Malakoff Humanis via son prestataire IGA : 16 556 documents de santé publiés le 17 octobre, le groupe parle d'une attaque chez IGA

Le samedi 17 octobre 2026, le pseudonyme ChimeraZ a publié une base qu’il présente comme partielle de 16 556 documents attribués à Malakoff Humanis, l’un des principaux groupes français de protection sociale (santé, prévoyance, épargne et retraite complémentaire). La revendication a été relevée le jour même par Cyberattaque.org, qui s’est procuré l’archive et l’a analysée, et elle figure dans le récapitulatif d’une vague de revendications compilé ce jour-là par le fondateur de FrenchBreaches, que rapporte Solutions Numériques. Le groupe, qui a réagi publiquement à la revendication, a indiqué que ces données renvoient à une cyberattaque visant IGA, l’un de ses prestataires de gestion, dont il avait eu connaissance le 11 août 2026, et qu’il avait alors notifié la CNIL et les autorités compétentes et informé les assurés. Cette déclaration, reprise sous forme de citation par Cyberattaque.org et sous forme de paraphrase par Solutions Numériques, est la seule expression de la position du groupe que nous ayons trouvée, aucun communiqué sur son site n’ayant pu être consulté.

L’attribution s’appuie sur trois éléments, l’annonce du pirate, la déclaration du groupe et le contenu de l’archive, qui pointe vers IGA Gestion, société qui gère des contrats d’assurance santé et de prévoyance pour le compte de tiers, avec de nombreux courriels adressés à des boîtes « Contact IGA GESTION » et « Agregateur IGAGESTION » et des domaines igagestion.fr et mon-espaceassure.com très présents, tandis que plusieurs courriers sont édités sous la marque Malakoff Humanis. Le groupe reconnaît ainsi une attaque chez son prestataire et lui rattache les données publiées, tout en poursuivant ses vérifications sur leur authenticité, leur origine et leur périmètre, ce qui justifie le statut « confirmée » pour l’incident chez IGA et laisse ouverte la question de l’étendue réelle de la publication. Cyberattaque.org relève par ailleurs que des milliers de courriers et de courriels sont datés de 2026, les derniers des 7 et 8 août, quelques jours avant le 11 août, une proximité cohérente avec la chronologie du groupe sans suffire à dater l’extraction.

Les 16 556 entrées sont des documents ou des échanges (identifiant et texte intégral extrait de chaque pièce) : le même assuré peut apparaître dans plusieurs d’entre eux, et le groupe parle pour sa part d’environ 2 000 assurés gérés par IGA, sans que le lien entre ce chiffre et l’archive soit établi, le pirate présentant lui-même la base comme partielle. Aucun nombre de personnes n’est donc retenu. Selon l’analyse de Cyberattaque.org, seule source à avoir examiné le contenu, l’archive comprend des demandes et accords de prise en charge hospitalière, des relevés de prestations, des remboursements, des dossiers d’optique, de soins dentaires et de pharmacie, des consultations, des analyses et des transports sanitaires, avec des noms, adresses, dates de naissance, numéros d’adhérent et numéros de Sécurité sociale, ainsi que, dans plus de 800 entrées, des mentions d’IBAN ou de relevés bancaires, dont certains appartiennent à des établissements destinataires de paiements. La gravité est retenue à « critique » en raison de la présence de données de santé et de numéros de Sécurité sociale, qui ne se remplacent pas comme un mot de passe.

Ces informations permettent à un fraudeur de citer le véritable assureur d’une personne, un remboursement récent, son établissement de santé, son numéro d’adhérent ou une demande de prise en charge réelle, et donc de composer des messages d’hameçonnage ciblé, de faux remboursements, des demandes de RIB ou des tentatives d’usurpation d’identité très crédibles. Malakoff Humanis invite ses assurés à la vigilance face à tout courriel, SMS ou appel inhabituel se présentant comme émanant du groupe, rappelle qu’un conseiller ne demande jamais de mot de passe ni de code de sécurité par ces canaux et annonce que les personnes concernées seront directement informées. Le groupe avait déjà été cité en 2024 à propos d’une attaque contre Viamedis, plateforme de tiers payant qu’il utilise, annoncée début février 2024 (LeMondeInformatique), sans lien établi avec l’incident actuel ; il l’est aussi dans la fiche du réseau de soins optique Itelis (/fuites-de-donnees/fuite-itelis-2025/), dont il est partenaire.

Les assurés de Malakoff Humanis peuvent traiter tout message évoquant un remboursement, une prise en charge ou une demande de RIB avec prudence, ne cliquer sur aucun lien reçu et passer par leur espace personnel ou le numéro figurant sur leur carte pour vérifier. Les courriels suspects se signalent à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas d’usurpation d’identité ou de fraude bancaire.