Consultant conformité & protection des données
Vous n’avez pas été piraté, vos salariés si — 1 244 445 assurés, 3 fuites en 15 jours, et les 5 questions à poser à votre mutuelle lundi
TL;DR
- • Le dimanche 23 août 2026, le groupe Solimut Mutuelle de France confirme sur son site et sur LinkedIn avoir subi une cyberattaque, identifiée dans la matinée et présentée comme isolée.
- • Volumes annoncés par l’attaquant : 1 244 445 assurés, 770 467 comptes bancaires, plus de 1,38 million de fiches individuelles et environ 1,08 million de déclarations sociales nominatives.
- • Nature des données : identité, coordonnées bancaires, numéros de sécurité sociale et éléments contractuels. Aucune de ces données n’est révocable.
- • C’est la troisième fuite dans l’assurance de personnes en quinze jours, après la Mutuelle Générale de Prévoyance puis Evy.
- • Le point que presque aucune PME n’a en tête : c’est vous, employeur, qui avez transmis ces données via la DSN. Vous n’êtes pas victime par ricochet, vous êtes dans la chaîne de responsabilité.
Le dimanche 23 août 2026, vers vingt heures, le groupe Solimut publie un communiqué sur son site et sur LinkedIn : une cyberattaque a été identifiée dans la matinée, les équipes ont isolé l’incident et mis un terme à l’accès détecté. La formulation est sobre, la réaction paraît rapide, et pour une direction de PME dont les salariés sont couverts par cette mutuelle, la nouvelle a toutes les apparences d’un problème qui ne la concerne pas.
C’est l’erreur d’analyse que je vois se répéter à chaque fuite chez un organisme de protection sociale. Les chiffres revendiqués par l’attaquant donnent la mesure : 1 244 445 assurés, 770 467 comptes bancaires, plus de 1,38 million de fiches individuelles, environ 1,08 million de déclarations sociales nominatives. Le contenu annoncé comprend l’identité, les coordonnées bancaires, les numéros de sécurité sociale et les données liées aux contrats.
Ces déclarations sociales nominatives ne sont pas tombées du ciel. Ce sont les employeurs qui les transmettent, chaque mois, à leurs organismes de complémentaire santé et de prévoyance. Si vos salariés figurent dans ce fichier, c’est parce que votre entreprise les y a mis — légalement, correctement, et en assumant le rôle de responsable de traitement pour cette transmission.
La phrase qui devrait vous inquiéter dans ce dossier
« Une copie complète de la base des adhérents. » Ce n’est pas un extrait, ce n’est pas un échantillon d’appât : c’est la revendication d’un export intégral. Dans une base de complémentaire santé, l’export intégral signifie que le numéro de sécurité sociale — donnée à vie, non révocable, qui encode date et lieu de naissance — se retrouve associé au RIB, à l’identité complète et à la composition du foyer. Ce jeu de données est le matériel de base d’une fraude à l’identité de qualité industrielle, et il ne se périme pas.
Les faits, et la séquence à trois temps
Ce qui est confirmé par la mutuelle. Une intrusion identifiée dans la matinée du 23 août 2026, isolée par les équipes, avec fin de l’accès détecté. Le communiqué reconnaît une violation de données à caractère personnel.
Ce qui est revendiqué par l’attaquant et reste à vérifier. Les volumes cités plus haut, ainsi que la nature exhaustive de l’export. Les chiffres bruts avancés par un attaquant ne sont pas une preuve, et la prudence impose de les traiter comme une borne haute jusqu’à confirmation. Cela dit, l’expérience des dossiers comparables des trois dernières années montre que la revendication initiale s’avère plus souvent sous-estimée que gonflée sur la partie volumétrique.
Ce qui donne au dossier sa dimension sectorielle. C’est la troisième révélation en quinze jours dans l’assurance de personnes en France, après la Mutuelle Générale de Prévoyance puis Evy. Trois organismes distincts, trois systèmes d’information différents, un même mois. On peut y voir une coïncidence. Il est plus prudent d’y voir une campagne qui a identifié un secteur dont les bases sont riches et dont la maturité de sécurité est hétérogène.
D’où viennent les données, et qui répond de quoi
Notre avis d’expert n° 1 — la fraude au changement de RIB devient un risque immédiat pour votre paie
C’est le vecteur d’attaque que je vois le plus systématiquement négligé après une fuite de ce type, et il touche directement votre service paie plutôt que la mutuelle.
Un attaquant en possession du nom complet, du numéro de sécurité sociale, de l’adresse et du RIB actuel d’un salarié dispose de tout ce qu’il faut pour écrire un courriel de changement de coordonnées bancaires parfaitement crédible. Il connaît les quatre derniers chiffres de l’ancien compte, il peut mentionner un élément de contrat que seul l’intéressé est censé connaître, et il écrit à un service paie qui traite ce type de demande plusieurs fois par mois sans y voir d’enjeu de sécurité.
La parade est simple, gratuite et doit être en place avant le prochain cycle de paie : toute demande de changement de RIB fait l’objet d’une confirmation par un canal différent de celui de la demande — un appel sur le numéro déjà présent au dossier, jamais sur celui indiqué dans le message. Et aucune modification n’est appliquée le jour même du virement. Deux règles, zéro euro, et l’essentiel du risque disparaît.
Notre avis d’expert n° 2 — « nous ne sommes pas responsables » est juridiquement exact et opérationnellement faux
La responsabilité de la violation appartient à l’organisme qui hébergeait les données. Sur ce point, une PME cliente n’a rien à se reprocher et rien à notifier au titre de la faille elle-même : c’est au responsable de traitement concerné de le faire.
Mais cette lecture s’arrête là où commencent vos obligations propres. Vous avez transmis ces données dans le cadre d’un traitement dont vous êtes responsable. Vous devez donc être en mesure de démontrer, si la question vous est posée un jour, que vous aviez encadré contractuellement ce transfert, que vous avez réagi dès que vous avez eu connaissance de l’incident, et que vous avez informé les personnes concernées — vos salariés — de ce qui les expose.
C’est exactement le raisonnement que nous détaillons dans notre guide sur l’encadrement des sous-traitants au titre de l’article 28, et la procédure de notification d’une fuite vaut la peine d’être relue même quand la fuite vient d’un tiers : elle définit le tempo et les preuves à conserver.
Vos salariés sont dans un fichier compromis. Et vos fournisseurs ?
Cartographie des tiers qui détiennent vos données et celles de vos salariés, revue des contrats article 28, durcissement des procédures paie et virement. Nos consultants interviennent sous 48 heures. Téléphone : +33 6 32 64 24 80.
Discutons-en →Les 5 questions à poser à votre mutuelle lundi matin
Ces cinq questions tiennent dans un courriel de dix lignes. Elles ont l’avantage d’être précises, ce qui rend une réponse évasive immédiatement visible — et une réponse évasive est en soi une information.
- Nos salariés figurent-ils dans le périmètre concerné, et sur quelle base l’affirmez-vous ? La deuxième moitié de la question est celle qui compte. Une réponse fondée sur une analyse de journaux vaut mieux qu’une réponse fondée sur l’absence d’indices.
- Quelles catégories de données exactement, pour nos contrats ? Identité seule, ou identité plus coordonnées bancaires, plus numéro de sécurité sociale ? Le plan d’action de votre côté n’est pas le même.
- À quelle date exacte avez-vous eu connaissance de l’incident ? Cette date détermine le respect du délai de notification et, le cas échéant, votre propre calendrier d’information.
- Quel est votre plan d’information des personnes concernées, et sous quel délai ? Si la réponse est « nous étudions la question », informez vos salariés vous-même sans attendre.
- Quelles mesures avez-vous prises pour empêcher la réédition, et pouvez-vous nous les documenter ? C’est la question qui alimentera votre prochaine revue de sous-traitants.
Notre avis d’expert n° 3 — trois fuites en quinze jours, c’est un signal sectoriel, pas une série noire
Mutuelle Générale de Prévoyance, Evy, Solimut. Trois organismes de protection sociale, trois systèmes distincts, quinze jours. Quand trois entités d’un même secteur tombent dans une fenêtre aussi courte, l’explication par le hasard devient coûteuse à défendre.
Le raisonnement de l’attaquant n’a rien de mystérieux. Les bases de complémentaire santé combinent une densité d’informations exceptionnelle — identité, filiation, bancaire, numéro de sécurité sociale, parfois données de santé — avec un secteur composé de nombreuses structures mutualistes de taille moyenne, dont les budgets de sécurité sont sans commune mesure avec ceux d’une banque détenant des données comparables. C’est un rapport valeur sur difficulté très favorable.
La conséquence pratique pour une PME dépasse le cas Solimut : tout tiers qui détient une copie de votre fichier du personnel devient un point d’exposition. Mutuelle, prévoyance, éditeur de paie, cabinet comptable, plateforme de titres-restaurant, opérateur de médecine du travail. La question à se poser n’est pas « lequel a été attaqué » mais « lesquels seraient capables de me répondre en 48 heures ». Notre méthode de cartographie du périmètre au sens NIS2 traite précisément cette question, et elle vaut aussi pour les entreprises hors périmètre réglementaire.
Le parallèle avec le reste de l’écosystème technique français est net : la dépendance non cartographiée est le risque dominant de 2026, qu’il s’agisse de plateformes d’intelligence artificielle ou de dépendances logicielles. Le composant dangereux est toujours celui dont personne n’a la liste.
Vos 7 premiers jours — ce qui se fait quand
Questions fréquentes
En principe non : la notification incombe au responsable du traitement chez qui la violation s’est produite, c’est-à-dire l’organisme assureur. Votre entreprise n’a pas à notifier la faille elle-même. En revanche, vous devez consigner l’incident et son impact sur vos salariés dans votre registre interne des violations, informer les personnes concernées de ce à quoi elles sont exposées, et conserver la trace écrite de vos échanges avec la mutuelle. Si votre propre analyse révèle qu’un traitement dont vous êtes responsable est également touché — un export local du fichier, par exemple — l’obligation de notification vous revient alors pleinement.
Trois risques principaux, par ordre de fréquence observée. D’abord l’hameçonnage ciblé : un message qui cite le nom de la mutuelle, le numéro de contrat et les derniers chiffres du compte bancaire franchit toutes les défenses habituelles du bon sens. Ensuite la fraude au changement de coordonnées bancaires, qui vise le service paie de l’employeur plutôt que le salarié lui-même. Enfin l’usurpation d’identité administrative, plus lente mais plus durable : contrairement à un mot de passe, un numéro de sécurité sociale ne se change pas, et il encode la date et le lieu de naissance. Ce risque ne s’éteint pas avec le temps.
Contractuellement, un contrat collectif de complémentaire santé se résilie selon les modalités prévues au contrat et à l’accord collectif qui l’institue, ce qui suppose généralement une échéance et un formalisme de dénonciation. Sur le fond, résilier ne répare rien : les données déjà exfiltrées le restent, et le nouvel assureur recevra exactement le même jeu de données par le même canal déclaratif. Le levier utile n’est pas la résiliation mais l’exigence documentaire — mesures correctives détaillées, engagement de notification sous délai chiffré, et clause de sécurité renforcée à la prochaine échéance.
Partez de trois sources et croisez-les : le registre des traitements, qui devrait déjà lister les destinataires ; les factures fournisseurs des douze derniers mois, qui révèlent les prestataires que le registre a oubliés ; et le paramétrage de votre logiciel de paie, qui expose les flux déclaratifs sortants. En pratique, une PME de cent personnes découvre entre six et douze tiers détenant tout ou partie du fichier du personnel, et deux ou trois n’étaient dans aucun registre. Comptez une demi-journée pour l’exercice complet.
Combien de tiers détiennent votre fichier du personnel ?
Nous cartographions les destinataires réels de vos données RH, révisons les clauses de sous-traitance, et mettons en place les procédures qui bloquent la fraude au RIB. Livrable en cinq jours ouvrés. Téléphone : +33 6 32 64 24 80.
Discutons-en →Source de l’événement : communiqué du groupe Solimut publié sur son site et sur LinkedIn le dimanche 23 août 2026, et couvertures presse spécialisée des 23 et 24 août 2026 (cyberattaque.org, L’Argus de l’assurance, L’Assurance en Mouvement, FrenchBreaches). Les volumes cités — 1 244 445 assurés, 770 467 comptes bancaires, plus de 1,38 million de fiches individuelles, environ 1,08 million de déclarations sociales nominatives — sont revendiqués par l’attaquant et n’étaient pas confirmés indépendamment à la date de publication. Cet article propose une lecture opérationnelle destinée aux employeurs et ne détaille aucun élément d’exploitation.