Nouvelle fuite de données en France : 130 000 IBAN compromis après le hack d’une mutuelle
La Mutuelle Générale de Prévoyance (MGP) a récemment subi une fuite de données significative, compromettant les informations personnelles de nombreux adhérents. En exploitant une faille de sécurité chez un prestataire, un hacker a réussi à exfiltrer des données sensibles, notamment des IBAN. Bien que les données de santé et les copies de pièces d’identité n’aient pas été touchées, la combinaison d’IBAN, d’identité et de coordonnées pose un risque élevé de prélèvements bancaires frauduleux.
Début août, un individu a revendiqué cette cyberattaque sur un forum de hackers. Basée à Cran-Gevrier, près d’Annecy, la MGP collabore avec environ soixante mutuelles santé partenaires et compte près de 480 000 adhérents, avec des cotisations s’élevant à 67 millions d’euros. Le hacker a déclaré avoir accédé à deux tables de données, comprenant 198 127 noms complets, 133 018 IBAN, 45 771 numéros de téléphone et 24 489 adresses e-mail, ainsi que d’autres informations personnelles.
Quelques jours après la revendication, la MGP a confirmé avoir été victime d’une cyberattaque, précisant que l’intrusion avait ciblé l’un de ses prestataires techniques. Ce type d’attaque est souvent le résultat d’une défaillance de sécurité chez un tiers. L’accès non autorisé a permis au pirate d’obtenir des données d’identification et des numéros IBAN. La mutuelle a assuré qu’aucun numéro de carte bancaire ou document d’identité n’avait été compromis, ni aucune donnée de santé ou d’informations relatives aux prestations.
La fuite d’IBAN est particulièrement préoccupante, car ce numéro permet des prélèvements directs sur les comptes bancaires. Comme l’a démontré le piratage de Free, il est possible de réaliser des prélèvements non autorisés avec un IBAN seul, surtout si le pirate détient des informations complémentaires sur la cible, telles que son identité, son adresse et son numéro de téléphone.
Informée de l’incident le 10 août, la MGP a rapidement lancé une enquête pour déterminer les circonstances de l’attaque et les données concernées. Les personnes touchées reçoivent des informations individuelles depuis le 17 août, leur indiquant les données compromises et les précautions à prendre. La mutuelle a également déposé plainte et alerté la Commission nationale de l’informatique et des libertés (Cnil) ainsi que l’Autorité de contrôle prudentiel et de résolution (ACPR).
Source : 01net
