Le piratage d’Almerys, prestataire de tiers-payant pour de nombreux acteurs de la complémentaire santé, remet au premier plan une question très concrète pour les patients : que peut-on faire lorsqu’un numéro de sécurité sociale, une identité et des informations de contrat santé circulent hors des systèmes prévus pour les protéger ?
Sécurité sociale : après le piratage d’Almerys, ce que les assurés doivent comprendre
By
Published on 25 mai 2026 6h27
L’affaire ne concerne pas seulement une entreprise technique inconnue du grand public. Elle touche un maillon discret mais essentiel du parcours de soins : le tiers-payant. Ce mécanisme permet à l’assuré de ne pas avancer certains frais chez un professionnel de santé, notamment en pharmacie, en optique, en audioprothèse, en dentaire ou à l’hôpital. Pour fonctionner, il suppose des échanges rapides entre le professionnel, la complémentaire santé et l’opérateur qui vérifie les droits.
Alan a confirmé avoir été informé le 22 mai 2026 par Almerys, son gestionnaire de tiers-payant, d’une cyberattaque ayant entraîné une fuite de données affectant ses clients. La plateforme concernée a été mise hors service afin de stopper l’atteinte aux données, et Alan indique qu’Almerys prévoit une restauration de sa plateforme de prise en charge d’ici le 31 mai.
Sécurité sociale et tiers-payant : pourquoi Almerys détient des données si sensibles
Almerys n’est pas un simple prestataire informatique. C’est un opérateur situé au croisement du remboursement, de la complémentaire santé et de la relation entre patients et professionnels de santé. Le Parisien rappelle qu’Almerys travaille pour plusieurs organismes et mutuelles, dont Alan, MGEN, Harmonie ou AG2R.
Ces prestataires gèrent les droits ouverts au tiers-payant. Ils traitent donc des données administratives indispensables : identité, rattachement à un contrat, période de couverture, numéro de sécurité sociale. TIC Santé indiquait déjà en 2024 que Viamedis et Almerys assuraient chacun la gestion du tiers-payant d’environ 20 millions d’assurés, ce qui montre le poids systémique de ces plateformes dans le financement quotidien des soins. Les données signalées dans l’incident de mai 2026 sont cohérentes avec cette fonction. Alan évoque l’état civil, le numéro de sécurité sociale, le numéro de contrat, le nom de l’assureur, le numéro de contrat de l’assureur et les dates de début et de fin de couverture. Il faut cependant éviter une confusion fréquente. Les sources ouvertes ne disent pas que les dossiers médicaux des assurés ont été volés. CNP Assurances Protection Sociale indique également que les coordonnées bancaires, les données de santé, les soins, les remboursements et les coordonnées de contact ne sont pas touchés par l’incident.
Cette distinction est importante, mais elle ne réduit pas l’affaire à un incident mineur. Un numéro de sécurité sociale relié à une identité complète et à un contrat santé reste une donnée de très forte valeur. Contrairement à un mot de passe, il ne se remplace pas facilement. Et contrairement à une adresse e-mail isolée, il peut servir à crédibiliser une démarche administrative frauduleuse.
Piratage d’Almerys : ce qui est confirmé, ce qui reste revendiqué
Le noyau confirmé repose sur les communications d’acteurs directement concernés. Alan dit avoir été informé par Almerys d’une cyberattaque. CNP Assurances Protection Sociale écrit que les investigations menées par Almerys indiquent qu’une intrusion frauduleuse a entraîné l’accès à certaines données de bénéficiaires.
Autre élément établi : la réaction opérationnelle. CNP Assurances Protection Sociale indique qu’Almerys a fermé son portail dédié aux demandes de prise en charge dès qu’une suspicion de violation de données a été détectée. L’organisme ajoute avoir suspendu toutes les demandes de prise en charge venant d’Almerys et renforcé la surveillance de ses systèmes d’information.
Le volume, lui, doit être présenté avec davantage de prudence. French Breaches fait état d’une fuite attribuée à Almerys revendiquant 44 074 042 lignes et 15 452 549 numéros de sécurité sociale uniques. Le site mentionne aussi 674 organismes de santé potentiellement exposés. Mais French Breaches précise que l’authenticité complète et l’exhaustivité de la base revendiquée n’ont pas été officiellement confirmées publiquement.
Données personnelles de santé : le précédent Viamedis-Almerys pèse sur la confiance
L’incident de 2026 n’arrive pas dans un paysage vierge. En février 2024, la CNIL avait annoncé mener des investigations après une violation de données ayant affecté Viamedis et Almerys, deux opérateurs de tiers-payant de nombreuses complémentaires santé et mutuelles. Plus de 33 millions de personnes étaient alors concernées.
La nature des données exposées en 2024 éclaire le risque actuel : état civil, date de naissance, numéro de sécurité sociale, nom de l’assureur santé et garanties du contrat souscrit. La CNIL précisait alors que les informations bancaires, les données médicales, les remboursements santé, les coordonnées postales, les numéros de téléphone et les courriels n’étaient pas concernés.
Le Point avait résumé l’ampleur de cette première affaire en rappelant qu’elle touchait près d’un Français sur deux et que les personnes concernées devaient être informées par leur complémentaire santé. Le média insistait aussi sur le rôle central de Viamedis et Almerys comme prestataires chargés de la gestion du tiers-payant.
Le sujet a même atteint le Sénat. Dans une question écrite publiée en octobre 2024, le sénateur Bernard Fialaire alertait sur le piratage de données détenues par les opérateurs de tiers-payant et sur les difficultés rencontrées par certains professionnels, notamment des opticiens. La réponse ministérielle publiée en juin 2025 rappelait le principe de minimisation des données et les obligations liées au RGPD pour ces opérateurs.
Ce contexte donne à l’affaire Almerys une portée plus large qu’une simple fuite supplémentaire. Pour le secteur santé, elle interroge l’empilement des intermédiaires, la quantité de données réellement nécessaire au tiers-payant et la capacité des assurés à comprendre qui manipule leurs informations. La cybersécurité n’est plus seulement un sujet hospitalier ou médical : elle est devenue une condition de confiance dans l’accès aux soins.
Arnaques Ameli, carte Vitale, mutuelle : les bons réflexes après la fuite
Le risque le plus immédiat pour les assurés n’est pas forcément la fraude bancaire directe, puisque les sources ouvertes indiquent que les coordonnées bancaires ne font pas partie des données touchées. Le risque principal est l’hameçonnage ciblé : un message qui semble venir d’une mutuelle, de l’Assurance maladie, d’un service de tiers-payant ou d’un organisme de remboursement.
Cybermalveillance.gouv.fr rappelle que l’hameçonnage aux couleurs de l’Assurance maladie est l’un des cas les plus régulièrement observés parmi les usurpations de services publics. Les scénarios les plus fréquents évoquent un remboursement en attente, une nouvelle carte Vitale, une mise à jour urgente ou une connexion via un faux site. Les informations déjà volées peuvent ensuite servir à rendre ces messages plus crédibles.
L’Assurance maladie donne plusieurs repères simples. Elle indique que ses messages officiels proviennent d’adresses se terminant notamment par @app.assurance-maladie.fr, @assurance-maladie.fr, @info.ameli.fr ou @ameli.fr. Elle rappelle surtout qu’elle ne demande jamais par courriel les identifiants de connexion, les informations médicales ou bancaires, ni le paiement d’un service.
La carte Vitale doit faire l’objet d’une vigilance particulière. Ameli rappelle que si un message demande un paiement pour couvrir les frais de livraison d’une carte Vitale, il s’agit d’un message frauduleux. « L’Assurance Maladie ne facture jamais de frais de livraison et la création et l’envoi d’une nouvelle carte Vitale sont gratuits », précise l’organisme.
Les bons réflexes tiennent en quelques principes simples. Ne pas cliquer sur un lien reçu par SMS ou par e-mail. Ne pas transmettre de pièce d’identité, de mot de passe, de code de connexion ou de coordonnées bancaires après un message non sollicité. Ouvrir soi-même l’application ou le site officiel de sa mutuelle, de son assureur ou d’Ameli. Contacter directement l’organisme en cas de doute.
Il faut aussi surveiller les comptes utilisés dans le parcours de soins : compte Ameli, espace mutuelle, messagerie principale, espace bancaire et espace employeur si la complémentaire est liée à l’entreprise. Ma Sécurité recommande, en cas de données compromises sans usage frauduleux constaté, de surveiller ses comptes et de signaler la situation à la CNIL ; en cas d’usage frauduleux, il faut porter plainte avec les preuves disponibles.
Cybermalveillance.gouv.fr rappelait déjà, après la fuite Viamedis-Almerys de 2024, que les données d’identité, le numéro de sécurité sociale et le nom de l’assureur santé pouvaient être utilisées pour des campagnes d’hameçonnage. Le même dispositif conseillait de conserver les preuves en cas d’utilisation frauduleuse : messages, adresses de sites web, captures d’écran ou tout autre élément permettant d’étayer un dépôt de plainte.