Des assurés en complémentaire santé de Malakoff Humanis sont touchés par la fuite d'un fichier publié le 17 octobre 2026 sur un forum cybercriminel. Il porterait sur environ 2 600 personnes, avec leurs numéros de sécurité sociale et des informations sur leurs soins. Malakoff Humanis a confirmé l'incident : selon le groupe, les données renvoient à la cyberattaque d'un de ses prestataires de gestion, le 9 août 2026.
Publication du 17 octobre 2026 : pseudo de l'auteur, extrait de données et liens de téléchargement masqués.
Un fichier présenté comme une base du site de Malakoff Humanis
Malakoff Humanis est un groupe de protection sociale paritaire et mutualiste, présent en santé, prévoyance, retraite et épargne. Un acteur affirmait diffuser une base partielle du site du groupe : 16 556 lignes, pour environ 40 Mo, proposées au téléchargement sur le forum.
Selon l'analyse de Fuites Infos, le fichier ne contient aucune base du site du groupe. Il rassemble des courriels et des courriers de gestion de complémentaire santé, adressés aux boîtes de messagerie d'IGA Gestion. Un annuaire professionnel présente cette société comme traitant des dossiers d'assurés sous la marque Malakoff Humanis depuis un centre de gestion situé à Tours. Le lien entre les deux sociétés n'est pas établi publiquement. Les documents datent pour l'essentiel de décembre 2025 à août 2026. Le fichier porterait sur environ 2 600 assurés distincts.
Ce que Malakoff Humanis a confirmé
Malakoff Humanis indique que ces données renvoient à une cyberattaque menée le 9 août 2026 contre l'un de ses prestataires de gestion, qu'il ne nomme pas. Selon le groupe, l'incident concerne environ 2 000 assurés individuels. Le groupe précise avoir eu connaissance du piratage le 11 août 2026. Il indique avoir notifié la CNIL le 13 août 2026, ainsi que les autorités compétentes, et avoir informé les assurés. Le fichier publié en octobre s'arrête d'ailleurs au 8 août 2026, la veille de l'attaque.
Ce que contiennent les dossiers des assurés
Les documents décrivent la vie courante d'un contrat santé : prises en charge optiques et auditives transmises par l'opérateur de tiers payant Viamedis, demandes de remboursement, devis, refus de prise en charge, attestations, échanges avec des hôpitaux et des cliniques. On y trouve l'identité et les coordonnées des assurés, leur date de naissance et leur numéro de sécurité sociale. Des informations de santé y figurent aussi, comme des prescriptions de lunettes ou des séjours à l'hôpital. Certains dossiers concernent des enfants, et quelques-uns portent des coordonnées bancaires.
Un numéro de sécurité sociale associé à un nom, une date de naissance et une adresse facilite l'usurpation d'identité, et il ne se change pas. Les détails d'un dossier en cours, comme une prise en charge chez un opticien ou un remboursement attendu, rendent crédible un faux message de la complémentaire santé : il pourrait servir à réclamer un relevé d'identité bancaire, des informations de carte ou des identifiants. Malakoff Humanis indique d'ailleurs avoir invité ses assurés à se méfier de tout courriel, SMS ou appel inhabituel se présentant comme émanant du groupe. Les informations de santé touchent enfin à l'intimité des personnes, enfants compris.
Données concernées :
- Noms, prénoms, civilité et date de naissance
- Adresses postales, adresses électroniques et numéros de téléphone
- Numéros de sécurité sociale
- Données de santé et dossiers de prise en charge
- Données concernant des enfants et des ayants droit
- Coordonnées bancaires (IBAN, BIC) et montants de remboursement
- Contenu de courriels et de documents de gestion
- Un identifiant et un mot de passe d'une application tierce
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise