ACTIL (tiers payant) : incident reconnu auprès des professionnels, 152 187 lignes d'appareillage auditif revendiquées pour environ 61 000 personnes

Le lundi 26 octobre 2026, un acteur se faisant appeler Syrv4x a mis gratuitement en ligne, sur un forum cybercriminel, un fichier d’environ 237 Mo présenté comme la base d’ACTIL, plateforme de tiers payant et réseau de soins basée à Lyon, administrée par des complémentaires santé dont Apicil et Alptis (selon Fuites Infos, seule source pour Lyon et Apicil ; Alptis présente ACTIL comme « une plateforme nationale de tiers payant » sur son site). Ce service permet aux patients appareillés de ne pas avancer la part remboursée du prix d’une audioprothèse. Le fichier a été analysé par Cyberattaque.org et par Fuites Infos, qui l’ont rapporté le jour même. ACTIL n’avait encore rien confirmé le 26 octobre au soir ; selon Selectra, qui cite News Assurances Pro (article que nous n’avons pas pu consulter), la plateforme a reconnu une cyberattaque le 27 octobre et interrompu ses services, et Fuites Infos relaie le 29 octobre une communication d’ACTIL aux professionnels de santé selon laquelle « un incident de sécurité avait entraîné un accès non autorisé » (formulation reprise par Fuites Infos), sans date d’envoi. Nous n’avons pas pu lire cette communication elle-même, ni trouver de communiqué public d’ACTIL, de l’ARS ou de la CNIL.

Le vendeur annonce 152 187 lignes, nombre supérieur à celui des personnes concernées. Cyberattaque.org compte 152 186 enregistrements dont 13 105 doublons exacts, soit 139 081 enregistrements distincts, qui se rapportent à 60 790 numéros de Sécurité sociale différents et à 82 437 demandes de prise en charge ; Fuites Infos arrive à environ 61 000 personnes, pour des demandes créées entre mars 2013 et le 24 octobre 2026. Ces décomptes ont été établis par deux analyses indépendantes du même fichier, dont l’authenticité n’a pas été confirmée par ACTIL, qui n’a donné aucun chiffre de personnes. Selon Fuites Infos (seule source pour ces deux chiffres), près de neuf personnes sur dix ont 60 ans ou plus et 220 sont mineures, ce qui correspond à une clientèle de seniors appareillés. Le fait que 28 libellés de complémentaires santé apparaissent dans le fichier (selon Cyberattaque.org) tient à la fonction de plateforme d’ACTIL et n’indique pas que leurs propres systèmes ont été touchés.

D’après ces analyses, chaque ligne associe l’identité du bénéficiaire (nom, prénom, date de naissance) à son numéro de Sécurité sociale, à sa complémentaire et à son numéro d’adhérent, puis aux détails de l’appareillage : type d’appareil, marque, modèle, oreille concernée, code de remboursement, prix, remboursement de l’Assurance maladie, participation de la complémentaire et reste à charge. Un indicateur de cécité figure aussi dans le fichier, activé pour 428 numéros de Sécurité sociale distincts selon Cyberattaque.org. Les identifiants d’environ 6 700 audioprothésistes et de plus de 17 000 prescripteurs y apparaissent, parfois avec le nom commercial et l’adresse du professionnel. Fuites Infos ne relève ni adresse électronique, ni téléphone, ni coordonnées bancaires. Ces données de santé associées au numéro de Sécurité sociale justifient une gravité « critique », et le risque principal est un démarchage téléphonique très crédible, qui cite un vrai appareil, un vrai audioprothésiste ou une vraie complémentaire avant de réclamer un code reçu par SMS, un paiement ou un IBAN, ainsi qu’une réutilisation du numéro de Sécurité sociale pour des usurpations d’identité. Selectra écrit qu’aucun appel frauduleux exploitant ces données n’a été rapporté à ce jour.

Selon la communication relayée par Fuites Infos, ACTIL a fermé temporairement son site, suspendu les espaces réservés aux professionnels, fait appel à des experts en cybersécurité et informé la CNIL. Pour les professionnels, ACTIL limite les données concernées au numéro FINESS et à l’adresse postale, ce qui diffère du contenu du fichier revendiqué, qui comporte aussi les identifiants des prescripteurs. Elle annonce une campagne d’information des bénéficiaires, sans préciser ni les données ni le nombre de personnes concernées. Le statut est donc retenu comme « confirmée » : ACTIL reconnaît un accès non autorisé, mais ne confirme pas à notre connaissance l’authenticité du fichier diffusé ni son périmètre, et la revendication de Syrv4x est la seule source du volume de lignes.

Les personnes appareillées avec un tiers payant qui reçoivent un appel ou un SMS à propos du renouvellement d’un appareil auditif ou d’un remboursement peuvent raccrocher, ne communiquer aucun code reçu par SMS ni aucune coordonnée bancaire, et rappeler leur audioprothésiste au numéro figurant sur leur devis ou leur facture. Un remplacement d’appareil ne s’organise pas par téléphone : il suppose une prescription, un devis normalisé et une période d’essai, et la prise en charge d’un nouvel appareil n’intervient en principe qu’après quatre ans (Selectra). Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée ; les remboursements se vérifient en se connectant directement à son compte ameli et à l’espace de sa complémentaire, sans passer par un lien reçu par message.