Début du mois, un pirate a revendiqué une cyberattaque contre la Mutuelle Générale de Prévoyance (MGP) sur un forum pirate. Basée à Cran-Gevrier, près d’Annecy, la mutuelle française s’appuie sur un réseau d’une soixantaine de mutuelles santé partenaires et compte environ 480 000 adhérents, pour 67 millions d’euros de cotisations collectées.
Le hacker indiquait avoir mis la main sur deux tables de données, incluant 198 127 noms complets uniques, 133 018 IBAN, 45 771 numéros de téléphone et 24 489 adresses e-mail. Les échantillons diffusés par le truand montraient aussi des adresses postales, des dates de naissance et des références internes.
À lire aussi : Après le piratage des impôts, la France riposte avec un grand « plan d’action » pour protéger vos données
Une cyberattaque chez un prestataire
Quelques jours après cette revendication sur un forum pirate, la Mutuelle générale de prévoyance a confirmé avoir été « victime d’une cyberattaque ». En fait, l’attaque a visé l’un des prestataires techniques de la mutuelle. Comme souvent, l’intrusion découle d’une défaillance de sécurité chez un tiers.
En exploitant cette faille béante, l’attaquant a pu obtenir un « accès non autorisé » à des données personnelles d’adhérents, notamment des données d’identification et des numéros IBAN. « Certaines données administratives et bancaires » appartenant à certains de ses clients ont bien été compromises, explique la mutuelle dans son communiqué.
Par contre, « aucun numéro de carte bancaire ni aucune copie de document d’identité n’ont été compromis ». De même, « aucune donnée de santé et aucune information relative aux prestations, aux remboursements ou aux garanties n’est concernée ».
A lire aussi : Piratage des impôts – le mail officiel destiné aux victimes cache une incroyable incohérence en matière de cybersécurité
Les dangers d’un vol d’IBAN
Créé dans les années 1990, l’IBAN a été conçu pour faciliter et sécuriser les transactions financières entre les pays de l’Union européenne. Grâce à ce numéro sensible, vos créanciers peuvent prélever de l’argent directement sur votre compte, que ce soit pour régler un forfait mobile, une location de véhicule en leasing ou encore les mensualités d’un crédit. À l’inverse, il sert aussi à votre employeur pour vous verser votre salaire chaque mois
Comme l’a démontré 01net à l’époque du piratage de Free, il est bien possible de réaliser des prélèvements non autorisés sur un compte bancaire grâce au seul IBAN. Un IBAN isolé permet en effet déjà d’émettre de faux ordres de prélèvement SEPA. Toutefois, pour rendre l’escroquerie totalement efficace, le pirate doit disposer d’informations complémentaires sur sa cible, notamment son identité complète, son adresse et son numéro de téléphone. C’est potentiellement le genre d’informations qui ont été compromises.
Informée de l’attaque le 10 août, la mutuelle a promptement ouvert une enquête. Les investigations sont toujours en cours et doivent déterminer « précisément les circonstances, le périmètre et les données concernées ». La société ajoute que « les personnes concernées reçoivent, depuis le 17 août, une information individuelle précisant les données qui les concernent et les précautions à prendre ».
Par ailleurs, la mutuelle a déposé plainte auprès des autorités compétentes. Une enquête judiciaire a été ouverte, tandis que la Commission nationale de l’informatique et des libertés (Cnil) et l’Autorité de contrôle prudentiel et de résolution (ACPR) ont été alertées.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
