Fuite Almerys : 15 millions de numéros de Sécu volés, votre dossier médical à l’air libre ?

Nouvelle onde de choc pour la santé numérique en France. Ce lundi 25 mai 2026, la mutuelle Alan a confirmé qu’Almerys, le géant du tiers payant, a été la cible d’une cyberattaque d’envergure. Cette fuite de données massive expose plus de 44 millions de lignes d’informations, mettant en péril les numéros de Sécurité sociale et l’état civil de 15,4 millions de Français. Alors qu’il s’agit de la deuxième brèche majeure pour l’opérateur en à peine deux ans, comment savoir si votre complémentaire santé est touchée, quels sont les risques réels d’usurpation d’identité et comment sécuriser efficacement vos accès administratifs ?

Ce qui s’est passé : le maillon faible de la santé numérique française craque à nouveau

Le 22 mai 2026, Alan, la mutuelle santé licorne fondée par Jean-Charles Samuelian et Charles Gorintin, envoyait un email inquiétant à tous ses adhérents. Son prestataire de tiers payant, Almerys, venait d’être victime d’une intrusion frauduleuse sur sa plateforme de prise en charge. Les conséquences sont massives : plus de 15 millions de numéros de Sécurité sociale, associés à des données d’état civil et des informations de contrats de mutuelle, ont été dérobés et sont actuellement proposés à la vente sur des forums cybercriminels.

Le plus frappant dans cette affaire n’est pas seulement l’ampleur des données volées. C’est que Almerys subit son deuxième piratage majeur en deux ans. En janvier 2024, une attaque conjointe contre Almerys et son concurrent Viamedis avait déjà exposé les données de plus de 33 millions de Français. Deux ans plus tard, le même acteur, traitant les mêmes données sensibles, se fait de nouveau pirater. La question qui fâche : qu’a-t-on vraiment fait entre temps pour protéger ces informations ?

La chronologie de l’attaque

Qui est Almerys et pourquoi cette fuite est-elle si critique ?

Almerys n’est pas une startup inconnue. Créée en 2000 et basée à Clermont-Ferrand avec des bureaux à Paris, cette entreprise est l’un des principaux opérateurs de tiers payant en France. Elle traite quotidiennement les flux de données entre les professionnels de santé (médecins, opticiens, audioprothésistes, hôpitaux), les mutuelles complémentaires et les patients. Son rôle : gérer les demandes de prise en charge et les remboursements pour des millions d’assurés.

Le problème, c’est que cette position centrale fait d’Almerys une cible de choix. L’entreprise sert 20 millions d’assurés via un réseau de 84 organismes de santé. C’est un concentré de données sensibles : numéros de Sécurité sociale, états civils, informations de contrats, liens familiaux entre ayants droit. Pour un cybercriminel, c’est une mine d’or.

Quelles données ont été volées exactement ?

Selon les informations confirmées par Alan et les échantillons analysés par les chercheurs en cybersécurité, les données dérobées comprennent :

Un détail inquiétant relevé par le hacker lui-même sur le forum : plusieurs membres d’une même famille sont souvent rattachés à un seul numéro de Sécurité sociale. Cela signifie qu’en possédant un seul numéro, les cybercriminels peuvent potentiellement reconstituer la structure familiale complète, avec les noms, dates de naissance et couvertures de tous les ayants droit. C’est un multiplicateur de risque considérable.

Les données s’étendraient sur une période allant de 2010 à 2026, ce qui donne aux attaquants un historique de 16 ans sur les bénéficiaires concernés.

Quelles mutuelles sont concernées ?

Almerys étant un prestataire transversal, la fuite impacte potentiellement les adhérents de plusieurs dizaines de mutuelles et assurances complémentaires. Parmi les organismes confirmés ou fortement susceptibles d’être touchés :

• Alan (a confirmé l’incident et notifié ses membres)
• MGEN
• Harmonie Mutuelle
• AG2R
• Humanis
• Generali
• Viasanté
• MMJ

Si vous êtes adhérent de l’une de ces mutuelles, vous êtes potentiellement concerné. Alan a confirmé qu’elle informerait individuellement chaque membre concerné par email. Les autres mutuelles n’ont pas encore toutes communiqué publiquement sur le sujet.

Quels sont les risques concrets pour vous ?

Même si les données bancaires et les informations de santé ne sont pas compromises, le vol de 15 millions de numéros de Sécurité sociale associés à des états civils complets représente un risque majeur pour plusieurs raisons.

Phishing ultra-ciblé (spear phishing)

Armés de votre nom, prénom, date de naissance et numéro de Sécurité sociale, les cybercriminels peuvent créer des emails, des SMS et même des appels téléphoniques extrêmement crédibles. Imaginez recevoir un message prétendument envoyé par votre mutuelle ou l’Assurance Maladie, mentionnant votre vrai nom, votre numéro de Sécurité sociale et des détails plausibles sur votre couverture. La plupart des gens mordraient à l’hameçon.

Alan a d’ailleurs explicitement alerté ses membres : « Faites preuve d’une vigilance accrue dans les prochaines semaines si vous recevez des messages (SMS, vocaux ou e-mails) suspects semblant provenir d’Alan, ou d’autres organismes, notamment s’ils vous demandent des informations ou vous invitent à vous connecter à un site web ».

Usurpation d’identité et fraude administrative

Le numéro de Sécurité sociale est la clé de voûte de l’identité administrative en France. Associé à un état civil complet, il permet de :

• Tenter des démarches administratives frauduleuses
• Créer de faux profils auprès d’organismes sociaux
• Monter des arnaques à la fraude aux prestations sociales
• Effectuer de l’ingénierie sociale auprès de professionnels de santé

Le risque de croisement de données

Le danger le plus insidieux est le croisement avec d’autres fuites récentes. La France a connu une série de piratages massifs ces derniers mois : ANTS (19 millions de dossiers), DGFIP (1,2 million d’IBAN), Urssaf (12 millions de salariés), Pierre & Vacances (389 000 clients), et maintenant Almerys (15 millions). En assemblant les pièces de ces différents puzzles, les cybercriminels peuvent reconstituer des profils personnels quasi-complets.

Que faire si vous êtes concerné ?

Si vous êtes adhérent de l’une des mutuelles utilisant Almerys, voici les réflexes à adopter immédiatement :

1. Attendez l’email de votre mutuelle. Alan et les autres organismes concernés s’engagent à informer individuellement chaque personne touchée. Ne paniquez pas si vous ne recevez rien immédiatement.
2. Méfiez-vous de tout message non sollicité. SMS, emails, appels téléphoniques prétendument envoyés par votre mutuelle ou l’Assurance Maladie : ne cliquez sur aucun lien, ne communiquez aucune information complémentaire.
3. Vérifiez vous-même depuis les sites officiels. Connectez-vous directement à ameli.fr ou à l’application de votre mutuelle en tapant l’adresse vous-même.
4. Signalez toute tentative de fraude. Utilisez la plateforme officielle cybermalveillance.gouv.fr pour signaler les tentatives d’escroquerie.
5. Surveillez vos comptes. Même si les données bancaires ne sont pas compromises, restez attentif à toute activité suspecte sur vos comptes et vos droits sociaux.
6. Signalez sur Perceval en cas de fraude. Si vous êtes victime de fraude financière liée à cette fuite, utilisez la plateforme Perceval.

Le problème systémique : la vulnérabilité des prestataires de santé

L’affaire Almerys illustre un problème structurel de la cybersécurité française : la chaîne de données de santé est aussi forte que son maillon le plus faible. Des entreprises comme Almerys et Viamedis traitent des données personnelles pour des dizaines de millions de Français. Elles sont des intermédiaires critiques entre l’Assurance Maladie, les mutuelles et les professionnels de santé. Et elles sont la cible privilégiée des cybercriminels.

La présidente de la CNIL, Marie-Laure Denis, l’a souligné dans son rapport annuel 2025 :

Les violations sont de plus en plus massives et impliquent souvent des prestataires, plus vulnérables car souvent de taille plus modeste et dotés de systèmes de sécurité parfois moins performants.

Almerys en est la preuve vivante : deux piratages majeurs en deux ans, des dizaines de millions de données personnelles exposées à chaque fois.

La question n’est plus de savoir si un prestataire de santé se fera pirater, mais quand et combien de données seront volées cette fois-ci. Les mutuelles qui externalisent la gestion de leurs flux de tiers payant doivent impérativement imposer des standards de sécurité drastiques à leurs prestataires. Sinon, c’est leur réputation et la sécurité de leurs adhérents qui en pâtissent.

Contexte : le tsunami de cyberattaques en France en 2026

Le piratage d’Almerys s’inscrit dans une vague de cyberattaques sans précédent en France. La CNIL a enregistré 6 167 violations de données en 2025 (record historique, +9,5 % par rapport à 2024), et la tendance s’accélère en 2026 avec déjà 2 730 violations au premier trimestre, contre 2 500 sur la même période l’an dernier.

En cumul, ce sont des dizaines de millions de Français qui ont vu leurs données personnelles compromises au cours des derniers mois. Le numéro de Sécurité sociale d’Almerys s’ajoute aux IBAN de la DGFIP, aux fiches de paie de l’Urssaf, aux passeports de l’ANTS. Le puzzle identitaire se reconstitue morceau par morceau entre les mains des cybercriminels.

FAQ : Vos questions sur le piratage d’Almerys

Quiz