Le groupe de protection sociale confirme avoir reçu une revendication de la part d’un pirate informatique. Il prétend avoir divulgué plus de 16 500 enregistrements liés à Malakoff Humanis. C’est l’un de ses prestataires qui a été victime d’une cyberattaque.
Malakoff Humanis enquête sur l’authenticité de cette revendication et l’étendue des données diffusées, qui pourraient concerner des équipements d’optique et d’audioprothèse (ce point n’est toutefois pas éclairci). D’après le site spécialisé FrenchBreaches, qui a analysé des échantillons des fichiers issus de cette cyberattaque, les documents contiennent : noms et prénoms des assurés, dates de naissance, coordonnées, références de dossiers et informations sur des prestations de santé, dont des accords de prise en charge hospitalière, des relevés de remboursements médicaux et des échanges entre assurés et services de gestion. Certains fichiers précisent des dates de soins, des établissements de santé, des montants facturés ou remboursés et des restes à charge. FrenchBreaches explique aussi avoir repéré des références de virements et des coordonnées bancaires partiellement masquées, sans pouvoir établir si des identifiants bancaires complets ou des données de cartes de paiement ont été divulguées. Le site précise par ailleurs que les 16 556 enregistrements revendiqués ne correspondent pas forcément à autant de personnes différentes, plusieurs documents pouvant concerner un même assuré. L’authenticité de l’ensemble des données reste à confirmer.
Dans une communication publiée le 18 octobre, Malakoff Humanis déclare avoir « pris connaissance d’une revendication de vol de données publiée le 17 octobre », en précisant que « ces données publiées renvoient à une cyberattaque qui a visé un des prestataires de gestion (IGA) gérant environ 2 000 assurés [du] Groupe », dont il a été informé le 11 août dernier. Le groupe assure avoir immédiatement lancé les démarches réglementaires : « notification Cnil et autorités compétentes, information des assurés, etc. ». Il poursuit ses investigations sur les éléments rendus publics. Ces derniers pourraient servir à construire des tentatives de fraude personnalisées, en exploitant des informations liées à des remboursements ou à des demandes de prise en charge. Malakoff Humanis indique que « les personnes concernées seront directement informées » et invite aussi ses assurés à « rester vigilants face à tout email, SMS ou appel inhabituel se présentant comme émanant de Malakoff Humanis ». Il rappelle enfin qu’aucun conseiller du groupe ne demandera jamais de mot de passe ni de codes de sécurité par téléphone, SMS ou courrier électronique.
