Un numéro de sécurité sociale ne se change pas. C'est ce qui rend la fuite annoncée par la Cnil le 7 février 2024, plus de 33 millions de personnes concernées chez Viamedis et Almerys, différente d'un vol de carte bancaire : ici, rien ne se remplace.
\n\nLes deux sociétés visées ne sont pas des mutuelles mais des opérateurs de tiers payant, ces intermédiaires techniques qui vérifient vos droits quand le pharmacien passe votre carte Vitale. Vous n'avez sans doute jamais entendu leur nom, et pourtant elles détenaient votre dossier parce que votre complémentaire santé leur en a sous-traité la gestion.
\n\n\n\nChristophe Candé, directeur général de Viamedis, a décrit une intrusion dans la plateforme de gestion et non une attaque par rançongiciel. Le point d'entrée : le compte d'un professionnel de santé, dont les identifiants avaient été récupérés. Une fois à l'intérieur, l'attaquant a pu interroger la base comme l'aurait fait un utilisateur ordinaire.
\n\nLa plateforme a été déconnectée dès la découverte des faits et une plainte déposée. La Cnil a annoncé l'ouverture d'investigations pour vérifier si les mesures de sécurité des deux opérateurs répondaient à leurs obligations, en particulier sur l'authentification des comptes professionnels et sur la journalisation des accès. Elle a aussi exigé que chaque complémentaire santé prévienne individuellement ses assurés, ce que le règlement européen impose en cas de risque élevé.
\n\n\n\nChanger le mot de passe de votre espace mutuelle est utile, surtout si vous le réutilisez ailleurs. En revanche, aucune démarche ne permet de faire annuler un numéro de Sécurité sociale divulgué : il est construit à partir de votre sexe, de votre date et de votre lieu de naissance, et il vous suit à vie. Il faut donc vivre avec l'idée qu'il circule.
\n\nLa règle pratique tient en une phrase : votre caisse d'assurance maladie et votre mutuelle ne vous demanderont jamais vos coordonnées bancaires par téléphone ou par SMS pour débloquer un remboursement. Un interlocuteur qui récite correctement votre numéro de Sécurité sociale n'est plus une preuve de rien depuis février 2024.
\n\n\n\nLa responsabilité juridique reste celle des complémentaires santé : déléguer l'exécution à un prestataire ne transfère pas le statut de responsable du traitement. Beaucoup d'assurés ont découvert à cette occasion que leurs données transitaient par un prestataire dont ils ignoraient l'existence, sans avoir jamais eu à donner leur accord sur ce point précis.
\n\nPar son volume, l'affaire figurait début 2024 parmi les plus importantes jamais recensées en France. Elle n'a pourtant provoqué aucun changement visible pour l'usager du système de santé : le tiers payant a continué de fonctionner, et l'assuré moyen n'a rien vu passer d'autre qu'un courriel de sa mutuelle. C'est peut-être le plus gênant dans cette histoire.
", "alternates": { "html": "https://www.ouestmedias.net/piratage-de-donnees-de-sante-plus-de-33-millions-de-francais-touches-par-la-cyberattaque-visant-viamedis-et-ses-partenaires.html", "markdown": "https://www.ouestmedias.net/piratage-de-donnees-de-sante-plus-de-33-millions-de-francais-touches-par-la-cyberattaque-visant-viamedis-et-ses-partenaires.md", "json": "https://www.ouestmedias.net/api/post/piratage-de-donnees-de-sante-plus-de-33-millions-de-francais-touches-par-la-cyberattaque-visant-viamedis-et-ses-partenaires.json" }, "site": { "name": "Ouest Médias", "url": "https://www.ouestmedias.net/" }, "license": "Reproduction autorisée avec lien vers la source." }