Incidents de sécurité chez deux gestionnaires de tiers payant

Notre prestataire Almerys a pu déterminer avec précision le type de données concernées :

Les données suivantes ne sont pas concernées par l'incident et sont toujours en sécurité :

Les plateformes touchées ont été mises hors service afin de stopper l’atteinte aux données.

Un dépôt de plainte et une notification auprès des autorités compétentes (CNIL, ANSSI) ont immédiatement été effectués par Almerys et Viamedis. Nous avons également directement notifié la CNIL (autorité de régulation en matière de protection des données personnelles) et l’ACPR (autorité de régulation des assurances).

Les deux incidents seraient dûs à l’usurpation de l’identité et des accès de professionnels de santé aux plateformes concernées.

Nous ne partageons ni votre adresse e-mail ou physique, ni votre numéro de téléphone, ni votre IBAN aux prestataires de tiers-payant. Ces données ne peuvent donc pas être concernées par cette intrusion. De même, seuls les professionnels de santé disposent de compte sur ces plateformes. Aucun de vos mots de passe n’est donc directement concerné par cet incident.

La liste détaillée des personnes concernées nous a été communiquée par Almerys et Viamedis. Comme nous l’avions anticipé, l’ensemble des assurés, anciens et actuels (jusqu’à la date du 26 janvier 2024), couverts par des assureurs partenaires d’Almerys et Viamedis, ainsi que leurs ayants-droits sont concernés.

Nous  avons transmis une notification individuelle à l’ensemble de nos membres actifs par email les 8 et 9 février.

Le risque principal pour les personnes concernées est que leurs informations d’état-civil et de numéro de sécurité sociale soient utilisées pour usurper leur identité, par exemple pour ouvrir des dossiers auprès de banques, d’assureurs ou d’autres organismes.

Votre nom et numéro de sécurité sociale pourraient servir à accéder votre Compte personnel de formation ou votre compte Ameli, en particulier si vous utilisez comme mot de passe une information personnelle telle que votre prénom ou celui d’un proche. Si vous avez un doute, n’hésitez pas à contacter les services dédiés de Mon Compte Formation ou de la Sécu. Vous pouvez également signaler tout SMS ou appel téléphonique suspect à travers la plateforme 33700 mise en place par les principaux opérateurs téléphoniques français.

Les infromations dérobées peuvent être utilisées pour rendre plus crédibles des tentatives d’hameçonnage, c’est-à-dire des emails, des SMS ou des messages téléphoniques destinés à vous faire révéler d’autres informations comme des identifiants, des mots de passe ou des informations bancaires, le plus souvent en cliquant sur un lien. Des escrocs pourraient citer les informations dérobées (nom, date de naissance, numéro de sécu, nom de votre assureur santé) ou bien d’autres informations volées auprès d’autres services (comme indiqué dans le point précédent) pour rendre leur message plus convaincant.

Bien que les données de contact ne soient pas concernées par l’incident, il est possible que des attaquants recoupent les données dérobées avec des informations d’autres sources (telles que des fuites de données antérieures à celle-ci, même mineures, provenant d’autres organismes). Vous pouvez utiliser le site HaveIBeenPwned pour vérifier si certaines de vos informations personnelles ont déjà été concernées par de précédentes fuites de données.

Nous avons informé individuellement et directement nos membres par email.

Nos équipes se tiennent à votre disposition pour répondre à toute question concernant la protection des données personnelles à l’adresse [email protected].

Nous vous recommandons de faire preuve d’une vigilance accrue dans les prochaines semaines si vous recevez des messages (SMS, vocaux ou e-mails) suspects semblant provenir d’Alan, ou d’autres organismes, notamment s’ils vous demandent des informations ou vous invitent à vous connecter à un site web.

Les données dérobées ne comportent aucun mot de passe, il n'est donc pas nécessaire de les changer maintenant, spécifiquement à cause de cet incident.

Cependant, cet incident peut mettre en lumière la vulnérabilité de certains de vos mots de passe, notamment si:

Dans ces situations, n’hésitez pas à les changer de manière préventive. 

Nous vous recommandons de choisir des mots de passe différents pour chaque site ou application, et qu’ils soient longs (plus de 9 caractères), aléatoires (oubliez le nom de votre chat, ou votre date de naissance : préférez des références que vous êtes seuls à connaître), et avec un mélange de chiffres, lettres, majuscules et minuscules.

Incluez les plateformes officielles dans ce changement : Ameli, Impôts, votre banque, etc., ainsi que votre boîte email. 

Vous pouvez consulter les pages suivantes sur le site de la CNIL :