Fuites de données liées à Malakoff Humanis (prestataire IGA) et à Actil : faux IBAN, faux mails de régularisation, ce que l'opticien peut vérifier

Malakoff Humanis. Selon le groupe, cité par Solutions Numériques le 19 octobre, les données publiées « renverraient » à une cyberattaque visant son prestataire IGA, dont il dit avoir été informé le 11 août 2026 et qu'il a signalée à la Commission nationale de l'informatique et des libertés (CNIL). Le groupe indiquait alors que ses équipes vérifiaient l'authenticité, l'origine et l'ampleur des données, et, selon Acuité, qu'il a respecté les procédures réglementaires. La revendication s'inscrit dans une vague de fuites annoncées le samedi 17 octobre, selon Solutions Numériques ; selon Acuité, les fichiers ont été diffusés publiquement le dimanche 18 octobre. Selon l'analyse du site Cyberattaque.org, reprise par Acuité le 19 octobre, les documents, au nombre de 16 556 d'après la revendication du pirate, mêleraient identités, numéros de Sécurité sociale, entrées comportant des IBAN, demandes de prise en charge et relevés de prestations, notamment en optique et en dentaire. Ni ce volume ni ce détail n'ont été confirmés par Malakoff Humanis.

Actil. Le 26 octobre 2026, un pirate a diffusé un fichier qu'il attribue à cet opérateur de tiers payant. Selon l'analyse du site Cyberattaque.org, reprise par Acuité le 28 octobre, il compterait 152 186 enregistrements (139 081 une fois les doublons retirés) et 60 790 numéros de Sécurité sociale distincts, pour des demandes de prise en charge datées de 2013 au 24 octobre 2026, portant surtout sur l'audioprothèse. Ces chiffres sont ceux de Cyberattaque.org. L'Ouïe Magazine (29 octobre) précise qu'il s'agit de premières estimations, que l'opérateur n'a pas validées. Les conditions de l'extraction ne sont pas connues.

Un précédent récent : en août 2026, la Mutuelle Générale de Prévoyance (MGP) avait signalé une cyberattaque visant un sous-traitant technique, en précisant qu'aucune donnée de santé ni de prestation n'était concernée et que le tiers payant restait assuré en magasin (Acuité, 20 août 2026).

Le magasin n'a pas besoin de figurer dans un fichier pour être exposé. Un message frauduleux devient plus crédible lorsqu'il mentionne un organisme réel, un dossier de prise en charge plausible ou le nom d'un assuré. C'est ce qu'Acuité signale le 19 octobre : des opticiens et des assurés pourraient être visés par de fausses demandes de modification d'IBAN ou de faux courriels de régularisation de prestations.

Les sources citées ici ne font pas état, à ce jour (11 novembre 2026), de tels messages effectivement envoyés à partir de ces fichiers. L'objet de cet article est de reconnaître ces deux scénarios s'ils se présentent.

Le signal à repérer : un message, courriel, courrier ou appel, qui se présente comme venant d'un organisme complémentaire, d'un opérateur de tiers payant ou d'un partenaire habituel, et qui annonce de nouvelles coordonnées bancaires ou demande de mettre à jour celles du magasin.

Une demande de changement de relevé d'identité bancaire (RIB) mérite d'être traitée comme une alerte tant qu'elle n'a pas été confirmée par un autre canal, même si elle reprend fidèlement un nom d'organisme, un logo, un numéro de dossier ou le nom d'un interlocuteur connu. L'exactitude de ces détails ne prouve rien : c'est précisément ce que des données divulguées permettent de reproduire.

Le signal à repérer : un message qui évoque une anomalie, un trop-perçu ou un dossier de prise en charge « à régulariser », et qui invite à cliquer sur un lien, à se connecter à un espace en ligne, à transmettre des identifiants ou à effectuer un paiement dans un délai court.

Le rappel de Malakoff Humanis vaut ici repère : aucun de ses conseillers ne demande de mot de passe ni de code de sécurité par téléphone, par SMS ou par e-mail. Une demande d'identifiants, quel que soit l'organisme dont elle se réclame, est un motif de vérification avant toute réponse.

Les règles suivantes sont des règles de prudence générales, pas une procédure officielle propre au tiers payant. Le dispositif public Cybermalveillance.gouv.fr recommande notamment de contacter le créancier sur son numéro habituel avant tout virement vers un RIB reçu par message, et, pour les entreprises, de soumettre les virements imprévus et les changements de coordonnées bancaires à une validation interne :

Après ces annonces, un client peut demander en magasin si ses données figurent dans l'un des fichiers. L'opticien n'a ni le moyen ni le rôle de répondre : il renvoie la personne vers son organisme complémentaire, par les coordonnées figurant sur sa carte de tiers payant ou dans son espace assuré.

Trois réflexes évitent d'aggraver la situation : ne rien confirmer ni infirmer ; ne pas rechercher ni consulter le fichier diffusé ; ne prendre ni pièce d'identité ni numéro de Sécurité sociale pour « vérifier ». Le magasin peut en revanche rappeler, pour les assurés de Malakoff Humanis, la consigne publiée par le groupe : aucun conseiller ne demande de mot de passe ni de code de sécurité.

La fiche réflexe de Cybermalveillance.gouv.fr « Que faire en cas de fraude au virement ou au faux RIB ? » décrit les démarches. Si un virement a été émis vers un compte suspect, alerter sa banque immédiatement et lui demander le retour des fonds. Prévenir ensuite l'organisme dont le nom a été utilisé, en passant par son canal habituel et non par les coordonnées du message. Conserver les preuves (messages, relevés, factures), et envisager un dépôt de plainte auprès du commissariat ou de la gendarmerie.

La même fiche indique les interlocuteurs à contacter, dont les numéros d'assistance aux victimes : mieux vaut s'y reporter directement, sur le site Cybermalveillance.gouv.fr, plutôt que de se fier à un numéro trouvé ailleurs.

Il ne désigne aucun responsable : Malakoff Humanis indiquait le 19 octobre que l'analyse des données publiées était en cours, et les conditions de l'extraction du fichier attribué à Actil ne sont pas connues. Les volumes cités sont des revendications de pirates ou des analyses de tiers, rapportées par la presse professionnelle et non confirmées par les organismes. L'article ne reprend aucune donnée personnelle ni aucun nom d'organisme issus des fichiers diffusés : il s'en tient aux volumes et aux catégories rapportés par la presse professionnelle, et ne renvoie vers aucun site qui en décrit le contenu.