15,4 millions de numéros
et aucune sanction à ce jour.
Trois éléments de la version de mai 2026 sont corrigés ici. L’affirmation selon laquelle la CNIL aurait déjà sanctionné l’opérateur est inexacte : aucune sanction n’a été prononcée à ce jour. Le volume précis n’était pas donné. Et le mode opératoire, identique à celui de 2024, n’était pas mentionné alors qu’il est au cœur du dossier.
Ce qui s’est passé, et quand
La chronologie mérite d’être posée précisément, car elle explique pourquoi beaucoup d’assurés ont appris l’incident par un courriel sans explication avant toute communication officielle.
Almerys est un opérateur de tiers payant installé à Clermont-Ferrand. Son rôle est de s’intercaler entre l’assuré, le professionnel de santé et la complémentaire au moment du remboursement. L’entreprise revendique travailler avec plus de 300 000 professionnels de santé et plusieurs centaines d’organismes.
Le 21 mai 2026, une base de données présentée comme issue de ses systèmes commence à circuler sur des forums criminels. Le lendemain, 22 mai, la plateforme spécialisée French Breaches donne l’alerte publiquement, et l’intrusion est détectée du côté de l’opérateur. Le même jour, la mutuelle Alan prévient ses adhérents. Durant le week-end du 23 mai, des milliers d’assurés reçoivent un message les invitant à une vigilance accrue, sans que l’origine soit toujours explicitée. L’opérateur confirme l’attaque le lundi 25 mai dans un communiqué transmis à l’AFP.
Le vecteur d’entrée est documenté et central : un compte professionnel de santé compromis a permis un accès non autorisé au site de délivrance des prises en charge, utilisé par certains praticiens et établissements. Il ne s’agit donc pas d’une faille logicielle mais d’une usurpation d’identifiants, exactement le schéma décrit dans notre article sur l’outil Storm et le vol de sessions authentifiées. L’opérateur a notifié la CNIL dans le délai de soixante-douze heures prévu par le règlement européen et déposé plainte auprès du parquet. Une remise en service progressive de la plateforme était annoncée pour la semaine du 1er juin.
Ce qui a fuité, et ce qui n’a pas fuité
Le périmètre exact conditionne l’évaluation du risque. Il est connu avec une précision inhabituelle dans ce type d’affaire.
- Le fichier revendiqué compte environ 44 millions de lignes, dont 15 452 549 numéros de sécurité sociale uniques. Le chiffre rond de quinze millions correspond à ces identifiants distincts, pas au nombre de lignes.
- Les données exposées comprennent les nom, prénom, date de naissance, numéro de sécurité sociale, nom de l’assureur santé, numéro de contrat, ainsi que les dates de début et de fin de couverture.
- Les enregistrements s’étendraient sur une période allant de 2010 à 2026, soit seize années d’historique.
- 674 organismes de santé sont potentiellement concernés, selon le décompte publié par la plateforme d’alerte.
- Selon l’opérateur, ni les données bancaires ni les données médicales ne figurent dans le périmètre compromis.
Cette dernière ligne appelle une réserve de méthode. Il s’agit d’une déclaration de l’entreprise concernée, formulée peu de jours après la découverte, et non d’une vérification indépendante publiée. Elle est cohérente avec ce qui avait été constaté lors de l’incident précédent, où l’autorité de contrôle avait relevé que les informations bancaires, les données médicales, les remboursements, les coordonnées postales, les numéros de téléphone et les adresses électroniques n’étaient pas concernés. Le parallèle est rassurant sans être une garantie.
Le pirate à l’origine de la revendication est connu pour plusieurs affaires antérieures visant des enseignes françaises, ce qui a contribué à la crédibilité accordée d’emblée au fichier diffusé.
Pourquoi le numéro change tout
C’est le point décisif, et il était absent de la version initiale. Toutes les fuites de données ne se valent pas, et celle-ci appartient à la catégorie la plus durable.
Un mot de passe se réinitialise en quelques secondes. Une carte bancaire se fait opposer et se remplace en quelques jours. Une adresse électronique peut être abandonnée. Le numéro d’inscription au répertoire, communément appelé numéro de sécurité sociale, ne se change pas. Il est attribué à la naissance et accompagne la personne toute sa vie.
La conséquence est directe : une donnée permanente est une donnée durablement exploitable. Un fichier diffusé aujourd’hui gardera sa valeur dans cinq ou dix ans, et il continuera de circuler, d’être revendu et recompilé avec d’autres bases. Le préjudice ne s’éteint pas avec le temps, contrairement à celui d’une fuite d’identifiants.
Ce caractère explique pourquoi le droit français encadre strictement ce numéro. Son utilisation est limitée par décret à des finalités précises, et l’autorité de contrôle surveille particulièrement les traitements qui y recourent. Sa valeur pour un attaquant tient à sa fonction de clé administrative : il permet d’ouvrir des droits, de monter un dossier au nom d’une autre personne, ou de rendre crédible une démarche frauduleuse auprès d’un organisme.
Une précision utile pour les familles : les enregistrements de ce type incluent fréquemment les ayants droit rattachés à un même contrat. Plusieurs membres d’un même foyer peuvent donc figurer dans le fichier, y compris des mineurs, dont la donnée restera valide pendant des décennies.
La récidive et le silence de l’enquête
Voici la correction la plus importante de cette mise à jour. La version initiale indiquait que la CNIL avait déjà sanctionné cet opérateur par le passé. C’est inexact.
Fin janvier 2024, une première compromission majeure avait touché deux opérateurs de tiers payant, Viamedis et Almerys, exposant les données de plus de 33 millions de personnes. Le mode opératoire était déjà l’usurpation d’identifiants de professionnels de santé pour accéder au portail dédié. La CNIL avait ouvert une mission d’investigation en février 2024, afin de déterminer si les mesures de sécurité mises en œuvre avant et après l’incident étaient appropriées.
Plus de deux ans plus tard, aucune sanction publique n’a été prononcée à ce sujet, et les conclusions de cette enquête, annoncées pour le courant de l’année 2026, n’ont pas été publiées à la date de cette mise à jour. La nouvelle compromission de mai 2026 est donc intervenue alors que la procédure relative à la précédente était toujours pendante.
Cette chronologie pose une question institutionnelle qu’il serait artificiel d’éluder : le temps de l’enquête administrative ne coïncide pas avec celui de la circulation des données compromises. Les fichiers se revendent, se recompilent et s’exploitent pendant que la procédure suit son cours. Pour les personnes concernées par le premier incident, l’absence de décision rend par ailleurs toute demande d’indemnisation plus difficile à étayer.
Comment savoir si vous êtes concerné
La réponse honnête est qu’il n’existe pas d’outil public permettant de vérifier soi-même. La démarche passe par la complémentaire santé.
- Le règlement européen impose au responsable de traitement d’informer directement les personnes concernées lorsque le risque pour leurs droits et libertés est élevé, ce qui est le cas avec des numéros de sécurité sociale.
- Cette obligation d’information individuelle pèse sur chaque complémentaire santé, et non sur le prestataire technique. C’est donc votre mutuelle qui doit vous écrire.
- Vérifier ses courriels reçus depuis la fin mai 2026, y compris dans les dossiers indésirables, reste la première démarche.
- En l’absence de message, contacter sa complémentaire par son espace client sécurisé ou par téléphone permet d’obtenir une réponse écrite, utile si un litige survient plus tard.
- Ne jamais cliquer sur un lien reçu dans un message se réclamant de la mutuelle à ce sujet : les périodes qui suivent une fuite médiatisée sont propices aux messages frauduleux qui s’appuient précisément sur l’inquiétude créée.
Ce dernier point mérite d’être souligné. Un attaquant disposant de votre nom, de votre date de naissance, du nom de votre assureur et de votre numéro de contrat peut rédiger un message d’une crédibilité inhabituelle. La règle reste la même : ouvrir soi-même l’application ou le site de son organisme, en tapant l’adresse, plutôt que de suivre un lien. La sécurisation des accès eux-mêmes constitue l’autre volet, sujet traité dans notre article sur l’abandon de la double authentification par SMS au profit des clés d’accès.
Conserver les messages reçus, avec leurs dates, ainsi que les échanges avec la complémentaire, constitue le début d’un dossier. Ces éléments seront demandés si une demande de réparation est engagée par la suite.
Les risques réels
Il faut à la fois nommer les risques et éviter de les amplifier. Une fuite de cette nature ne signifie pas qu’un préjudice surviendra, mais elle en augmente durablement la probabilité.
Le risque principal est l’hameçonnage ciblé. Un message mentionnant votre assureur, votre numéro de contrat et vos dates de couverture n’a plus rien du courriel générique mal traduit. Il peut inviter à régulariser un dossier, à confirmer des coordonnées bancaires ou à télécharger une attestation. C’est le scénario le plus probable et le plus immédiat.
Le second risque est l’usurpation d’identité administrative : ouverture de droits, souscription de contrats, montage de dossiers au nom d’une autre personne. La combinaison état civil complet et numéro permanent constitue un socle suffisant pour franchir certains contrôles déclaratifs.
Le troisième est la fraude aux remboursements, exercée non pas contre l’assuré mais contre les organismes eux-mêmes, en utilisant des identités valides pour générer des prises en charge fictives. L’assuré peut en découvrir la trace dans ses relevés sans avoir subi de préjudice financier direct.
En revanche, cette fuite ne donne pas accès à vos comptes en ligne, à vos remboursements passés, ni à votre dossier médical. Elle ne permet pas non plus de prélever directement sur un compte bancaire. La distinction compte, car la crainte diffuse conduit souvent à des réactions inadaptées, quand la vigilance ciblée serait plus efficace. Le mécanisme est comparable à celui décrit dans notre article sur la fraude organisée aux cartes-cadeaux : la donnée volée sert de matière première à une exploitation ultérieure, souvent par d’autres acteurs.
Vos droits et vos recours
Le règlement européen ouvre plusieurs voies, souvent confondues entre elles. Chacune poursuit un objectif différent et n’aboutit pas au même résultat.
- Droit à l’information : le responsable de traitement doit vous prévenir directement en cas de risque élevé. Si ce n’est pas fait, c’est déjà un manquement.
- Plainte auprès de l’autorité de contrôle : elle peut conduire à une enquête et à une sanction de l’organisme, mais elle ne donne lieu à aucune indemnisation individuelle.
- Plainte pénale : elle vise les auteurs de l’intrusion, et non l’organisme victime. Elle est utile si vous constatez une usurpation à votre nom.
- Action en réparation devant le tribunal judiciaire : c’est la seule voie permettant d’obtenir une indemnisation pour un dommage matériel ou moral. Elle suppose de démontrer un préjudice propre et documenté.
- Action de groupe : elle permet de mutualiser des demandes individuelles, ce qui allège la charge probatoire pour chaque participant.
Sur le versant des sanctions, l’autorité peut prononcer une amende pouvant atteindre vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, en cas de manquement à l’obligation de sécurité. Une réserve s’impose toutefois pour les assurés : l’autorité ne verse rien aux personnes concernées. Confondre plainte administrative et demande d’indemnisation conduit à attendre pendant des mois une réponse qui ne viendra jamais sous cette forme. Cette exigence de traçabilité vaut également pour les outils professionnels et la circulation des données qu’ils génèrent, sujet abordé dans notre article sur les outils de surveillance au travail.
Pour une entreprise qui confie des données personnelles à un prestataire, cette affaire rappelle une obligation contractuelle de base : vérifier les mesures de sécurité du sous-traitant et prévoir les modalités de notification en cas d’incident.
Ce qu’on nous demande le plus souvent.
Combien de personnes sont concernées ?
Le fichier revendiqué contient environ 44 millions de lignes, dont 15 452 549 numéros de sécurité sociale uniques, portant sur des enregistrements allant de 2010 à 2026. 674 organismes de santé sont potentiellement concernés.
Comment savoir si je suis concerné ?
Il n’existe pas d’outil public de vérification. L’information individuelle incombe à votre complémentaire santé, pas au prestataire technique. Vérifiez vos courriels depuis fin mai 2026, puis contactez votre organisme via son espace client sécurisé.
Mes données bancaires sont-elles touchées ?
Selon l’opérateur, ni les données bancaires ni les données médicales ne figurent dans le périmètre compromis. Il s’agit d’une déclaration de l’entreprise, cohérente avec les constats faits lors de l’incident précédent, mais aucune vérification indépendante n’a été publiée.
La CNIL a-t-elle sanctionné cet opérateur ?
Non. Une mission d’investigation a été ouverte en février 2024 après la première compromission, mais aucune sanction publique n’a été prononcée et les conclusions n’ont pas été publiées à ce jour. La notification du nouvel incident a bien été effectuée.
Puis-je obtenir une indemnisation ?
Pas par la voie de la plainte auprès de l’autorité de contrôle, qui ne verse rien aux personnes concernées. Seule une action devant le tribunal judiciaire, individuelle ou de groupe, ouvre droit à réparation, à condition de démontrer un préjudice propre et documenté.
Pourquoi cette fuite est-elle plus durable ?
Parce que le numéro de sécurité sociale ne se change pas. Attribué à la naissance, il accompagne la personne toute sa vie. Un fichier diffusé aujourd’hui conservera donc sa valeur pendant des années, contrairement à une fuite de mots de passe.
- Communiqué d’Almerys transmis à l’Agence France-Presse le 25 mai 2026, précisant la nature de l’accès non autorisé et les catégories de données potentiellement exposées.
- Alerte et analyse publiées par la plateforme French Breaches à partir du 22 mai 2026, incluant le décompte des lignes et des identifiants uniques.
- Communications individuelles adressées aux adhérents par plusieurs complémentaires santé à partir du 22 mai 2026.
- CNIL, communiqué de février 2024 relatif à l’ouverture d’une enquête après la violation de données de deux opérateurs de tiers payant, et précisions sur les catégories de données non concernées.
- CNIL, statistiques de notifications de violations de données pour 2025 et le premier trimestre 2026, et priorités de contrôle annoncées pour 2026.
- Analyses juridiques publiées entre mai et août 2026 sur les recours ouverts aux personnes concernées et les sanctions encourues.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article distingue les déclarations des organismes concernés des constats indépendants, et ne constitue pas un conseil juridique. Pour aller plus loin : les avis clients ou nous écrire.
Savez-vous ce que vos prestataires font de vos données clients ?
Contrat de sous-traitance, mesures de sécurité vérifiées, modalités de notification en cas d’incident. Trois points à contrôler avant qu’un problème ne survienne.