Piratage de numéros de sécurité sociale: 33 millions de Français concernés

Après le piratage de Viamedis et d'Almerys, la CNIL a officiellement communiqué sur le sujet et dévoile le nombre de personnes concernées.

Au total, ce sont donc 33 millions de personnes qui sont concernées par le piratage de grande ampleur dont ont été victimes deux opérateurs de tiers payant. Début février, Viamedis et Almerys, qui se chargent de la gestion du tiers payant pour de nombreuses complémentaires santé, avaient annoncé avoir fait face à des violations de données.

Depuis, les deux entreprises n'ont pas communiqué davantage sur le sujet. Ce mercredi 7 février, c'est la Commission nationale de l'informatique et des libertés (Cnil), qui a diffusé une publication à l'attention des potentielles victimes.

"Au total, cette fuite de données concerne plus de 33 millions de personnes. Les données concernées sont, pour les assurés et leur famille, l’état civil, la date de naissance et le numéro de sécurité sociale, le nom de l’assureur santé ainsi que les garanties du contrat souscrit" indique la Commission sur son site.

Risque de hameçonnage

Toujours sur son site, la Cnil ajoute que ce sont les complémentaires santé clientes de Viamedis et Almerys qui se chargeront d'informer directement les personnes dont les données sont dans la nature, conformément au RGPD, le règlement général sur la protection des données.

La CNIL appelle à rester prudent "sur les sollicitations que vous pourrez recevoir", notamment si elles concernent les remboursements de frais de santé. En effet, la diffusion de données aussi sensibles peut entraîner l'envoi de nombreux mails d'arnaque (hameçonnage) redirigeant les victimes vers des faux sites pour leur soutirer de l'argent. Dans ce cas, l'utilisation d'informations personnelles permet de rendre la démarche frauduleuse bien plus réaliste.

D'ici quelques jours, la CNIL prévoit également de mener "très rapidement" des investigations afin de comprendre comment un tel piratage a pu être possible. Elle veut déterminer "si les mesures de sécurité mises en œuvre préalablement à l’incident et en réaction à celui-ci étaient appropriées au regard des obligations du RGPD."

Sylvain Trinel