Piratage de numéros de sécurité sociale : Êtes-vous concerné et que faire en cas d'alerte ?

Un mot de passe se change en trois minutes. Un numéro de sécurité sociale, jamais. C'est ce qui rend la fuite révélée en février 2024 chez Viamedis et Almerys, les deux opérateurs de tiers payant qui gèrent le lien entre professionnels de santé et complémentaires, différente d'un piratage ordinaire : les données parties dans la nature resteront valables toute votre vie. La bonne nouvelle, s'il en faut une, c'est qu'aucune coordonnée bancaire ni aucune donnée médicale n'était dans le lot. La mauvaise, c'est que ce qui a fuité suffit à rendre un faux appel de votre mutuelle parfaitement crédible.

Ce qui est sorti, et ce qui n'est pas sorti

La CNIL a chiffré à plus de 33 millions le nombre de personnes concernées, soit à peu près un Français sur deux. Les fichiers contenaient l'état civil, la date de naissance, le numéro de sécurité sociale, le nom de l'assureur et les garanties du contrat. Pas les remboursements, pas les actes médicaux, pas les IBAN, pas les numéros de téléphone. Les deux attaques ont visé les comptes de professionnels de santé donnant accès aux portails de tiers payant, ce qui explique le volume : ces plateformes voient passer les assurés de dizaines de mutuelles.

Savoir si vous êtes dans le fichier

La réglementation oblige chaque organisme à informer individuellement les personnes concernées. Beaucoup de mutuelles l'ont fait par courriel début 2024, d'autres par un message dans l'espace client. Regardez vos spams.

Il existe un indice plus simple : votre carte de tiers payant. Si la mention Viamedis ou Almerys y figure, votre contrat passait bien par l'un des deux. Faute de notification et en cas de doute, appelez votre complémentaire et demandez explicitement si votre dossier faisait partie du périmètre transmis à la CNIL. C'est une question à laquelle les services clients avaient une réponse préparée.

Changer ses mots de passe ne sert à rien ici

C'est le conseil qui a été le plus répété au moment des faits, et il tombe à côté. Aucun mot de passe d'assuré n'a fuité dans cette affaire. Les identifiants compromis étaient ceux de professionnels de santé, côté portail. Renouveler le code de votre espace mutuelle ne récupère rien de ce qui est déjà parti.

Le risque réel s'appelle hameçonnage ciblé. Quelqu'un qui détient votre nom, votre date de naissance, votre numéro de sécurité sociale et le nom exact de votre complémentaire peut vous appeler ou vous écrire en récitant ces éléments. Le piège consiste ensuite à réclamer un IBAN pour un remboursement en attente, ou une carte bancaire pour une carte Vitale à renouveler, qui est gratuite.

Ce que vous pouvez faire de concret

Signalez les SMS suspects au 33700. Surveillez vos décomptes de remboursement : une fraude au tiers payant se repère à des actes que vous n'avez pas eus. Si de l'argent a bougé, prévenez votre banque le jour même et portez plainte. Vous pouvez enfin exercer votre droit d'accès auprès de votre mutuelle pour savoir quelles données vous concernant ont été exposées, et saisir la CNIL si la réponse tarde.