Mutuelle générale de prévoyance : 200 000 données personnelles et 133 000 IBAN exposés dans une cyberattaque

C'est un séisme dans le paysage mutualiste. La troisième plus grande mutuelle de France, avec ses 1,4 million d'adhérents, vient de subir l'un des piratages les plus massifs jamais enregistrés sur des données de santé. Et pourtant, le pire n'est peut-être pas les 200 000 identités volées, mais ces 133 000 numéros de compte en clair.

Une hémorragie de données

Les chiffres font froid dans le dos. Deux cent mille personnes. Cent trente-trois mille IBAN exposés. Selon nos informations croisées, les pirates du groupe ZeroBytes ont méthodiquement siphonné les données bancaires des adhérents. Comment ? Par une vieille recette qui marche toujours : le credential stuffing.

L'attaque pointe un paradoxe. La mutuelle gère 37 milliards d'euros de cotisations (oui, vous avez bien lu), mais utilise des systèmes antédiluviens. Près de 60% de son infrastructure daterait d'avant 2015, d'après le Cesin.

— "Les personnes concernées reçoivent, depuis le 17 août, une information individuelle", tente de rassurer la direction. Deux semaines après la découverte de la fuite. Deux semaines de retard qui laissent imaginer l'ampleur des dégâts.

La France, terrain de jeu des cybercriminels

Cette attaque n'est pas un cas isolé. Elle s'inscrit dans un mois noir :

• Le ministère de l'Éducation vidé de vingt ans d'archives
• La Fédération française de handball saignée
• Santé publique France mise à nu

Pourtant, les moyens manquent. La CNIL ? Deux cents inspecteurs pour tout le territoire. L'ANSSI ? Un budget ridicule : 0,1% des dépenses publiques, contre 2,3% outre-Rhin. L'Allemagne, justement, avait résisté à WannaCry en 2017. Nous, on continue de payer au prix fort notre négligence.

ZeroBytes opère en toute impunité. Leur tactique ? La même que les Nord-Coréens du groupe Lazarus : frapper fort, frapper les comptes bancaires, disparaître dans les limbes du dark web. Leurs armes ? Des logiciels comme Ryuk qui prennent en otage les données avant d'exiger rançon.

L'enquête piétine, les risques persistent

Plainte déposée, CNIL alertée. Mais l'espoir de retrouver les pirates ? Infime. La plupart des serveurs utilisés sont logés dans des pays réfractaires à toute coopération. Russie. Nigeria. Corée du Nord.

Et les victimes dans tout ça ? Elles découvriront peut-être trop tard que leur IBAN circule sur des forums spécialisés. Que faire quand on sait que 94% des cyberattaques en France finissent classées sans suite ?

Trois questions restent en suspens :

1. Pourquoi la Mutualité française investit-elle moins de 0,5% de son chiffre d'affaires en sécurité ?
2. Quand les autorités comprendront-elles que les données de santé valent de l'or ?
3. À quand un véritable bouclier numérique pour les mutuelles ?

En attendant, la prochaine cible est peut-être en train de se faire hacker à l'instant où vous lisez ces lignes.

Sources : France Info, Sud Ouest Faits Divers, Le Parisien