État civil, la date de naissance, le numéro de sécurité sociale, le nom de leur assureur santé ainsi que les garanties ouvertes au tiers payant, ce sont ces données personnelles de la moitié des français que des pirates ont réussi à récupérer chez les deux prestataires Viamedis (filiale du groupe Malakoff-Médéric-Humanis) et Almerys (filiale du Holding financier Heka Invest). À elle seule, Viamedis gère le tiers payant de 84 complémentaires santé, dont sa maison mère Malakoff-Médéric-Humanis.

Ces opérateurs sont des intermédiaires entre les professionnels de santé et les complémentaires. Ils fournissent le portail qui permet aux médecins, pharmaciens et autres professionnels de santé de savoir s'ils peuvent accorder ou non le tiers payant à un assuré social.

Des comptes de professionnels de santé compromis

C'est par l'accès à ces portails que les attaques ont eu lieu. Les pirates ont réussi à compromettre des comptes de professionnels de santé, semble-t-il. C'est en tout cas ce que les deux entreprises ont expliqué. Et c'est, entre autres, ce que l'enquête de la CNIL devra vérifier.

« Devant l'ampleur de la violation », l'autorité explique que sa présidente, Marie-Laure Denis, qui vient tout juste d'être renouvelée à son poste, « a décidé de mener très rapidement des investigations afin de déterminer notamment si les mesures de sécurité mises en œuvre préalablement à l’incident et en réaction à celui-ci étaient appropriées au regard des obligations du RGPD ». Il serait, par exemple, problématique que ces portails n'utilisent pas de solution de double authentification des personnels de santé.

Dans leurs communications, Viamedis et Almerys ont expliqué chacune avoir coupé l'accès à leurs plateformes de tiers payant pour les professionnels via le système de login/mot de passe. À l'heure d'écriture de cet article, le site de Viamedis continue d'afficher un message expliquant qu'il est « momentanément interrompu » alors que celui d'Almerys est de nouveau accessible. Le reste du système du tiers payant demeure utilisable et les assurés continuent à pouvoir en bénéficier.

Des données utilisables pour crédibiliser des attaques de phishing

Les deux entreprises se sont empressées de préciser une liste des informations qui ne sont pas concernées : « ni information bancaire, ni coordonnée postale, ni numéro de téléphone, ni e-mail ne sont concernés par cet acte malveillant » du côté de Viamedis, « les informations bancaires, les données médicales, les détails de remboursements de santé, les coordonnées postales, les numéros de téléphone et les adresses e-mail ne sont en aucun cas concernés par cette violation », chez Almerys. De son côté, la CNIL met ces informations au conditionnel, en attendant les conclusions de son enquête.

Il en reste que, couplées à d'autres données provenant de fuites antérieures ou de fichiers de prospection, par exemple, celles qui ont été récupérées chez ces prestataires peuvent servir pour rendre encore plus précises des attaques de phishing.

Un numéro de sécurité sociale, identifiant pour de nombreux services

Le numéro de sécurité sociale, qui fait partie des données qui ont fuitées, sert d'identifiant pour de nombreux services publics, comme l'explique le site Ameli, « il vous est demandé à chaque fois que vous vous adressez à votre caisse d'allocations familiales (CAF), à votre caisse de retraite, à France Travail (ex-Pôle emploi), à votre mutuelle (ou complémentaire santé) ou encore à une maison départementale des personnes handicapées (MDPH) ».

Couplé au nom de famille et à la date de naissance (qui font aussi partie de la fuite) et au code postal de résidence, il peut permettre de créer un compte Ameli si celui-ci n'a pas déjà été créé. Il ne suffirait donc aux pirates que d'identifier le code postal d'un assuré qui n'aurait pas de compte Ameli pour pouvoir en créer un.

La personne malveillante pourra, après la création du compte Ameli, créer un compte FranceConnect au nom de l'assuré (encore une fois si celui-ci n'existe pas encore) et se connecter à la myriade de services publics utilisant ce système. Cela dit, 42 millions d'assurés disposant d'un compte Ameli selon l'Assurance Maladie, il reste peu de possibilités de création de compte pour les pirates.

Aux complémentaires de signaler aux assurés

Si la CNIL donne un chiffre de « plus de 33 millions de personnes » touchées alors que les premières communications des entreprises se gardaient bien d'évoquer l'ampleur des fuites, l'autorité indique qu'elle n'est pas en mesure d'indiquer à chaque personne si elle est concernée.

Elle précise qu'il appartient à chacune des complémentaires santé « faisant appel aux prestataires Viamedis et Almerys d’informer individuellement et directement l’ensemble des personnes concernées comme le prévoit notamment le règlement général sur la protection des données (RGPD) ». L'autorité ajoute qu'elle s'assurera que « ce soit fait dans les plus brefs délais ».

Certaines complémentaires ont déjà commencé à informer leurs clients. Malakoff-Humanis a publié sur son site un message qui explique comment ses assurés peuvent savoir s'ils sont concernés, message envoyé aussi à ses assurés. D'autres, comme Generali par exemple, ont aussi envoyé un mailing.

Conseils de prudence

Face à cette fuite gigantesque, la CNIL conseille aux assurés concernés (rappelons qu'il s'agit de la moitié de la population et qu'ils n'ont pas tous encore été contactés par leurs complémentaires) d'être « prudents sur les sollicitations que vous pourrez recevoir, en particulier s’ils concernent des remboursements de frais de santé ».

Elle les pousse aussi à « vérifier périodiquement les activités et mouvements sur vos différents comptes ». Ces conseils classiques et indispensables laissent les assurés bien démunis face à une attaque de si grande ampleur.