Malakoff Humanis : vos remboursements de santé ont pu fuiter par un prestataire attaqué en août

Des autorisations de prise en charge hospitalière, des décomptes de remboursement, des factures d'optique et de pharmacie, et même des mentions d'IBAN ou de relevés bancaires. Le 17 octobre, un pirate qui signe ChimeraZ met en ligne sur un forum cybercriminel un fichier d'environ 40 Mo présenté comme une base partielle de Malakoff Humanis : 16 556 documents au total.

Le 18 octobre, le groupe de protection sociale a donné sa version à Cyberattaque.org, qui a mis à jour son article. Il confirme une cyberattaque visant IGA, un prestataire chargé de la gestion d'environ 2 000 de ses assurés. Il dit en avoir eu connaissance le 11 août 2026. En revanche, il vérifie encore l'authenticité, l'origine et l'étendue des données publiées.

Que contient le fichier diffusé ?

Selon l'analyse de Cyberattaque.org, qui dit s'être procuré la base, les documents mêlent des noms, des adresses postales, des dates de naissance, des numéros d'adhérent et des numéros de sécurité sociale. On y trouve aussi des données sur les soins : consultations, analyses, transport médical, hospitalisations. Plus de 800 entrées comportent un IBAN ou un relevé bancaire, dont certains appartiennent à des organismes payés et non à des assurés. Les documents les plus récents datent des 7 et 8 août 2026, soit quelques jours avant la découverte annoncée par le groupe.

Le site Fuites Infos, qui a lui aussi examiné le fichier, aboutit à une lecture proche. Ce ne serait pas une base du site de Malakoff Humanis, mais des courriels et des courriers de gestion adressés à des boîtes d'IGA Gestion, datés pour l'essentiel de décembre 2025 à août 2026. Il y compte environ 2 600 assurés distincts. Les deux chiffres ne mesurent pas la même chose : 16 556 documents ne font pas 16 556 victimes, car un même assuré peut apparaître plusieurs fois.

Pourquoi passer par le gestionnaire plutôt que par l'assureur ?

IGA Gestion gère des contrats de santé et de prévoyance pour le compte d'autres organismes. Selon Fuites Infos, elle traite des dossiers sous la marque Malakoff Humanis depuis un centre situé à Tours. Ces sous-traitants concentrent des données très sensibles, souvent avec moins de visibilité que l'assureur lui-même. Les hôpitaux de Paris l'ont appris à leurs dépens avec le logiciel de commande des repas de leurs patients. Le pirate, lui, n'a donné aucun détail sur la manière dont il est entré. Ce point reste inconnu.

Le pseudonyme ChimeraZ n'est pas inconnu. Cyberattaque.org et FrenchBreaches l'attribuent à ce pirate, tandis que Fuites Infos indique que le pseudonyme était masqué sur la capture qu'il a consultée.

Assurés : les bons réflexes

Malakoff Humanis dit avoir prévenu la CNIL et les autorités compétentes, et annonce qu'il informera les assurés concernés. En attendant, avec un nom, un numéro de sécurité sociale et des détails de soins, un escroc peut se faire passer de façon très crédible pour votre mutuelle.

• Méfiez-vous des courriels, SMS ou appels qui évoquent un remboursement, un dossier d'hospitalisation ou un changement de RIB. Le groupe rappelle que ses conseillers ne demandent jamais de mot de passe ni de code de sécurité.
• Surveillez vos relevés bancaires et signalez tout prélèvement inconnu à votre banque.
• En cas de doute, rappelez votre gestionnaire au numéro indiqué sur votre carte de tiers payant, jamais à celui donné par l'appelant.

Reste à savoir combien d'assurés seront finalement prévenus, et si d'autres organismes dont IGA gère les contrats sont touchés.