait confirmé à France Info avoir été « victime d’une cyberattaque » ayant affecté l’un de ses prestataires techniques, en charge du développement, de la maintenance et de l’hébergement de son extranet. L’incident, survenu le 10 août selon la mutuelle, a permis un accès non autorisé à des données d’identification et, pour une partie des adhérents, à des coordonnées bancaires (IBAN).
Un pirate a revendiqué sur un forum spécialisé la mise en vente de deux bases de données, avançant des volumes proches de 198 000 noms complets et 133 000 IBAN uniques, ainsi que des numéros de téléphone et adresses e-mail. La mutuelle précise qu’aucune donnée de santé, de remboursement ou de garantie n’est concernée, et qu’aucun numéro de carte bancaire ni copie de pièce d’identité n’a été compromis. Une plainte a été déposée et une enquête judiciaire est ouverte ; la CNIL et l’ACPR ont été informées.
Evy : quand l’assurance embarquée hérite du risque de ses partenaires technologiques
Troisième dossier de la période, celui d’Evy, entreprise française qui permet à des commerçants et plateformes d’intégrer des offres d’assurance et d’extension de garantie directement dans leur parcours d’achat. Un collectif de cybercriminels revendique l’exfiltration de 16 bases de données, environ 238 Mo de contenu et 13 870 comptes, ainsi que des accès administrateur. Les éléments rendus publics laissent apparaître des données relatives aux contrats, sinistres, transactions et paiements.
Un même signal : la sous-traitance, maillon faible de la cyber-résilience
Ces trois dossiers, bien que distincts par leur origine et leur ampleur, convergent vers un même constat : une part croissante des incidents touchant le secteur de l’assurance ne résulte pas d’une faille directe chez l’assureur ou la mutuelle, mais d’une compromission chez un prestataire technique, un hébergeur ou un partenaire de distribution. C’est le cas explicite de la Mutuelle Générale de Prévoyance, c’est également l’hypothèse à instruire pour Evy, dont le modèle économique repose justement sur l’intégration technique chez des tiers.
Pour le secteur, l’enjeu dépasse la seule communication de crise. Il interroge la cartographie du risque cyber dans les chaînes de sous-traitance, les clauses de sécurité imposées aux prestataires, et plus largement la pertinence d’une couverture cyber-assurance robuste… y compris pour les organismes eux-mêmes, au-delà des offres qu’ils commercialisent auprès de leurs propres assurés.
Sur le même sujet, récemment : Piratages : l’utilité invisible de l’assurance cyber