La Mutuelle Générale de Prévoyance (MGP) vient de rejoindre la longue liste des organisations françaises confrontées à une fuite de données. Cette fois, l’affaire concerne potentiellement des centaines de milliers d’informations personnelles. Dont plus de 130 000 IBAN.
Un pirate a revendiqué l’attaque sur un forum spécialisé dans les activités cybercriminelles début août. Quelques jours après, la Mutuelle Générale de Prévoyance a confirmé avoir été « victime d’une cyberattaque ».
Mais contrairement à ce que l’on pourrait imaginer, le hacker n’aurait pas directement forcé les défenses informatiques de la mutuelle. L’attaque aurait en réalité ciblé l’un de ses prestataires techniques.
En exploitant une faille de sécurité chez ce partenaire, l’attaquant a obtenu un accès non autorisé à certaines données personnelles des adhérents.
Fuite de données chez MGP : les informations compromises
Selon le cybercriminel, son butin comprenait deux tables de données. Celles-ci contiendraient notamment 198 127 noms complets uniques, 133 018 IBAN, 45 771 numéros de téléphone et 24 489 adresses e-mail.
Les données publiées en guise de « preuve » comprenaient également des adresses postales, des dates de naissance et certaines références internes.
La mutuelle confirme que des informations d’identification ainsi que des données bancaires, notamment des IBAN, ont été compromises.
Heureuse que les informations les plus sensibles ne semblent pas concernées. Aucun numéro de carte bancaire ni aucune copie de pièce d’identité exposés. Même constat pour les données de santé et les informations liées aux prestations, aux remboursements et aux garanties
Malgré cela, avec les IBAN, les identités et les coordonnées réunis au même endroit, le risque de prélèvements frauduleux n’est pas à prendre à la légère.
Quels sont les risques ?
L’IBAN sert au quotidien pour recevoir un salaire ou autoriser certains prélèvements. Il permet donc à des organismes légitimes de faire circuler de l’argent depuis ou vers un compte bancaire.
Le problème, c’est qu’un IBAN peut aussi être utilisé dans des tentatives de prélèvements frauduleux. Comme lors du piratage de Free, des escrocs peuvent tenter de mettre en place de faux prélèvements SEPA à partir de données bancaires volées.
Un IBAN isolé ne transforme toutefois pas automatiquement un pirate en caissier de banque. Pour rendre une fraude plus crédible, d’autres informations peuvent être utiles : nom complet, adresse, téléphone ou adresse e-mail.
Or, plusieurs de ces données font justement partie des informations potentiellement compromises dans cette affaire.
Quoi qu’il en soit, la MCP a lancé une enquête pour déterminer précisément ce qui s’est passé. Quelles personnes sont concernées ? Et quelles données ont réellement été exposées.
La mutuelle a également déposé plainte. La Cnil et l’Autorité de contrôle prudentiel et de résolution ont été informées. Une enquête judiciaire est désormais en cours.
Les investigations devront donc permettre de savoir si les données publiées par le pirate correspondent à l’intégralité du butin ou seulement à une partie.
En attendant, les personnes concernées ont tout intérêt à surveiller attentivement leurs comptes bancaires et leurs relevés. Car depuis le 17 août, les adhérents concernés reçoivent une notification individuelle détaillant les informations compromises et les précautions à prendre.
- Partager l'article :
