Assurance maladie : un million de comptes Ameli ont-ils été piratés récemment ?

Un site spécialisé en cybersécurité a rapporté qu'un pirate avait mis en vente un million d'identifiants de connexion au site Ameli. L'Assurance maladie assure qu'aucun vol de données n'a été décelé sur ses systèmes.

Photo prise le 23 octobre 2012 du logo de l'Assurance Maladie

Crédit : AFP / FRED DUFOUR

Je m'abonne à la newsletter « Infos »

Ces derniers jours, plusieurs articles de presse ont fait état de la mise en vente d'un lot de données issues d'un million de comptes d'utilisateurs de la plateforme Ameli de l'Assurance maladie. Faut-il craindre une nouvelle fuite de données de santé pour l'organisme, après le piratage de sa plateforme AmeliPro révélé mi-mars ? Les éléments connus à ce stade ne permettent pas de l'affirmer.

Tout est parti du site Zataz, fondé par le spécialiste en cybersécurité Damien Bancal, qui indiquait le 23 juin avoir repéré "une vente de données laissant présager des cyberattaques de masse à destination des assurés français" cet été. L'article, qui fait aussi la promotion d'un service de veille payant visant à alerter ses membres de fuites de données les concernant, évoque la commercialisation par "un pirate informatique très connu dans son milieu de la malveillance numérique" d'une base de données qui contiendrait 1 million d'identifiants de connexion appartenant à des utilisateurs du site Ameli.fr. Le fichier se monnaierait 6.000 dollars américains.

Le journaliste se montre en revanche dubitatif quant à l'authenticité des données contenues dans le fichier et leur origine incertaine. "Le voyou n’explique pas comment il a pu collecter cette masse de données qui contiendrait l’ensemble des identifiants de connexion, dont le mot de passe, de ce million d’utilisateurs", est-il écrit. Il penche plutôt pour "une collecte orchestrée via des phishing, des hameçonnages à partir de campagnes électroniques usurpant l'assurance maladie française". Il se demande aussi si ce nombre d'un million n'est pas exagéré au regard du nombre total d'assurés affiliés à l'organisme sur tout le territoire.

Aucune anomalie détectée par l'Assurance maladie

Cette information a été reprise par plusieurs articles de presse les jours suivants, certains allant même jusqu'à parler d'un piratage de l'Assurance maladie. Interrogé par RTL, l'organisme assure que cette fuite de données "ne correspond à aucune attaque détectée au sein de ses systèmes d'information". "Aucun vol de données permettant aux assurés d’accéder à leur compte Ameli n’a été décelé par nos systèmes qui supervisent les connexions à nos téléservices pour repérer les comportements anormaux", écrit l'organisme, qui dit donc "ne pas être en mesure de confirmer l'exactitude des informations rapportées qui ne correspondent pas à un constat effectué dans (ses) outils, ni aux remontées de signalement de la part des assurés".

L'Assurance maladie dit cependant avoir observé une multiplication des tentatives de phishing dans la période récente. Ces campagnes peuvent prendre la forme d'un SMS invitant l'utilisateur à mettre à jour sa carte vitale sur une plateforme reproduisant parfaitement l'interface du site Ameli ou d'un message évoquant un prétendu remboursement de soin de la CPAM. L'organisme dit avoir mis en oeuvre plusieurs mesures pour protéger les assurés en conséquence, comme des actions de sensibilisation aux messages de phishing les plus courants ou l'envoi d'un mail automatique à chaque connexion à un compte Ameli pour permettre aux assurés de modifier rapidement leur mot de passe en cas de suspicion de piratage.

À ce stade, il n'est donc pas possible d'affirmer que l'Assurance maladie a été victime d'un piratage, ni, à défaut de le consulter, que le fichier mis en vente par le pirate contient des données authentiques. Comme le rappelle le site de La Tribune, le seul moyen de vérifier sa véracité serait de l'acheter au pirate, ce qui constituerait une pratique illégale. Il convient cependant de demeurer vigilant face aux messages que vous recevez en lien avec votre compte Ameli, aux activités de votre compte et de vérifier que ce dernier est suffisamment sécurisé.

La rédaction vous recommande