Cyberattaque Almerys : 44 millions de données médicales piratées, la deuxième fuite majeure en deux ans

Le retour du cauchemar numérique pour Almerys

L’alerte a été donnée en plein mois de mai 2026 par des observateurs du Web marchand et des experts en cybersécurité. Un pirate répondant au pseudonyme de « Lagui » a mis en ligne un échantillon d’une base de données qu’il prétend avoir extraite des serveurs d’Almerys. Le décompte donne le vertige : plus de 44 millions de lignes d’informations. Plus inquiétant encore, l’analyse des fichiers révèle la présence de plus de 15 millions de numéros de Sécurité sociale uniques. Pour rappel, ce n’est pas la première fois que l’opérateur est visé. En février 2024, une attaque combinée contre Almerys et Viamedis avait déjà exposé les données de 33 millions de Français. Cette répétition pose une question fondamentale sur la capacité des acteurs du tiers payant à protéger des informations aussi sensibles que le numéro de sécurité sociale (NSS), qui reste une clé d’identité quasi immuable en France.

Ce que contient réellement la fuite de données

Pour bien comprendre l’ampleur des dégâts, il faut regarder de près ce que les hackers ont réussi à récupérer. D’après les premières analyses des fichiers qui circulent, le butin est principalement administratif. Il s’agirait d’une mine d’or pour les escrocs, même si certaines données cruciales semblent avoir été épargnées pour le moment. Les données concernées par la fuite :

• État-civil : Vos noms et prénoms sont malheureusement dans la nature.
• Date de naissance : Une information compromise qui aide beaucoup les fraudeurs.
• Numéro de Sécurité sociale (NSS) : Le point noir de cette affaire, avec 15,45 millions de numéros uniques identifiés.
• Numéro d’adhérent mutuelle : Cette donnée est également concernée par le vol.
• Périodes de couverture santé : Vos dates de contrat figurent dans la base fuitée.
• Coordonnées de contact (Email, Téléphone) : D’après les premières analyses, ces infos semblent avoir été épargnées.
• Coordonnées bancaires (IBAN) : Bonne nouvelle, vos comptes ne sont pas directement menacés par cette fuite.
• Historique des soins et remboursements : Les détails médicaux et financiers liés aux soins restent, à ce stade, non concernés.

Malgré l’absence de détails médicaux ou bancaires, l’exposition du numéro de Sécurité sociale suffit à rendre cette fuite extrêmement sérieuse. Le pirate prétend avoir exploité une faille de sécurité classique, mais Almerys n’a pour l’heure pas confirmé les détails techniques de l’intrusion. Cependant, la mutuelle Alan, ainsi que plusieurs autres organismes de complémentaire santé, ont déjà commencé à prévenir leurs membres que leurs données pourraient avoir été consultées de manière illégitime.

Une répétition qui fragilise la confiance des Français

Deux ans, c’est le temps qu’il aura fallu pour que la foudre frappe deux fois au même endroit. En 2024, on nous expliquait que les mesures de sécurité allaient être renforcées. Pourtant, nous revoici face à une situation quasiment identique, voire plus vaste en termes de volume de lignes. Cette récurrence soulève une inquiétude majeure chez les assurés. Les points communs sont frappants : même cible, même type de données exposées, et surtout, un silence radio initial de l’opérateur qui laisse les mutuelles en première ligne pour annoncer la mauvaise nouvelle. La différence notable réside peut-être dans la rapidité avec laquelle les hackers ont mis les données en vente ou en partage cette fois-ci. Cela montre une agressivité accrue des cybercriminels envers le secteur de la santé, devenu une cible privilégiée car souvent moins bien protégé que le secteur bancaire.

Les risques bien réels qui pèsent sur les assurés

On entend souvent dire qu’une fuite sans coordonnées bancaires n’est pas si grave. C’est une erreur de jugement. Avec votre nom, votre date de naissance et votre numéro de Sécurité sociale, un pirate possède le kit parfait de l’usurpateur d’identité. Le risque principal, c’est le phishing « aux petits oignons ». Imaginez recevoir un mail ou un SMS qui semble provenir d’Ameli ou de votre mutuelle, mentionnant votre authentique numéro d’adhérent et vos dates de couverture exactes. C’est extrêmement convaincant. Ces données permettent aussi de monter des dossiers de fraude à la complémentaire santé ou même de tenter d’ouvrir des comptes en ligne grâce à votre identité. Le croisement de ces informations avec d’autres fuites passées permet aux malfaiteurs de dresser un profil complet de leur cible, rendant les arnaques presque indétectables pour un œil non averti.

Les bons réflexes à adopter dès maintenant

Si vous pensez faire partie des victimes (ce qui est statistiquement probable si vous utilisez le tiers payant en France), il ne faut pas céder à la panique, mais agir avec méthode. Le premier conseil, c’est la vigilance absolue lors de la réception d’emails ou de SMS demandant une action urgente. Vérifiez toujours l’expéditeur. Ensuite, même si les mots de passe ne sont pas dans la fuite, c’est le bon moment pour activer la double authentification (2FA) sur vos comptes Ameli et mutuelle. Pour savoir si vos informations circulent, vous pouvez surveiller les notifications officielles de votre assureur ou utiliser des services comme Have I Been Pwned bien que la mise à jour pour ce genre de fuite française puisse prendre quelques jours. Gardez aussi un œil sur vos relevés de remboursements santé pour détecter toute activité suspecte, comme des soins facturés que vous n’auriez jamais reçus.

Le système du tiers payant : un colosse aux pieds d’argile ?

Cette nouvelle affaire met en lumière les failles structurelles de notre système de santé. En France, la gestion du tiers payant est concentrée entre les mains de quelques opérateurs majeurs comme Almerys ou Viamedis. Cette concentration en fait des cibles "rentables" pour les hackers : une seule intrusion permet de récupérer les données de millions de citoyens. On peut légitimement se demander si ces entreprises, qui brassent des données ultra-sensibles, sont soumises à des audits de sécurité assez rigoureux. La CNIL et le gouvernement pourraient monter au créneau dans les jours qui viennent pour exiger des comptes. Il y a aussi un enjeu législatif fort : comment obliger ces intermédiaires à investir massivement dans leur défense numérique alors que les marges du secteur sont souvent serrées ?

Vers une prise de conscience obligatoire

On ne peut plus se contenter de simples excuses après chaque fuite. L’attaque de mai 2026 sur Almerys doit être le catalyseur d’un changement profond dans la manière dont nos informations de santé sont stockées. On attend désormais une communication transparente de la part de l’opérateur et des sanctions exemplaires si des négligences sont avérées. La protection de la vie privée ne doit pas être une option ou une ligne de coût que l’on réduit au minimum. En attendant, restez prudents, changez vos mots de passe de temps en temps et ne cliquez jamais sur un lien de remboursement sans avoir vérifié sa provenance deux fois plutôt qu’une. La sécurité informatique est l’affaire de tous, mais elle commence par l’exigence de comptes de la part de ceux qui gèrent notre identité numérique.