La Mutuelle Communale victime d'une fuite de données

Les adhérents de La Mutuelle Communale, la complémentaire santé que des communes proposent à leurs habitants, pourraient être exposés par une fuite de données. Dans une publication, datée du 26 octobre, le groupe de cybercriminels Blackhatsect0r revendique l’extraction de plusieurs bases de données associées au dispositif de complémentaire santé, notamment depuis des environnements liés aux domaines lamutuellecommunale.com et crmlmc.fr. Selon les chiffres rapportés le 27 octobre par le site Cyberattaque.org, les attaquants prétendent avoir récupéré 50 344 fiches de contacts et 114 214 documents PDF, représentant 46,6 Go de données. À ce stade, La Mutuelle Communale n'a pas confirmé publiquement ce piratage présumé. Dans une mise à jour publiée le 28 octobre, le média FrenchBreaches rapporte que l’organisme a mis hors service l’outil concerné, déposé plainte et informé la Commission nationale de l’informatique et des libertés (CNIL). Les personnes concernées doivent être averties directement par e-mail ou par courrier. 

Des IBAN et des numéros de Sécurité sociale revendiqués

Les données annoncées par les cybercriminels comprennent plusieurs catégories d’informations personnelles. BlackHatsect0r affirme notamment détenir 30 056 enregistrements de numéros de Sécurité sociale, dont 24 335 valeurs distinctes, ainsi que 17 812 enregistrements d’IBAN, dont 12 153 valeurs distinctes. Selon Frenchbreach également 39 140 adresses électroniques uniques, 65 904 enregistrements de numéros de téléphone dont 37 858 distincts et 71 830 devis d’assurance ont été volé. 

Cyberattaque.org indique avoir examiné cinq extraits CSV de 1 000 enregistrements chacun, ainsi que plusieurs documents PDF. Dans l’échantillon de 1 000 fiches de contacts décrit en détail, toutes comportaient une valeur dans le champ du numéro de Sécurité sociale, avec 980 valeurs distinctes. Le média précise que cette observation ne permet pas de garantir la validité de tous les numéros. Les dates de naissance montrent également que certaines fiches concernent des personnes mineures. Les documents PDF examinés comprennent notamment des bulletins d’adhésion, des mandats de prélèvement SEPA comportant des coordonnées bancaires et des signatures, des relevés d’identité bancaire, des attestations de droits à l’Assurance maladie et des justificatifs de revenus. Cyberattaque.org a également identifié une attestation mentionnant des prises en charge pour affection de longue durée. Ces observations confirment la présence de données personnelles et d’informations particulièrement sensibles dans les échantillons analysés, sans toutefois permettre de valider l’ensemble des volumes revendiqués par les cybercriminels.

Des outils internes également dans le périmètre revendiqué

Au-delà des données relatives aux adhérents, la revendication évoque plusieurs composants du système d’information. BlackHatsect0r affirme avoir extrait 3,78 millions de lignes réparties dans 314 tables SQL et obtenu des données issues d’outils de gestion de la relation client et de campagnes d’e-mailing. Le groupe revendique aussi 123 comptes CRM, dont les mots de passe seraient stockés sous forme d’empreintes bcrypt, ainsi que 74 comptes d’une plateforme de visualisation de données, dont 13 disposeraient de privilèges élevés.

Ces éléments restent déclaratifs. La présence d’empreintes bcrypt ne signifie pas que les mots de passe sont directement accessibles en clair. De même, la revendication de comptes à privilèges élevés ne permet pas, à elle seule, de conclure à une compromission effective de l’ensemble des outils concernés. L’origine technique de l’intrusion n’est pas précisée dans les informations publiées. Aucun élément ne permet, à ce stade, d’attribuer l’accès initial à une vulnérabilité particulière ou à la compromission d’un compte.

Une base de données proposée à la vente pour 10 000€

Selon le site Cyberattaque.org, Blackhatsect0r affirme proposer l’ensemble des données revendiquées à la vente pour 10 000€, avec un règlement en cryptomonnaie. L’offre porterait sur les bases de contacts, les informations commerciales, les documents PDF et les exports d’outils internes. Cyberattaque.org précise toutefois ne pas avoir pu vérifier que les attaquants détiennent effectivement la totalité des 46,6 Go annoncés. Au-delà de la question du volume, la diversité des informations revendiquées constitue un facteur de risque. La combinaison de coordonnées personnelles, de données bancaires et de documents administratifs pourrait faciliter des tentatives d’usurpation d’identité, de fraude documentaire ou d’hameçonnage ciblé.