Almerys piraté une deuxième fois : pourquoi la cybersécurité santé est en échec structurel

Almerys a été piraté une nouvelle fois. Et cette fois, c’est la deuxième fois en 27 mois. Ce n’est plus un incident isolé. C’est un échec structurel de la cybersécurité dans le secteur de la santé française.

Le spécialiste du tiers payant a confirmé le 25 mai 2026 avoir été victime d’une cyberattaque. Le site de délivrance des prises en charge (PEC) a été compromis. Les pirates ont accédé aux données de l’ensemble des clients d’Almerys. Soit des dizaines de millions de Français.

Chronologie : deux piratages, aucune leçon

Regardons le calendrier de près. En février 2024, Almerys et sa filiale Viamedis subissent un vol massif de données. 33 millions de Français sont concernés. C’est l’une des plus grandes fuites de données de santé en France. L’entreprise promet de renforcer sa sécurité.

27 mois plus tard, en mai 2026, les pirates sont revenus. Cette fois, 44 millions de lignes de données ont été récupérées, dont 15 millions de numéros de sécurité sociale. En d’autres termes, les mesures de sécurité prises après 2024 n’ont pas suffi. Ou alors, elles n’ont pas été mises en œuvre correctement.

Le mode d’accès initial serait une usurpation d’identité d’un compte gestionnaire sur la plateforme dédiée aux professionnels de santé. Autrement dit, les pirates se sont fait passer pour quelqu’un d’autre. Un problème d’authentification qui aurait pu être évité avec de la double authentification forte (MFA).

Les vulnérabilités structurelles du secteur

Le cas Almerys n’est pas isolé. Il révèle des problèmes beaucoup plus profonds dans la cybersécurité de la santé en France. D’abord, les entreprises de tiers payant sont des cibles de choix. Elles centralisent les données de santé de dizaines de millions de personnes. Et elles sont souvent connectées à des milliers de professionnels et établissements de santé.

Ensuite, l’authentification reste le maillon faible. Le fait que les pirates aient pu usurper un compte gestionnaire suggère que l’authentification forte n’était pas en place ou insuffisante. C’est exactement le type de faille que la CNIL cherche à corriger en 2026, avec une priorité affichée sur le MFA.

Par ailleurs, le secteur de la santé français sous-investit massivement en cybersécurité. Les budgets sont serrés, la marge est faible, et la transformation numérique a été faite dans la précipitation. Résultat : des infrastructures fragiles, des procédures de sécurité obsolètes, et des employés insuffisamment formés aux risques cyber.

Le hic, c’est que chaque nouvelle attaque crée un cercle vicieux. Les données volées se retrouvent sur le dark web. Les criminels les utilisent pour des attaques encore plus ciblées. Et les entreprises concernées doivent gérer la crise tout en maintenant leurs services essentiels.

Quelles données exactement ?

Almerys a publié une liste précise des données compromises. Les données personnelles exposées comprennent le nom, le prénom, la date de naissance, le numéro de sécurité sociale, le nom de l’assureur santé, le numéro de contrat et les dates de début et fin de couverture.

En revanche, les informations bancaires, les données de santé, les remboursements de soins, les coordonnées postales, les numéros de téléphone, les adresses email et les mots de passe ne sont pas concernés par cette attaque. C’est une bonne nouvelle, mais ça ne supprime pas tous les risques.

Attention, car avec votre numéro de sécurité sociale et vos données d’état civil, un criminel peut tenter des démarches frauduleuses. Par exemple, ouvrir un contrat à votre nom ou modifier des informations sur votre compte Ameli. Le risque d’usurpation d’identité est réel.

La réponse d’Almerys : insuffisante ?

L’entreprise a pris des mesures immédiates. Le site PEC a été fermé. Les parties prenantes ont été informées. Une plainte a été déposée auprès du procureur de Paris et l’incident a été notifié à la CNIL et à l’ANSSI. Le parquet de Paris a ouvert une enquête et saisi la brigade spécialisée de la préfecture de police.

Mais la question qui fâche, c’est : pourquoi cette attaque a-t-elle pu se produire une deuxième fois ? Almerys affirme que ses autres services restent opérationnels et que les activités de gestion, de mise à jour des bases et de traitement des flux fonctionnent normalement. Toutefois, ça ne répond pas à la question fondamentale de la sécurité.

En pratique, une entreprise qui subit deux piratages majeurs en 27 mois devrait faire l’objet d’un audit de sécurité indépendant et contraignant. Pas juste d’un énième communiqué de presse promettant des “mesures renforcées”.

Quiz : comprenez-vous les risques de cette cyberattaque ?

Questions fréquentes

En bref

Deux piratages en 27 mois. 44 millions de lignes de données volées. 15 millions de numéros de Sécurité sociale compromis. Almerys illustre parfaitement les failles structurelles de la cybersécurité dans le secteur de la santé française. Le problème n'est pas technique. Il est organisationnel et budgétaire. Et tant que les entreprises de santé ne traiteront pas la sécurité comme une priorité absolue, ça recommencera.