Nouvelle fuite de données en France : 130 000 IBAN compromis après le hack d’une mutuelle

La Mutuelle Générale de Prévoyance (MGP) est victime d’une fuite de données. En exploitant une faille chez un prestataire, un pirate est parvenu à exfiltrer une montagne d’informations sur les adhérents, dont des IBAN. Si aucune donnée de santé ni copie de pièce d’identité n’a été compromise, la combinaison IBAN, identité et coordonnées risque d’aboutir à des prélèvements bancaires frauduleux.

Début du mois, un pirate a revendiqué une cyberattaque contre la Mutuelle Générale de Prévoyance (MGP) sur un forum pirate. Basée à Cran-Gevrier, près d’Annecy, la mutuelle française s’appuie sur un réseau d’une soixantaine de mutuelles santé partenaires et compte environ 480 000 adhérents, pour 67 millions d’euros de cotisations collectées.

Le hacker indiquait avoir mis la main sur deux tables de données, incluant 198 127 noms complets uniques, 133 018 IBAN, 45 771 numéros de téléphone et 24 489 adresses e-mail. Les échantillons diffusés par le truand montraient aussi des adresses postales, des dates de naissance et des références internes.

À lire aussi : Après le piratage des impôts, la France riposte avec un grand « plan d’action » pour protéger vos données

Quelques jours après cette revendication sur un forum pirate, la Mutuelle générale de prévoyance a confirmé avoir été « victime d’une cyberattaque » . En fait, l’attaque a visé l’un des prestataires techniques de la mutuelle. Comme souvent, l’intrusion découle d’une défaillance de sécurité chez un tiers.

En exploitant cette faille béante, l’attaquant a pu obtenir un « accès non autorisé » à des données personnelles d’adhérents, notamment des données d’identification et des numéros IBAN. « Certaines données administratives et bancaires » appartenant à certains de ses clients ont bien été compromises, explique la mutuelle dans son communiqué.

Par contre, « aucun numéro de carte bancaire ni aucune copie de document d’identité n’ont été compromis » . De même, « aucune donnée de santé et aucune information relative aux prestations, aux remboursements ou aux garanties n’est concernée » .

A lire aussi : Piratage des impôts – le mail officiel destiné aux victimes cache une incroyable incohérence en matière de cybersécurité

Créé dans les années 1990, l’IBAN a été conçu pour faciliter et sécuriser les transactions financières entre les pays de l’Union européenne. Grâce à ce numéro sensible, vos créanciers peuvent prélever de l’argent directement sur votre compte, que ce soit pour régler un forfait mobile, une location de véhicule en leasing ou encore les mensualités d’un crédit. À l’inverse, il sert aussi à votre employeur pour vous verser votre salaire chaque mois

Comme l’a démontré 01net à l’époque du piratage de Free, il est bien possible de réaliser des prélèvements non autorisés sur un compte bancaire grâce au seul IBAN. Un IBAN isolé permet en effet déjà d’émettre de faux ordres de prélèvement SEPA. Toutefois, pour rendre l’escroquerie totalement efficace, le pirate doit disposer d’informations complémentaires sur sa cible, notamment son identité complète, son adresse et son numéro de téléphone.