Santé, sécurité sociale, cachette des clés : un pirate dit vendre les fiches de l'ADMR

Où est rangée la clé, quel est le code de la porte, quels soins sont prévus : pour qu'une aide à domicile puisse entrer chez une personne âgée, ces détails doivent bien être notés quelque part. Selon deux sites spécialisés qui ont examiné un échantillon, certains d'entre eux figurent dans des fichiers qu'un pirate dit avoir dérobés à l'ADMR, l'un des principaux réseaux associatifs d'aide à domicile en France.

L'annonce a été publiée le 23 octobre sur un forum cybercriminel, selon Fuites Infos. Le vendeur, qui signe « novembegolf » d'après Cyberattaque.org, affirme détenir 4 541 053 lignes (1,81 Go) et propose le fichier complet à la vente. À ce stade, l'ADMR n'a fait aucune déclaration publique confirmant un vol de données : l'affaire reste une revendication.

Que contient l'extrait diffusé par le pirate ?

Pour appâter les acheteurs, le vendeur a mis en ligne gratuitement un extrait. Cyberattaque.org y a compté 12 818 fiches de bénéficiaires et de membres de leur foyer, souvent très âgés. On y trouve l'état civil, la date et le lieu de naissance, la nationalité, la situation familiale et la composition du foyer. 4 967 fiches comportent un numéro présenté comme un numéro de sécurité sociale, soit 4 835 numéros différents une fois les doublons retirés : près de quatre fiches sur dix.

Le plus sensible se trouve dans les commentaires libres. D'après Cyberattaque.org, 844 fiches décrivent une mobilité réduite, des troubles de la mémoire, des traitements, des passages d'infirmiers ou une aide à la toilette. Certaines notes indiquent l'emplacement d'une clé, la présence d'un coffre, un badge ou un code de porte. Le site relève aussi 463 fiches de personnes mineures et des notes datées de 2025 et 2026.

Prudence sur les chiffres : 4,5 millions de lignes ne font pas 4,5 millions de personnes, une même personne pouvant apparaître plusieurs fois. Selon les chiffres du réseau repris par Cyberattaque.org, l'ADMR compte environ 720 000 clients.

D'où viendraient ces fichiers ?

Le pirate présente son opération comme un « scrape » du site admr.org, c’est-à-dire une simple aspiration de ses pages. Cyberattaque.org juge la formule trompeuse : les fichiers ressemblent à des données de gestion internes, pas à des pages publiques. Le site rappelle que le réseau a utilisé les logiciels Philia et PhiliaSanté, sans établir que l'un d'eux soit en cause. Selon Fuites Infos, deux captures d'écran d'une application jointes à l'annonce montrent aussi des adresses et des numéros de téléphone.

Ce n'est pas la première alerte. Le 1er octobre, une autre revendication portait sur environ 9 700 comptes de l'intranet du réseau (salariés, responsables et bénévoles). En avril, un autre pirate disait détenir 5 280 comptes. Aucun lien n'est établi entre ces épisodes.

Les bons réflexes pour les bénéficiaires et leurs proches

Pas besoin de piratage sophistiqué pour exploiter de telles données : un appel bien renseigné suffit souvent à tromper une personne âgée. En attendant une communication de l'ADMR :

• prévenez vos proches aidés : ni leur association, ni l'Assurance maladie, ni une banque ne demandent de code, de mot de passe ou de virement par téléphone ;
• méfiez-vous d'un appel ou d'un visiteur qui connaît des détails de santé ou du plan d'aide : raccrochez et rappelez l'association locale à son numéro habituel ;
• si une cachette de clé ou un code d'accès a été communiqué à l'association, changez-les ;
• surveillez les remboursements affichés sur le compte ameli pour repérer un usage anormal du numéro de sécurité sociale.

Comme lors de la fuite chez Malakoff Humanis, ce sont des données de santé, donc particulièrement protégées par le RGPD, qui seraient en jeu. Si l'intrusion est avérée, le réseau, qui fédère près de 2 700 associations locales, devra la notifier à la CNIL et, vu la sensibilité des données, prévenir les personnes concernées. Reste à savoir quel outil a été touché, et quand.