secu.png
Les entreprises Viamedis, et Almerys (même secteur d'activité) qui s’occupent du tiers payant pour un total de 33 millions d’assurés en France, viennent d’être piratées .
En fait c'est au 29 janvier que le vol a eu lieu mais cela ci a été annoncé que le 2 février
Le piratage de ces entreprises, promet de faire mal puisque cela concerne au total 112 mutuelles de santé
Filiale du groupe Malakoff Humanis, Viamedis est en lien avec 84 complémentaires santé vient donc de laisser fuiter des données ô combien personnelles à cause de l’hameçonnage du compte « d’un professionnel de santé »
Comment se peut-il qu’on accède à potentiellement 20 millions d’enregistrements depuis le compte d’un seul professionnel de santé ?
À quoi sert la carte vitale si la base de données est accessible sans vérifier présence de la puce ?
Ce n’est donc en aucun cas relié à la carte vitale mais à un prestataire client de mutuelles complémentaires dont le nom n'a pas été évoqué (IMHO)
Viamédis n'est pas que sous-traitant de Humanis Malakoff, c'est une de leurs filiales
Pour Alméry, les attaquants ont également profité de comptes compromis appartenant à des professionnels de la santé pour accéder au portail de la société et voler des informations sur les clients.
La société expliquait que les attaquants avaient accédé à "état civil, date de naissance et numéro de sécurité sociale, nom de leur assureur santé et garanties ouvertes au tiers payant" ainsi qu'une cinquantaine de factures de bénéficiaires.
En réponse à cette intrusion, Almérys a interrompu le service de sa plateforme et son site web était resté inaccessible, mais le dirigeant de la société précisait auprès de l'AFP que les services continuaient de fonctionner et que les bénéficiaires pouvaient continuer à utiliser leur carte vitale et leur carte de mutuelle.
Les données volées, communes aux 2 sociétés :
Code : Tout sélectionner
- Etat civil (Nom, Prénom, date de naissance, rang de naissance)
- numéro de sécurité sociale,
- nom de l'assureur santé,
- numéro de contrat de l'assureur et une référence interne."
- Les garanties ouvertes au tiers payant
Ce sont les informations nécessaires pour facturer les actes auprès des caisses (caisses obligatoires type CPAM ou caisses complémentaires alias mutuelles).
Certaines de ces informations sont nécessaires pour distinguer un assuré de ses ayants-droits.
Comme pour Viamedis, Almerys assure également que « les informations bancaires, les données médicales, les détails des remboursements de santé, les coordonnées postales, les numéros de téléphone et les adresses email ne sont en aucun cas concernés par cette violation ».
Donc, ce qui n'a pas été volé : (basé sur le déclaratif des sociétés)
Code : Tout sélectionner
- Les informations bancaires
- Les données médicales
- Les remboursements santé
- L’adresse
- Le numéro de téléphone
- L’adresse mail
Viamedis a coupé certains accès, mais assure que cette déconnexion n'empêche pas les assurés de bénéficier du tiers payant. Cela devrait par contre avoir des conséquences pour certains professionnels de santé comme les opticiens et audioprothésistes.
33 millions d’assurés sont donc potentiellement concernés par ce piratage.
Le problème, c’est que Viamedis elle-même ne sait pas combien de victimes ont été réellement touchées.
“Nous sommes toujours en cours d’investigation“, a simplement indiqué le directeur général de la firme Christophe Candé au micro de l’AFP. Malgré une déconnexion rapide de sa plateforme de gestion après la découverte de l’intrusion, l’entreprise reste dans le flou.
LA LISTE
C'est la jungle...
Il faut se rappeler que le nom de l’opérateur de tiers payant qui travaille avec votre mutuelle est inscrit sur votre attestation papier
En plus il y a des subtilités :
On m'a demandé de vérifier "Harmonie Mutuelle" ...
Sauf qu'en fait à la base c'est le Groupe VYV qui est derrière, et qui est issu de l’union de : Harmonie Mutuelle, MGEN, MMG, MNT, SMACL Assurances, Groupe Arcade-VYV, VYV3.
Le Groupe VYV a réuni ses activités de gestion du tiers payant optique, audio et dentaire au sein d’une structure unique : Oxantis SA.
MAIS, alors que RIEN ne figure sur leur liste, on a bien VIAMEDIS qui est derrière
C'est pour cela que de 84 prestataires je suis passé à 114 (et j'espère n'avoir rien oublié car c'est un travail de fourmi)
ALMERYS Liste des mutuelles
https://www.mutuellefr.info/liste-des-m ... 32-p1.html
VIAMEDIS Liste des Mutuelles
https://www.mutuellefr.info/liste-des-m ... 31-p1.html
J'ai concaténé les 2 sociétés et on arrive à un total de 112 mutuelles
Code : Tout sélectionner
ACTUDATA (- VIAMEDIS -)
ADREA (Aésio Mutuelle) (- ALMERYS -)
AG2R (- ALMERYS -)
AGLAE (- VIAMEDIS -)
AGRICA (- ALMERYS -) et (- VIAMEDIS -)
ALAN (- ALMERYS -)
ALMUTRA (- VIAMEDIS -)
AMPLI Mutuelle (- ALMERYS -)
APIVIA (Groupe Macif) (- ALMERYS -)
AON (- ALMERYS -)
APRIL SANTE PREVOYANCE (- VIAMEDIS -)
APREVA (- VIAMEDIS -)
ASSU 2000 (- VIAMEDIS -)
AVENIR MUTUELLE (- VIAMEDIS -)
AVENIR SANTE (- VIAMEDIS -)
AVENIR SANTE MUTUELLE (- VIAMEDIS -)
BNP CARDIF (- ALMERYS -)
CAISSE COMPLEMENTAIRE DE SANTE ET PREVOYANCE (- VIAMEDIS -)
CAISSE REUNIONNAISE DE PREVOYANCE (- VIAMEDIS -)
CENTRE DE GESTION SANTE (- VIAMEDIS -)
CEGEMA (- ALMERYS -)
CETIM-NOVEOCARE (- VIAMEDIS -)
CREDIT AGRICOLE ASSURANCES (- VIAMEDIS -)
ACHEEL (- VIAMEDIS -)
CIM (- ALMERYS -)
CNM PREVOYANCE SANTE (- VIAMEDIS -)
COMPLEVIE (- ALMERYS -)
CPMS (- ALMERYS -)
CYBELE SOLIDARITE (- VIAMEDIS -)
ECA Assurances (- ALMERYS -)
ENERGIE MUTUELLE (- VIAMEDIS -)
FMP (- ALMERYS -)
GENERALI ASSURANCES (- ALMERYS -)
GESTASSUR INTERPREVOYANCE (- VIAMEDIS -)
GRAS SAVOYE (- ALMERYS -)
GROUPE PASTEUR MUTUALITE - AGMF (- VIAMEDIS -)
GSA (- ALMERYS -)
HENNER ET AMIS MALAKOFF MEDERIC (- VIAMEDIS -)
HARMONIE MUTUELLE (- VIAMEDIS -)
IDENTITES MUTUELLE (- VIAMEDIS -)
INIZYS (- ALMERYS -)
INTERIALE (- ALMERYS -)
IPECA (- VIAMEDIS -)
IPSEC (- VIAMEDIS -)
JAJI (- ALMERYS -)
JP COLONNA (- ALMERYS -)
KLESIA (- VIAMEDIS -)
LA MEDICALE DE FRANCE (- VIAMEDIS -)
LA MUTUELLE FAMILIALE (- VIAMEDIS -)
LA MUTUELLE GENERALE (- ALMERYS -) et (- VIAMEDIS -)
LA MUTUELLE DES ETUDIANTS (LMDE) (- ALMERYS -)
LMG (- ALMERYS -)
LUXIOR (- ALMERYS -) et (- VIAMEDIS -)
MACIF (- ALMERYS -)
MAGE (- ALMERYS -)
MALAKOFF HUMANIS (- VIAMEDIS -)
MANSUY ASSURANCES (- VIAMEDIS -)
MAXANCE (- VIAMEDIS -)
MBA Mutuelle (- ALMERYS -) et (- VIAMEDIS -)
MCA (- VIAMEDIS -)
MCF (- ALMERYS -)
MFIF (- VIAMEDIS -)
MGEFI (- ALMERYS -)
MGEN (- VIAMEDIS -)
MGC (- VIAMEDIS -)
MGP (- ALMERYS -)
MIE (- VIAMEDIS -)
MIEL MUTUELLE (- VIAMEDIS -)
MMH (- ALMERYS -)
MMJ (- ALMERYS -)
MOBILITE MUTUELLE (- VIAMEDIS -)
MOLITOR (- ALMERYS -)
MPCDC (- ALMERYS -)
MSH (expatriés) (- ALMERYS -)
MUTUA GESTION (- VIAMEDIS -)
MUTUALIA (- VIAMEDIS -)
MUTUELLE BLEUE (- VIAMEDIS -)
MUTUELLE CATALANE (- VIAMEDIS -)
MUTUELLE COMPLEMENTAIRE DES AGENTS PUBLICS (- VIAMEDIS -)
MUTUELLE DU CHAMPAGNE (- VIAMEDIS -)
MUTUELLE ENTRAIN (- ALMERYS -)
MUTUELLE GENERALE DE PREVOYANCE SOCIALE (MGPS) (- VIAMEDIS -)
MUTUELLE GENERALE DES CHEMINOTS (MGC) (- VIAMEDIS -)
MUTAERO (- VIAMEDIS -)
NEOLIANE (- VIAMEDIS -)
NEOSANTE (- VIAMEDIS -)
OCSO (- VIAMEDIS -)
ORYS SANTE (- VIAMEDIS -)
PACIFICA (- VIAMEDIS -)
PMIF (Prévoyance Mutualiste d'Ile de France) (- VIAMEDIS -)
PREVOIR (- VIAMEDIS -)
RADIANCE MUTUELLE (- VIAMEDIS -)
REUNICA (- ALMERYS -)
ROEDERER (- VIAMEDIS -)
SIACI St Honoré (- ALMERYS -)
SIMAX (- VIAMEDIS -)
SMATIS (- ALMERYS -)
SMI (- ALMERYS -) et (- VIAMEDIS -)
SO LYON (- VIAMEDIS -)
SOGECAP (- ALMERYS -)
SOLIDARITE MUTUALISTE (- ALMERYS -)
SOLLY AZAR (- ALMERYS -)
THELEM ASSURANCES (- VIAMEDIS -)
UCR (- VIAMEDIS -)
UNI SANTE PREVOYANCE (- VIAMEDIS -)
UNIASSUR (- VIAMEDIS -)
UNPMF (- ALMERYS -)
VERSPIEREN (- ALMERYS -) et (- VIAMEDIS -)
VIASANTE MUTUELLE (- ALMERYS -) et (- VIAMEDIS -)
WATSON WILLIS TOWER FRANCE (- VIAMEDIS -)
WELFAIRE (- VIAMEDIS -)
YVELIN (- VIAMEDIS -)
Des campagnes d'hameçonnage afin justement de soutirer les informations bancaires via de faux e-mails se faisant passer pour les mutuelles et dotés de données personnelles crédibles, rendant la fraude plus difficile à détecter
Comme précisé, du phishing, simple ou sophistiqué, surtout si votre identité est "intéressante", que vous vous affichez sur les réseaux sociaux avec des signes "de richesse" (même si relatif)
Les informations dérobées peuvent être recoupées avec d’autres qui l’ont été lors de précédentes fuites. Ce qui permet aux pirates de mener des attaques ciblées encore plus précises.
- Restez donc attentif à l’expéditeur des messages, même s’il a l’apparence d’un expéditeur officiel ;
- Se méfier des pièces jointes (les mails envoyés par l’Assurance maladie ne comportent jamais de pièce jointe) ;
- Ne jamais répondre à une demande d’informations confidentielles, notamment bancaires ou liées aux mots de passe (l’Assurance maladie ne demande jamais le numéro fiscal ou les identifiants de connexions des assurés) ;
- Ne pas cliquer automatiquement sur les liens contenus dans l’e-mail, même s’il semble être envoyé par l’Assurance maladie, il est préférable de se rendre dans la messagerie de son compte Ameli ;
- Être attentif au contenu et à la rédaction du message reçu.
Et pour les appels téléphoniques ou SMS provenant de numéros inconnus : ne pas répondre aux éventuelles demandes de communication d’identifiants et de données personnelles et/ou bancaires.
Exemple de scénarios (fournis clé en main par Cachem.fr et que je copie colle par flemme de tapoter la meme chose :-)
"Au téléphone : un appel d’un robot qui va composer les numéros des assurés sociaux à partir d’un croisement avec une autre base de données déjà disponible en ligne pour récupérer le numéro de téléphone à partir du nom. Puis, un message automatique demandant de rester en attente pour une communication importante de votre mutuelle ou de la sécurité sociale. Au bout du fil, si la personne décroche ou si elle pianote un chiffre à l’invite de la voix enregistrée, un opérateur pourra prendre le relais. Celui-ci disposera d’éléments forts comme le nom de la mutuelle employée, d’un numéro de sécurité sociale et même du détail de votre contrat avec le prestataire. De quoi pousser la personne appelée à communiquer un N° de CB au téléphone, par exemple.
Par email : un message semi générique du même type avec un recoupement d’emails issus d’une autre base de données et votre état civil pour générer un message avec le logo de votre prestataire en en-tête, un objet précisant le nom de votre assureur et dans le corps du texte vos noms et prénoms avec, en prime, votre numéro de sécurité sociale. Dans le corps du mail, un lien vers un site permettant de régler un « problème » poussera le destinataire à entrer d’autres données comme un N° de Carte Bleue complet par exemple.
C’est difficile de se dire qu’une personne au téléphone qui connait votre nom, votre prénom, votre mutuelle, votre numéro de sécu et même le contrat que vous avez souscrit puisse être un voleur en puissance qui opère depuis un centre d’appel pour vous soutirer votre retraite."
A noter que MEME si vous n'^étes plus chez MALAKOFF, certaines personnes indiquent
J'ai reçu un mail de Malakoff en tant qu'ancien client. Il expliquait assez bien le problème et signalait que je pouvait être impacté du fait de la conservation légale de mes données par Viamedis "l'organisme auquel nous sous-traitons la gestion du tiers payant de nos contrats santé"
C'est normal les données sont conservées 20 ans après le dernier passage du patient, ou 10 ans après son décès.
https://www.service-public.fr/particuli ... its/F12210
Votre numéro de sécurité sociale a fuité.(1)
Et maintenant ? Dans le cas de la fuite des données d’un organisme de santé, les informations contenues dans le numéro sont déjà indiquées sur le fichier.
En revanche, le numéro en lui-même a une importante valeur, puisqu’il sert d’identifiant pour de nombreux services publics, parmi lesquels la caisse d’allocations familiales (CAF), la caisse de retraite, Pôle emploi, ou encore le site de l’Assurance Maladie. Pour se connecter à ameli.fr, par exemple, il faut renseigner son numéro de sécurité sociale et un mot de passe.
Si un malfaiteur obtenait ces informations, il pourrait avec accès à l’historique des paiements de sa victime. Surtout, il pourrait se servir de son accès à Ameli.fr pour abuser du système FranceConnect. Cet outil permet de se connecter à un service public avec les identifiants d’un autre service public, parmi 6. Par exemple, vous pouvez vous connecter au site d’Ameli avec les identifiants (numéro fiscal et mot de passe) de votre compte des impôts, et inversement.
Par ce biais, un malfaiteur peut théoriquement avoir accès à tous les documents administratifs d’une personne.
Heureusement, ce genre de manipulation requiert un certain niveau d’expertise. Sans aller jusque-là, d’autres attaques, plus directes, sont à la portée de tous les malfaiteurs.(phishing) pour les obtenir, sans compter les 'traces"' que vous pouvez laisser sur Internet (réseaux sociaux, adresse etc)
En tous les cas en tant qu'utilisateur de mutuelle, cela met bien en avant que nos données circulent, sont stockées sans que l'on soit au courant de tout
CONSEILS (Pour les 2 cas)
- Changer les most de passe par mesure de sécurité.(même si indiqué comme "pas concerné")
- Utiliser un gestionnaire de mot de passe (ne serait ce que pour éviter de mettre le meme mot de passe ou dérivé, sans compter la longueur et complexité, ceci afin d'éviter de s'amuser à calculer, l'entropie des mots de passe qui permet d'évaluer dans quelle mesure un mot de passe est imprévisible, et donc impossible à deviner.
Un gestionnaire gratuit et qui ne passe pas par le Cloud
https://www.malekal.com/keepassxc-le-ge ... piratages/
Complément
viewtopic.php?t=47926&start=15
La CNIL précise
https://www.cnil.fr/fr/violation-de-don ... ppelle-aux
Comment savoir si cette violation de données vous concerne ?
Il appartient à chacune des complémentaires santé faisant appel aux prestataires Viamedis et Almerys d’informer individuellement et directement l’ensemble des personnes concernées comme le prévoit notamment le règlement général sur la protection des données (RGPD). La CNIL s’assurera que ce soit fait dans les plus brefs délais.
La CNIL n’est pas en mesure de vous indiquer si vous êtes concerné.
Si vous êtes une personne concernée, la CNIL vous conseille :
d’être prudent sur les sollicitations que vous pourrez recevoir, en particulier s’ils concernent des remboursements de frais de santé ;
de vérifier périodiquement les activités et mouvements sur vos différents comptes.
Bien que les données de contact ne soient pas concernées par la violation, il est possible que les données ayant fait l’objet de la violation soient couplées à d’autres informations provenant de fuites de données antérieures.
Concernant les données "non volées", la CNIL parle tout de même au conditionnel en indiquant que ces éléments “ne seraient pas concernés” par le piratage
A noter que certaines entreprises ont déjà reçu du phishing par.. SMS (le numéro de téléphone n'est pourtant pas déclaré "volé.. Donc il sort d'où ?
PORTER PLAINTE
Si vous souhaitez porter plainte, Cybermalveillance.gouv.fr met à disposition un formulaire que vous pouvez (et devez, l'écriture manuscrite est interdite) remplir directement, via l'adresse
https://www.cybermalveillance.gouv.fr/m ... uelles.pdf
2 cases sont pré cochées (normal)
2024-02-12_122009.png
USAGE
- Il faut remplir le formulaire entièrement
- Le Télécharger en sélectionnant l'option « Avec vos modifications », pour que le fichier contienne toutes les informations et que la plainte soit reçue et traitée en bonne et due forme par la Préfecture de police de Paris.
ENVOI
Deux possibilités s'offrent ensuite à vous pour la transmission de la lettre-plainte.
Vous pouvez l'envoyer en passant par le plateforme de l'État, France Transfert, en remplissant les champs « expéditeur » et « destinataire », en inscrivant comme destinataire l'adresse e-mail suivante :
Si vous préférez l'imprimer et l'envoyer par courrier postal, c'est possible, à l'adresse suivante (indiquée dans le formulaire) :
Direction de la Police judiciaire PP BL2C 2024/030, 36 rue du Bastion, 75017 Paris.
--------
Source :
https://www.numerama.com/cyberguerre/69 ... ciale.html
(1) Le numéro de sécurité sociale, une banque à information
Vous le savez peut-être, les 15 chiffres indiqués sur votre carte vitale ont tous une signification : aucun n’est généré aléatoirement, comme l’explique l’Assurance maladie. Plus précisément, les 13 premiers chiffres correspondent au numéro de sécurité sociale, aussi appelé numéro d’inscription au registre (NIR), et les 2 derniers ne servent qu’aux procédures de vérification. Chaque groupe de chiffres entre les espaces à un sens particulier.
Dans l’ordre, on retrouve :
Le chiffre 1 si vous êtes identifié comme homme, le chiffre 2 si vous êtes identifié comme femme.
Les 2 derniers chiffres de votre année de naissance.
Les 2 chiffres de votre mois de naissance.
Les 2 chiffres de votre département de naissance.
Les 3 chiffres du code géographique de votre commune de naissance.
Les 3 chiffres du numéro d’ordre de naissance. Ce numéro permet de distinguer les personnes qui seraient nées au même endroit à la même période. Il est inscrit sur le registre d’état civil de votre commune.
Et pour finir, les 2 chiffres de la « clé de contrôle ». C’est un nombre calculé à partir des 13 chiffres, qui permet de vérifier automatiquement que l’assuré a correctement indiqué les informations de son numéro de sécurité sociale.
Les premiers chiffres du numéro de sécurité sociale peuvent être devinés avec quelques recherches, mais obtenir l’ordre de naissance s’avère bien plus compliqué, ce qui garantit une certaine confidentialité. Inversement, obtenir le numéro de sécurité sociale de quelqu’un permet de déduire plusieurs informations personnelles.
Avec ces caractéristiques, le numéro de sécurité sociale est considéré à la fois comme une donnée à caractère hautement sensible au regard de la loi Informatique et Libertés de 1978, et comme un agrégat de données personnelles au regard du règlement général sur la protection des données — le fameux RGPD.
Ces deux qualifications font que sa demande et son traitement par des partis tiers doivent remplir de nombreuses exigences.
____________
Vous ne pouvez pas consulter les pièces jointes insérées à ce message.
