Un pirate dit vendre les numéros de sécurité sociale de 21 700 assurés d'Aréas Assurances

Le 7 novembre, à 11 h 51, une annonce est publiée sur un forum cybercriminel. Son auteur, qui se fait appeler « webshell » selon le site Cyberattaque.org, dit détenir une base de données d'assurés d'Aréas Assurances, groupe d'assurance mutualiste français. Il cherche un acheteur unique.

D'après l'annonce, le fichier compterait 26 347 lignes, soit 21 732 assurés distincts une fois les doublons de numéros de sécurité sociale retirés. Au 8 novembre, Aréas n'a confirmé publiquement aucun piratage, et on ignore comment les données auraient été obtenues. À ce stade, il ne s'agit donc que d'une revendication.

Ce que contiendrait le fichier

Cyberattaque.org et le site Fuites Infos ont tous deux relayé l'annonce. Selon eux, chaque fiche contiendrait le nom, le prénom, la date de naissance et le numéro de sécurité sociale, complet et clé comprise selon Cyberattaque.org. S'y ajouteraient les numéros de contrat et d'adhérent, le régime d'affiliation (selon Fuites Infos), les garanties souscrites et la période de validité des droits. Le fichier indiquerait aussi si l'assuré a un compte sur l'espace client en ligne.

Selon Fuites Infos, la base contiendrait aussi des mineurs et la composition des familles. Selon la revendication relayée par Cyberattaque.org, 8 767 personnes disposeraient de droits santé actifs. Aucun diagnostic ni dossier médical n'est mentionné. La base serait vendue aux formats CSV et JSONL, à un prix non communiqué.

Ce que révèle l'échantillon, et ce qu'il ne prouve pas

Le pirate a diffusé un court extrait. Cyberattaque.org en a examiné cinq lignes. Les cinq clés de contrôle des numéros de sécurité sociale sont valides. Le code d'organisme indiqué correspond bien à Aréas dans les référentiels du secteur de la santé. Mais sur l'une des fiches, la date de naissance ne correspond pas à celle contenue dans le numéro de sécurité sociale. Le site juge ces indices insuffisants pour valider l'ensemble des 21 732 assurés. Les exemples ne permettent pas non plus de savoir à quelle date les données auraient été récupérées.

Le numéro de sécurité sociale pose un problème particulier : contrairement à un mot de passe, on ne peut pas le changer. Ce n'est pas la première fois que des données de ce genre circulent, comme lors de l'alerte de Clin d'œil Opticiens ou de la fuite présumée de remboursements de santé chez un prestataire de Malakoff Humanis.

Assuré chez Aréas : les bons réflexes

Un escroc n'a besoin d'aucune compétence technique pour exploiter ce genre de fichier : citer votre numéro de contrat au téléphone suffit souvent à paraître crédible.

• Méfiez-vous des appels, SMS ou e-mails au nom d'Aréas, de votre mutuelle ou de l'Assurance maladie, surtout s'ils citent votre contrat ou vos garanties. L'Assurance maladie ne demande jamais vos coordonnées bancaires par e-mail ou par SMS.
• Ne cliquez pas sur les liens reçus : connectez-vous directement à votre espace client ou à votre compte ameli.
• En cas de doute, raccrochez et rappelez votre assureur au numéro habituel.
• Expliquez aux enfants rattachés à votre contrat qu'un message inattendu peut être une arnaque.
• Si vous êtes victime d'une escroquerie, le dispositif cybermalveillance.gouv.fr vous accompagne gratuitement.

Si la fuite était confirmée, le RGPD obligerait Aréas à la déclarer à la CNIL dans les meilleurs délais, si possible dans les 72 heures suivant sa découverte. Il devrait aussi prévenir directement les assurés si le risque pour eux est élevé. C'est la prochaine étape à surveiller.