ADMR (aide à domicile) : 4,5 millions de lignes revendiquées avec des dossiers de bénéficiaires, NIR et notes sur la santé, sans confirmation du réseau

Le 23 octobre 2026, une annonce de vente a été publiée sur un forum cybercriminel pour des données présentées comme issues du réseau ADMR, qui fédère des associations locales d’aide et de soins à domicile, et deux observatoires l’ont relevée le lendemain : Fuites Infos et Cyberattaque.org. La revendication porte sur 4 541 053 lignes pour 1,81 Go, attribuées au pseudonyme novembegolf par Cyberattaque.org seul, Fuites Infos ne nommant pas l’auteur. Les deux observatoires ont examiné un échantillon gratuit joint à l’annonce, d’environ 12 800 fiches selon Fuites Infos et d’exactement 12 818 enregistrements selon Cyberattaque.org, structurés comme des fiches individuelles de bénéficiaires.

Le volume repose sur la seule revendication, que Fuites Infos présente comme non vérifiée, et ces deux articles s’appuient sur le même échantillon : ils ne constituent donc pas deux vérifications indépendantes. Un nombre de lignes ne correspond pas à un nombre de personnes, puisqu’un fichier de ce type peut conserver des clients actuels ou anciens, leurs proches et plusieurs membres d’un même foyer. Cyberattaque.org rappelle que l’ADMR indique accompagner environ 720 000 clients au sein de près de 2 700 associations locales, ce qui montre qu’une extraction historique pourrait produire plusieurs millions de lignes sans représenter autant de personnes distinctes. L’échantillon ne permet pas d’extrapoler un nombre de bénéficiaires, et aucun chiffre de victimes n’est retenu ici. La structure exacte concernée (outil national, fédérations départementales ou éditeur de logiciel) n’est établie par aucune source consultée, et Cyberattaque.org précise que rien ne permet d’affirmer que le logiciel Philia, décrit par la documentation de l’ADMR comme l’une des portes d’entrée de son système d’information, est celui qui a été compromis.

Selon Cyberattaque.org, 9 811 des 12 818 fiches comportent une date de naissance et 4 967 un numéro présenté comme un numéro de sécurité sociale (4 835 valeurs distinctes), ce qui correspond aux « près de quatre fiches sur dix » relevées par Fuites Infos. Les fiches contiennent aussi la situation familiale et la composition du foyer ; 463 d’entre elles concerneraient des personnes de moins de 18 ans. Le champ le plus sensible est celui des commentaires internes (844 fiches), qui décrivent selon Cyberattaque.org la mobilité réduite, les troubles de la mémoire, les traitements, le recours à un lit médicalisé, les horaires d’intervention et les proches à contacter, et dont certains indiquent comment accéder au domicile (clé, coffre, badge, code de porte). Pour des personnes âgées, dépendantes ou handicapées, l’association de l’identité, du NIR, de l’état de santé et des habitudes de passage rend crédibles des escroqueries ciblées, par exemple de faux agents à domicile, de faux professionnels de santé ou de fausses caisses de retraite, et les indications d’accès au logement ajoutent un risque de démarchage ou de vol qui dépasse le cadre numérique. Ces risques restent potentiels, aucune exploitation des données n’ayant été rapportée par les sources consultées.

Selon Fuites Infos, l’ADMR « n’a pas confirmé publiquement » la fuite, et Cyberattaque.org n’a identifié aucune communication publique de l’Union nationale confirmant l’extraction ; aucune réaction d’une fédération départementale, aucune information sur une saisine de la CNIL ou sur une plainte n’a été trouvée non plus. La fiche reste donc au statut « alléguée », et la gravité est retenue à « critique » en raison de la présence, dans un échantillon dont l’authenticité n’est pas contestée par l’organisation, du NIR et de données de santé de personnes vulnérables, ce qui serait à réviser si l’ADMR contestait l’authenticité des fichiers. Le réseau a par ailleurs fait l’objet d’une autre revendication le 1er octobre 2026 (voir la fiche de Fuites Infos), portant sur environ 9 700 comptes d’intranet de salariés, de responsables et de bénévoles, sans mot de passe ni données de personnes aidées selon cette fiche : ce périmètre diffère nettement, et aucune source consultée n’établit de lien entre les deux incidents. Cyberattaque.org mentionne aussi une revendication du 11 avril 2026, attribuée à un acteur nommé Cybernox, portant sur 5 280 salariés et bénévoles, que nous n’avons pas pu recouper.

Pour les bénéficiaires de l’ADMR et leurs proches, il est préférable de ne communiquer ni numéro de sécurité sociale, ni information de santé, ni code d’accès au domicile à une personne qui appelle ou se présente de sa propre initiative, et de vérifier toute demande en rappelant soi-même l’association locale au numéro habituel. Un nouveau code de porte ou un changement d’emplacement de clé peut être envisagé si ces informations figuraient dans le dossier. Les courriels frauduleux se signalent à Signal Spam, les SMS et appels au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.