Almerys repiraté : 15 millions de numéros de sécu dans la nature

Almerys ^[2] a confirmé lundi 25 mai ^[3] avoir été victime d’une cyberattaque ayant entraîné « l’exposition de données personnelles » de bénéficiaires ^[4], sans en chiffrer le nombre ^[5]. Selon le site spécialisé FrenchBreaches ^[6], le hacker opérant sous le pseudonyme « Lagui » ^[7] revendique 44 074 042 lignes ^[8] proposées à la revente sur des forums cybercriminels ^[9]. C’est l’une des plus importantes fuites de données de santé françaises de ces dernières années ^[10].

LES ENJEUX

Volumétrie de la brèche

44 millions de lignes dont 15,4 millions de numéros de sécurité sociale uniques mis en vente sur le dark web [1].

Vecteur d'attaque trivial

Un compte gestionnaire usurpé sur la plateforme PEC a suffi pour extraire l'ensemble des données [13]. La PGSSI-S impose pourtant l'authentification forte.

Récidive à 27 mois

Almerys avait déjà subi un vol massif début 2024 avec Viamedis, exposant 33 millions de Français [30].

Réponse réglementaire

Art. 323-1 CP côté attaquant, 226-17 CP côté responsable de traitement, art. 83 RGPD côté CNIL: trois leviers, aucune sanction publique post-2024.

Risque de fraude pour les usagers

Numéros de sécu et liens familiaux facilitent usurpation d'identité et demandes de remboursement frauduleuses [38].

Le vecteur d’attaque: un compte gestionnaire usurpé

Le scénario technique est désormais documenté. L’attaque a permis « un accès non autorisé au site de délivrance des prises en charge (PEC) » ^[11], utilisé par les professionnels de santé pour l’optique, l’audiologie, le dentaire et certaines hospitalisations ^[12]. Le mode opératoire repose sur l’usurpation d’identité d’un compte gestionnaire sur la plateforme dédiée aux professionnels de santé, qui a permis cette extraction ^[13].

Aucun zero-day, aucun ransomware sophistiqué: un identifiant compromis a suffi. Almerys affirme avoir « pris des mesures immédiates pour identifier et neutraliser les accès concernés » ^[14] et fermé le site PEC ^[15], provoquant des perturbations en optique, audiologie, dentaire et certaines prises en charge hospitalières ^[16]. Les autres services « restent opérationnels » ^[17].

Authentification forte: une zone d’ombre

La question technique structurante reste sans réponse publique: quel niveau d’authentification protégeait le compte gestionnaire compromis? Simple couple identifiant-mot de passe, ou double facteur (MFA)? Almerys n’a pas communiqué. Or le secteur santé n’est pas un secteur ordinaire: des référentiels sectoriels encadrent depuis plusieurs années l’accès distant aux données de santé à caractère personnel, et imposent des exigences renforcées en matière d’authentification, selon plusieurs sources.

Si l’enquête de l’ANSSI ^[18] confirmait l’absence de MFA sur le compte usurpé ^[13], la non-conformité réglementaire serait antérieure à l’attaque elle-même - et susceptible de fonder, à elle seule, une sanction administrative indépendamment de la brèche. Le silence d’Almerys sur ce point précis est donc, en soi, un fait journalistique.

Ce qui a fuité, ce qui n’a pas fuité

Alan, l’un des assureurs clients ^[21], précise ne pas partager avec ses prestataires de tiers-payant les adresses, numéros de téléphone ni IBAN ^[22]. La compagnie reconnaît néanmoins ne pas avoir « accès pour l’instant à une liste détaillée des personnes concernées » ^[23] et « préfère considérer que ces incidents touchent l’ensemble des assurés ainsi que leurs ayants-droits » ^[24].

En revanche, aucune communication publique de MGEN ^[25], Harmonie Mutuelle ^[26] ni AG2R La Mondiale ^[27] n’avait été recensée au moment de la publication de cet article, malgré leur statut de clients confirmés d’Almerys. Ces trois acteurs totalisent plusieurs millions d’assurés en France. Leur silence collectif - sur l’identification des bénéficiaires concernés, sur les courriers d’information individuels qu’impose pourtant le RGPD - constitue un trou journalistique qu’aucun communiqué ne vient combler à ce jour.

Vingt-sept mois après Viamedis: la récidive, et ses zones d’ombre

Almerys avait déjà été victime d’un vol massif de données lors d’une cyberattaque début 2024 ^[28], conjointement avec Viamedis ^[29]. Au total, plus de 33 millions de Français étaient concernés ^[30]. Vingt-sept mois plus tard ^[31], la société se retrouve face au même type de brèche.

C’est là que réside la contradiction centrale de cette affaire. Almerys avait annoncé en 2024 avoir « pris des mesures immédiates pour identifier et neutraliser les accès concernés » ^[14]. Pourtant, en 2026, soit 27 mois plus tard ^[31], le vecteur d’attaque est, dans sa logique, identique: un accès gestionnaire usurpé suffit à exfiltrer plus de 44 millions de lignes ^[8]. Trois hypothèses, et trois seulement: soit ces mesures correctives n’ont jamais été pleinement mises en œuvre, soit elles ont été contournées par un mode opératoire ajusté, soit elles étaient structurellement insuffisantes. Almerys n’a communiqué sur aucune de ces hypothèses. Le silence de la société sur ses propres remédiations post-2024 est, journalistiquement, plus parlant que tous les communiqués de crise réunis.

Le pattern se confirme à l’échelle du secteur. En 2025, le réseau de soins Itelis avait à son tour été touché ^[32], avant une attaque visant Cegedim début 2026 ^[33]. La chaîne de tiers-payant santé est devenue une cible systémique.

L’angle mort: la valeur marchande des données administratives

Ce que personne ne dit clairement: le récit officiel insiste sur l’absence de données bancaires et médicales ^[34], comme si la fuite était mineure. C’est l’inverse. Le numéro de sécurité sociale, couplé à l’état civil et aux liens familiaux entre assurés et ayants droit ^[35], constitue un actif rare. « La présence de numéros de sécurité sociale et de liens familiaux renforce le caractère sensible du corpus » ^[36], pouvant faciliter des tentatives d’usurpation d’identité ou du ciblage par fraude ^[37].

Un cybercriminel peut « ouvrir des comptes, faire des demandes de remboursement frauduleuses, ou encore commettre des usurpations d’identité à grande échelle » ^[38]. Les usurpations d’identité avaient bondi de 93 % ^[39] en 2023 selon Cybermalveillance.gouv.fr, avec plus de 282 000 demandes d’assistance enregistrées ^[40]. Le recoupement avec d’autres fuites récentes - Bouygues Telecom ^[41], la DGFiP ^[42], l’ANTS ^[43] - renforce le risque d’arnaques bien ciblées ^[44].

Cadre légal: trois textes en embuscade

Trois corps de règles encadrent l’affaire Almerys, et il n’est pas inutile d’en rappeler la nomenclature précise.

D’abord, le volet pénal côté attaquant. L’article 323-1 du Code pénal sanctionne l’accès et le maintien frauduleux dans un système de traitement automatisé de données (STAD), selon plusieurs sources, avec des peines aggravées lorsque l’intrusion entraîne suppression, modification de données ou altération du fonctionnement du système. L’article 323-3 du même code, qui réprime l’extraction, la détention, la reproduction ou la transmission frauduleuses de données sans droit, vise plus directement l’exfiltration des 44 074 042 lignes ^[8] revendiquée par l’attaquant.

Ensuite, le volet pénal côté responsable de traitement. L’article 226-17 du Code pénal punit le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures de sécurité prescrites par la loi, selon plusieurs sources. Si la défaillance d’Almerys était caractérisée - absence de MFA, gestion défaillante des accès tiers - cet article pourrait s’appliquer à la société elle-même, et non plus seulement à son attaquant.

Enfin, le volet administratif européen. L’article 83 du RGPD fixe le plafond des amendes administratives à 4 % du chiffre d’affaires annuel mondial ^[45] pour les violations les plus graves - dont l’article 32 sur la sécurité du traitement. L’article 33 impose au responsable de traitement de notifier toute violation à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », selon plusieurs sources.

À titre de calibrage, le dossier Almerys porte sur 15 452 549 numéros de sécurité sociale uniques exposés ^[1], soit plus de 15 millions de Français potentiellement touchés ^[46], un volume sans commune mesure avec les sanctions françaises antérieures en matière de fuite de données de santé.

Réponse réglementaire: les rouages et leurs limites

Almerys a déposé plainte auprès du procureur de la République ^[47], saisi la CNIL ^[48] et l’ANSSI ^[18]. La section de lutte contre la cybercriminalité du parquet de Paris a saisi la brigade spécialisée de la préfecture de police (BL2C) ^[49]. Sur le papier, le dispositif est rodé: la CNIL contrôle la conformité RGPD, l’ANSSI accompagne techniquement la remédiation et le parquet poursuit les auteurs.

Reste l’effectivité. Lors de l’incident 2024, la CNIL avait ouvert une enquête pour déterminer si les prestataires avaient « fait preuve de négligence ou non puis décider d’éventuelles sanctions » ^[50]. Vingt-sept mois plus tard ^[31], aucune décision publique de la CNIL n’avait été rendue à la connaissance de la rédaction au moment de la publication de cet article, alors que le même opérateur subit une seconde brèche d’ampleur comparable. La question n’est plus de savoir si le cadre légal est dissuasif sur le papier - il l’est manifestement - mais s’il l’est en pratique. Une procédure CNIL qui dépasse les deux ans sans décision publique sur un dossier de plus de 33 millions de victimes ^[30] envoie aux acteurs du secteur un signal d’impunité structurelle, indépendamment de l’issue finale du dossier.

La voix critique: la dette technique du secteur santé

Jean-Jacques Latour, directeur expertise cybersécurité au sein de Cybermalveillance.gouv.fr ^[51], avait posé le diagnostic dès 2024: « Pendant trop longtemps le secteur a négligé sa cybersécurité en pensant qu’il ne pouvait pas être la cible des cybercriminels. La dette technique, autrement dit le retard de sécurisation, s’est creusé » ^[52]. Deux ans plus tard, la récidive d’Almerys via un simple compte gestionnaire usurpé ^[13] valide ce constat.

La société, propriété du groupe BeYs fondé par Laurent Carreda ^[53], n’a pas communiqué sur les mesures d’authentification renforcée mises en place après 2024. La question de la responsabilité contractuelle envers les mutuelles clientes - MGEN, Harmonie Mutuelle, AG2R La Mondiale ^{[25] [26] [27]}, Alan, Ampli ^[54] - reste entière.

Ce que les usagers doivent faire

FrenchBreaches recommande de « rester vigilant face aux sollicitations inhabituelles liées à la couverture santé, de ne pas répondre aux appels de numéros inconnus, et de ne pas cliquer sur des liens dans des sms ou des emails suspects » ^[55]. Alan recommande à ses assurés de faire preuve d’une « vigilance accrue dans les prochaines semaines » face aux SMS, appels vocaux ou e-mails suspects ^[56]. « En cas de doute, prenez vous-même contact directement avec l’organisme concerné afin de vérifier la provenance et la légitimité du message » ^[57].

Les officines sont en première ligne et doivent renforcer leur vigilance face aux risques de fraude et d’usurpation d’identité ^[58], confrontées potentiellement à « des appels frauduleux, des faux échanges liés au tiers payant ou des demandes suspectes de transmission de justificatifs administratifs » ^[59].

Ce que les sources ne disent pas

Trois questions cruciales restent sans réponse à ce jour. Premièrement: quelle authentification protégeait le compte gestionnaire usurpé - simple mot de passe ou double facteur? Aucune source ne le précise. Deuxièmement: combien de bénéficiaires sont effectivement concernés? Almerys s’est abstenu de chiffrer leur nombre ^[5]. Troisièmement: où en est, exactement, l’enquête CNIL ouverte début 2024? Aucune décision publique n’a été rendue à ce jour à la connaissance de la rédaction, alors même que la récidive de 2026 aurait pu être éclairée par ses conclusions.