Le parquet de Paris a ouvert une enquête sur les cyberattaques de deux opérateurs de tiers payant, Viamedis et Almerys, qui pourraient constituer l’une des fuites de données les plus massives observées en France, a-t-il fait savoir vendredi 9 février.
Les investigations font suite aux plaintes des deux prestataires, a précisé le parquet, contacté par l’AFP. Plus de 33 millions de Français sont concernés par cette attaque, selon la Commission nationale de l’informatique et des libertés (CNIL).
« Les données concernées sont, pour les assurés et leur famille, l’état civil, la date de naissance et le numéro de Sécurité sociale, le nom de l’assureur santé ainsi que les garanties du contrat souscrit », a précisé mercredi dans un communiqué le gendarme de la vie privée en matière numérique, en ajoutant que les informations bancaires, médicales et qui concernent les remboursements de santé « ne seraient pas concernées ».
Aux Français touchés, il est conseillé d’« être prudent sur les sollicitations qu’[ils peuvent] recevoir, en particulier si elles concernent des remboursements de frais de santé », mais aussi « de vérifier périodiquement les activités et mouvements sur [leurs] différents comptes ». Il est en effet « possible que les données ayant fait l’objet de la violation soient couplées à d’autres informations provenant de fuites de données antérieures », a expliqué la CNIL.
L’attaque s’est faite par l’usurpation d’identifiants et mots de passe de professionnels de santé. Almerys et Viamedis n’ont publié aucune information permettant de comprendre si les attaques avaient simplement pour but de voler des données, ou si elles pouvaient viser d’autres buts comme implanter un rançongiciel.
L’alerte avait été donnée le 1er février. Viamedis, qui a déposé une plainte auprès du procureur de la République, avait fait savoir qu’il avait déconnecté sa plate-forme de gestion à la découverte de l’intrusion, ce qui n’empêchait pas les assurés sociaux de bénéficier du tiers payant. Son directeur général, Christophe Candé, avait expliqué qu’il ne s’agissait pas d’une attaque par rançongiciel mais d’une intrusion dans la plate-forme. « Le compte d’un professionnel de santé a été hameçonné », avait-il alors révélé.
Almerys a de son côté déclaré mercredi que son système d’information central n’avait pas été touché par la cyberattaque. Seul son « portail dédié aux professionnels de santé » a été atteint et fermé, a affirmé la société.