Aréas Assurances : numéros de Sécurité sociale de 21 700 assurés revendiqués par un pirate

Le 7 novembre 2026, un pirate de pseudonyme « webshell » (selon Cyberattaque.org) a annoncé sur un forum cybercriminel la vente, à un acheteur unique, d’un fichier qu’il attribue à Aréas Assurances, groupe mutualiste français indépendant dont les origines remontent à 1825. L’annonce, relevée par Fuites Infos et par Cyberattaque.org, ne donne ni prix public ni explication sur la manière dont les données auraient été obtenues. Le fichier est présenté comme prêt à l’emploi, aux formats CSV et JSONL.

Selon Cyberattaque.org, le fichier compte 26 347 enregistrements bruts correspondant à 21 732 assurés distincts après déduplication des numéros de Sécurité sociale, dont 8 767 avec des droits de couverture santé actifs et 13 412 fiches indiquant l’état d’un compte client en ligne ; Fuites Infos retient environ 26 300 lignes et 21 700 assurés. Ces chiffres sont ceux du vendeur, et Cyberattaque.org indique qu’aucun accès à l’ensemble des fichiers n’a permis de confirmer les 21 732 personnes annoncées. Les enregistrements associent nom, prénom, date de naissance, numéro de Sécurité sociale complet, références de contrat et d’adhérent, codes de garanties et dates de droits. Fuites Infos ajoute que les membres d’une même famille seraient regroupés et que des mineurs seraient concernés, ce qui n’est pas vérifié.

Cyberattaque.org a examiné cinq lignes d’exemple : les cinq clés de contrôle des numéros de Sécurité sociale sont valides, le code organisme présent correspond à Aréas dans les référentiels utilisés par les professionnels de santé, et quatre enregistrements sur cinq concordent avec le mois et l’année de naissance encodés dans le numéro, le cinquième présentant une discordance. Ces indices de cohérence ne prouvent pas l’authenticité de l’ensemble de la base. Selon Cyberattaque.org, ces exemples ne démontrent pas l’exposition de diagnostics médicaux et aucun mot de passe n’y figure. La gravité est retenue à « critique » en raison de la présence du numéro de Sécurité sociale, donnée permanente, associée à des références de contrat de santé.

Au 8 novembre 2026, Aréas n’avait publié aucune communication sur cette revendication et n’avait confirmé aucun accès frauduleux à ses systèmes, selon Fuites Infos et Cyberattaque.org ; les sources consultées ne mentionnent aucune notification à la CNIL. La fiche reste donc au statut « alléguée » et s’appuie sur deux sources qui rapportent la même annonce du vendeur, sans source primaire de l’assureur.

Les assurés d’Aréas peuvent se méfier des faux courriels, SMS et appels se réclamant de leur mutuelle, de l’Assurance maladie ou d’un organisme de remboursement, d’autant que les références de contrat permettent de les rendre crédibles : en cas de doute, il vaut mieux se connecter soi-même à l’espace adhérent ou à ameli plutôt que suivre un lien reçu. Les messages frauduleux se signalent à Signal Spam, les SMS et appels au 33700, et cybermalveillance.gouv.fr propose une assistance gratuite. Le numéro de Sécurité sociale ne pouvant pas être changé, il convient de surveiller son compte ameli et ses remboursements, et de rester attentif aux demandes de changement de coordonnées bancaires ou de contrat que l’on n’a pas initiées.