Un pirate a eu accès à l'adresse et à la date de naissance de clients de la Macif

Le 12 novembre, des utilisateurs de Macif Avantages, le programme de réductions de l'assureur mutualiste destiné à ses sociétaires et à certains adhérents, ont reçu un courriel d'alerte. Selon le site Cyberattaque.org, qui l'a consulté, il annonce que Qwertys, le partenaire chargé du service de bons d'achat, a subi un incident de sécurité ayant permis à un tiers non autorisé d'accéder aux données des utilisateurs du service de bons d'achat.

D'après ce courriel, rapporté par plusieurs sites spécialisés, cinq informations sont en cause : le nom, le prénom, la date de naissance, l'adresse postale et l'adresse électronique. La Macif assure que les données de carte bancaire ne sont pas concernées, pas plus que les identifiants du compte de bons d'achat ou de l'espace personnel Macif. Elle affirme aussi qu'il n'y a aucun impact sur les contrats d'assurance. Toujours selon l'assureur, le service a été fermé dès la découverte de l'incident. La CNIL (Commission nationale de l'informatique et des libertés) a été notifiée et une plainte a été déposée auprès du procureur de la République.

Qui est concerné, et combien de personnes ?

Macif Avantages propose des réductions chez plus de 200 marques. D'après les mentions de son site, les offres sont réservées aux sociétaires de la Macif et ouvertes aux adhérents de Macif Santé Prévoyance, Macif Vie, Nuoma, MNPAF et MNFCT, ainsi qu'à certains bénéficiaires de partenariats. L'alerte vise seulement les personnes qui ont utilisé le service de bons d'achat.

Combien sont-elles ? La Macif ne le dit pas. Comme le relève Cyberattaque.org, elle ne précise pas non plus la date de l'intrusion, la manière dont l'attaquant est entré, ni si les données ont été simplement consultées ou bien copiées. Aucune des sources consultées ne fait état d'une revendication par des pirates.

Un prestataire qui travaille aussi pour des banques

L'intrusion n'a pas eu lieu chez l'assureur, mais chez son sous-traitant. Selon les conditions générales du programme, citées par Cyberattaque.org, Qwertys, une société parisienne, édite et exploite la plateforme de bons d'achat avec sa solution Reduc Factory. On retrouve le même schéma que chez Malakoff Humanis, dont des remboursements de santé ont pu fuiter par un prestataire attaqué en août : la marque connue prévient ses clients, mais la brèche s'est ouverte ailleurs.

Or Qwertys ne travaille pas que pour la Macif. Sur son site, l'entreprise dit concevoir des programmes d'avantages et de fidélité (bons d'achat, remises, remboursements partiels appelés cashback). Elle cite parmi ses références Banque Populaire, Caisse d'Épargne, Boursobank, Fortuneo, Direct Assurance, Unéo, Fnac Darty et Intersport. L'attaque s'est-elle limitée à la plateforme de la Macif ? L'assureur ne le précise pas, et Qwertys ne s'est pas exprimé publiquement à notre connaissance. Rien n'indique à ce stade que d'autres clients soient touchés, et nous n'avons trouvé aucune communication de leur part sur un incident.

Les bons réflexes si vous avez reçu le courriel

Selon la Macif, ni les identifiants ni les données de carte bancaire ne sont concernés. Le risque vient surtout de messages frauduleux bien renseignés. Un escroc qui connaît votre nom, votre adresse et votre date de naissance peut se faire passer de façon crédible pour la Macif ou pour une enseigne. L'assureur met d'ailleurs lui-même en garde contre ces faux messages.

• Méfiez-vous des courriels, SMS et appels au nom de la Macif ou d'une marque partenaire, surtout s'ils vous pressent de valider un bon, une offre ou un paiement.
• Ne cliquez pas sur les liens reçus : passez par le site ou l'application officiels.
• Ne donnez jamais un mot de passe, un code reçu par SMS ou vos coordonnées bancaires à un interlocuteur que vous n'avez pas contacté vous-même.
• Surveillez votre courrier : une date de naissance et une adresse peuvent servir à usurper votre identité. Si cela arrive, déposez plainte.
• Pour vos questions, l'adresse hotline-macifavantages@macif.fr est indiquée, selon le site E.Niort. Si vous êtes victime d'une arnaque, le dispositif public Cybermalveillance.gouv.fr vous aide gratuitement.

Ce n'est pas le premier incident du mois dans le monde des avantages offerts aux clients et aux salariés. Le 7 novembre, nous rapportions qu'un pirate s'en était pris à 15 000 cartes-cadeaux Illicado offertes à des salariés. Pour la Macif, deux réponses restent attendues : combien de personnes sont concernées, et depuis quand l'intrus avait accès à la plateforme.