Secu
La fuite de données qui a impacté Almerys et Viamedis est plus grave qu’anticipée
Par Laurent Delattre, publié le 09 février 2024
Au-delà des 33 millions de profils d’assurés sociaux dérobés, les cyberattaquants ont aussi à récupérer les coordonnées bancaires des professionnels de santé !
Le 7 février dernier, les Français découvraient par un communiqué de la CNIL qu’une cyberattaque contre deux opérateurs du tiers payant avait entraîné la fuite d’environ 33 millions d’assurés sociaux en France.
La CNIL se voulait cependant rassurante, expliquant que « les données concernées sont, pour les assurés et leur famille, l’état civil, la date de naissance et le numéro de Sécurité sociale, le nom de l’assureur santé ainsi que les garanties du contrat souscrit » et ajoutant par ailleurs que « les informations bancaires, les données médicales, les remboursements santé, les coordonnées postales, les numéros de téléphone ou encore les courriels ne seraient pas concernés par la violation ».
Sur le papier, les données dérobées ne présentent en l’état qu’un intérêt limité pour les cybercriminels. Mais la présence du numéro de sécurité social associé à l’état civil peut néanmoins permettre aux cyberattaquants de croiser ces données exfiltrées avec celles d’autres fuites préalables (on estime que les bases du Dark Net contiennent plus de 24 milliards de profils d’internautes, soit 3 profils identifiants par être humain dans le monde) et de reconstituer des profils plus complets afin de notamment mener des attaques de phishing très ciblées.
Les experts en cybersécurité invitaient donc les assurés sociaux à redoubler de vigilance face à tout email ou tout appel téléphonique semblant provenir de leur mutuelle, de la Sécurité sociale ou de tout organisme de santé surtout s’ils sont invités à cliquer sur des liens ou à mettre à jour leurs coordonnées bancaires.
Reste que le communiqué de la CNIL semble incomplet. À l’occasion de l’Université des DPO qui se tient ce vendredi à Paris, de nouvelles informations ont été divulguées laissant paraître une fuite de données aux conséquences plus graves qu’initialement anticipées.
Car il n’y a pas que des données d’assurés sociaux qui ont été dérobées. « D’autres données ont été collectées qui concernent les professionnels de santé et, dans certains cas, les entreprises. Avec, cette fois, des données qui sont beaucoup plus embêtantes, telles que des comptes bancaires et autres informations sensibles de ce genre » nous explique Olivier Gilbert, président de l’AFCDP.
« La fuite résulte d’une usurpation d’identité d’un professionnel de santé » révèle Nicolas Samarcq, administrateur de l’AFCDP. « Le communiqué de la CNIL se focalise sur la volumétrie des profils des assurés et les données relativement inoffensives qui ont été exfiltrées mais passent sous silence es données dérobées concernant les professionnels de santé, des données plus critiques comme le login de connexion du professionnel de santé à son portail de tiers payant, son numéro de téléphone et son RIB ! »
Pour Nicolas Samarcq, les données récoltées sont suffisamment complètes pour mener des campagnes de phishing agressives et très ciblées auprès des professionnels de santé pour leur subtiliser de l’argent. « Il est recommandé à tous les professionnels de santé impactés d’informer leur banque que leur RIB a été compromis dans le cadre de cette faille de sécurité » insiste Nicolas Samarcq.
Les professionnels de santé sont également invités à la plus grande vigilance alors que les escroqueries par email et par autres formes de contact risquent de se multiplier dans les semaines à venir.
Par ailleurs, Viamedis a réagi à ces annonces en mettant à jour l’accueil de son site Web. L’opérateur rappelle qu’il ne contactera jamais personne par téléphone pour obtenir des coordonnées bancaires ou personnelles.
L’opérateur écrit également : « Que vous soyez assuré ou professionnel de santé, pensez à changer les mots de passe de vos messageries électroniques personnelles et professionnelles, avec un mot de passe robuste : majuscules, minuscules, chiffres, et signes de ponctuation ou caractères spéciaux (€, #…). »
À LIRE AUSSI :
