Assurances de personnesMouvementsOrganisation

Cyberattaque : la serie continue dans l’assurance

Auteur: L'assurance en mouvement
6 min.

Le 17 octobre, un pirate a diffusé plus de 16 500 documents de gestion santé liés à des assurés de Malakoff Humanis. L’incident, survenu chez le délégataire IGA Gestion et connu du groupe depuis le 11 août, s’inscrit dans une série d’attaques qui frappe les assureurs santé depuis la fin de l’été.

A retenir : 

  • Les faits. Le 17 octobre 2026, le pirate ChimeraZ a publié 16 556 documents liés à des assurés de Malakoff Humanis.
  • L’origine. La fuite provient d’une cyberattaque contre IGA, délégataire de gestion qui administre environ 2 000 assurés du groupe.
  • Les données. Il s’agit de pièces de gestion santé : prises en charge hospitalières, remboursements, optique, dentaire, pharmacie. S’y ajoutent des numéros de Sécurité sociale, des dates de naissance, des adresses et plus de 800 mentions d’IBAN. Les documents les plus récents datent du début du mois d’août 2026.
  • Les zones d’ombre. On ignore encore le point d’entrée technique, le volume réellement détenu par l’attaquant et la correspondance exacte entre les 16 556 documents et les quelque 2 000 assurés.

Une revendication publique, deux mois après l’incident

Samedi 17 octobre 2026, un acteur se présentant sous le pseudonyme ChimeraZ a mis en ligne une base qu’il qualifie lui-même de « partielle » : 16 556 documents associés à Malakoff Humanis. Le site spécialisé Cyberattaque.org, qui s’est procuré l’archive, a été le premier à en analyser le contenu, avant d’être repris notamment par FrenchBreaches et InfoRadar.

Sollicité, le groupe paritaire a rapidement circonscrit l’origine de la fuite. Selon sa déclaration, les données publiées renvoient à une cyberattaque visant IGA Gestion, l’un de ses prestataires de gestion, qui administre environ 2 000 assurés du groupe. Malakoff Humanis indique en avoir eu connaissance dès le 11 août 2026 et affirme avoir, à l’époque, respecté l’intégralité de la procédure : notification à la CNIL et aux autorités compétentes, information des assurés concernés.

Le groupe précise que ses équipes vérifient désormais l’authenticité, l’origine et le périmètre exact des éléments diffusés, et que les personnes concernées seront directement informées.

Des documents de gestion, pas une simple liste de contacts

C’est la nature des fichiers qui pourrait faire la gravité de l’affaire. D’après l’analyse de Cyberattaque.org, l’archive ne se présente pas comme un extrait de base clients, mais comme un ensemble de pièces de gestion de prestations santé : accords de prise en charge hospitalière, relevés et décomptes de remboursement, dossiers d’optique et de dentaire, actes de pharmacie, consultations, analyses, transports sanitaires, ainsi que des échanges entre assurés, établissements de soins et gestionnaires.

À ces éléments médicaux s’ajoutent des données d’identification : noms, adresses, dates de naissance, numéros d’adhérent et numéros de Sécurité sociale. Plus de 800 entrées comportent des références à des IBAN ou relevés bancaires, sans que tous les comptes appartiennent nécessairement aux assurés, certains étant ceux d’établissements destinataires de paiements.

La fraîcheur des données est un autre point d’attention. Les documents les plus récents sont datés des 7 et 8 août 2026, soit quelques jours avant la date à laquelle Malakoff Humanis dit avoir été informé de l’attaque. Une chronologie cohérente avec la version du groupe, même si elle ne permet pas, à elle seule, de dater l’extraction.

Structurellement, chaque entrée associe un identifiant de document à son texte intégral. Pour Cyberattaque.org, ce format évoque davantage une GED, un agrégateur ou un outil d’indexation documentaire qu’un fichier adhérents. Les domaines igagestion.fr et mon-espaceassure.com apparaissent massivement dans l’archive. Le point d’entrée technique reste, à ce stade, inconnu.

Deux chiffres qui restent à réconcilier

L’écart entre les 16 556 documents publiés et les quelque 2 000 assurés évoqués par Malakoff Humanis n’est pas en soi contradictoire : un même dossier santé génère de nombreuses pièces au fil des remboursements. Mais ChimeraZ présentant sa publication comme partielle, le volume réellement détenu par l’attaquant n’est pas établi. Comme le souligne FrenchBreaches, rien ne permettait initialement de dire si les fichiers provenaient de l’infrastructure du groupe ou d’un environnement opéré par un partenaire, question que la déclaration de Malakoff Humanis a depuis tranchée en faveur de la seconde hypothèse.

Le maillon de la gestion déléguée

L’affaire met en lumière un dispositif bien connu des professionnels : la chaîne de sous-traitance. Délégataires de gestion, plateformes de tiers payant, éditeurs de GED, prestataires d’éditique : chaque acteur qui manipule des décomptes ou des pièces justificatives pour le compte d’un assureur santé étend sa surface d’exposition.

Malakoff Humanis en a déjà fait l’expérience. Début 2024, la cyberattaque contre Viamedis, opérateur de tiers payant pour 84 complémentaires santé et environ 20 millions d’assurés, avait exposé l’état civil, le numéro de Sécurité sociale et les garanties de contrat de ses adhérents, selon Le Monde Informatique et L’Usine Digitale. À l’époque, le groupe insistait sur l’absence de données médicales et bancaires dans le périmètre. Cette fois, ce sont précisément ces catégories qui figurent dans les fichiers.

Le régulateur a anticipé le sujet. En mai 2026, la CNIL a publié un cas pratique intitulé « Cyberattaque : le sous-traitant au centre de la crise », qui rappelle la répartition des rôles : le sous-traitant doit alerter sans délai son donneur d’ordre, mais c’est bien au responsable de traitement de notifier la violation dans les 72 heures. Et la Commission a montré qu’elle n’hésitait plus à sanctionner directement un prestataire défaillant, comme avec l’amende d’un million d’euros infligée fin 2025 à Mobius Solutions, sous-traitant à l’origine d’une fuite touchant les utilisateurs de Deezer (CNIL).

Pour les organismes assujettis à DORA, la question dépasse le seul RGPD : la gestion du risque lié aux prestataires tiers de services informatiques, leur cartographie et la contractualisation des exigences de sécurité font désormais partie des obligations opérationnelles, sous le contrôle de l’ACPR.

Une rentrée sous tension pour les assureurs santé

L’incident Malakoff Humanis n’est pas isolé. En quelques semaines, plusieurs acteurs du secteur ont fait l’objet de revendications :

  • Solimut Mutuelle de France (23 août) : un pirate revendique la base adhérents complète, avec plus de 1,24 million d’assurés et des centaines de milliers d’IBAN. La mutuelle a confirmé l’intrusion et indiqué avoir informé l’ACPR (Cyberattaque.org).
  • FNIM (2 septembre) : diffusion de bases de données complètes de la Fédération nationale indépendante des mutuelles.
  • Groupe MGEL (13 septembre) : un vendeur revendique 38,8 millions de lignes et plus de 450 000 IBAN ; le groupe a confirmé des connexions illégitimes sur une base d’adhérents MGEL et MVS antérieure à mai 2022, notifiée à la CNIL (Cyberattaque.org).

Les volumes avancés par les attaquants restent, dans la plupart des cas, non confirmés par les organismes. Mais la récurrenc

Les volumes avancés par les attaquants restent, dans la plupart des cas, non confirmés par les organismes. Mais la récurrence des combinaisons identité + NIR + IBAN + données de prestations dessine une tendance nette : les assureurs santé concentrent exactement le type d’informations qui rend une fraude crédible.

Un risque durable pour les assurés

Malakoff Humanis appelle ses assurés à la vigilance face à tout e-mail, SMS ou appel inhabituel se réclamant du groupe, et rappelle que ses conseillers ne demandent jamais de mot de passe ni de code de sécurité par ces canaux.

Pour les organismes, la leçon dépasse la gestion de crise. Elle porte sur la gouvernance des délégations : droits d’accès des prestataires, durée de conservation des pièces justificatives, journalisation et capacité à reconstituer, en quelques heures, qui détient quoi pour le compte de qui.

Sources diverses

Nos derniers articles