Les cyberattaquants ne prennent visiblement pas de vacances et ont manifestement le secteur financier dans leur viseur !

En l’espace de 48 heures, trois acteurs du secteur de l’assurance – l’opérateur de tiers payant ACTIL, la mutuelle Mut’com et le courtier ACF Assurances – auraient en effet été victimes de cyberattaques. Une quatrième revendication viserait désormais l’Autorité des marchés financiers (AMF), selon le site French Breaches.

Les données potentiellement compromises seraient particulièrement sensibles : plus de 50 000 contacts, des coordonnées bancaires (IBAN) et des numéros de sécurité sociale pour Mut’com, un peu plus de 60 000 assurés pour ACTIL et plus de 23 000 fiches comportant notamment des coordonnées postales et téléphoniques pour ACF Assurances. Les investigations étant toujours en cours, l’étendue exacte des violations reste à confirmer.

Nous vous informions dans notre bulletin de janvier 2026 de la sanction de 5 millions d’euros prononcée par la CNIL à l’encontre de France Travail, assortie d’une injonction de mise en conformité de ses dispositifs de sécurité. Les manquements constatés concernaient en effet principalement l’insuffisance des mesures techniques et organisationnelles destinées à garantir la sécurité des données personnelles, au regard de l’article 32 du RGPD.

Dix mois après cette décision, la CNIL a annoncé, le 8 octobre 2026, la clôture de l’injonction, après avoir constaté la mise en œuvre des mesures correctrices demandées.

Entre mai et août 2026, des attaquants ont exfiltré depuis le système d’information de la DGFiP les données de 353 000 particuliers et 252 000 professionnels. Le vol, revendiqué sur un forum le 12 août, n’avait été détecté ni par la DGFiP ni par l’ANSSI. À la demande du Premier ministre, l’ANSSI a publié le 29 septembre son rapport d’incident.

Le chemin d’attaque est classique. Disposant d’un grand nombre d’identifiants valides, l’attaquant s’est connecté à distance à des applications exposées à des tiers. L’absence d’authentification multi-facteur (MFA) a permis de réutiliser immédiatement ces identifiants et le processus de réinitialisation des mots de passe compromis s’est révélé défaillant. Une segmentation réseau trop permissive a aussi autorisé des accès depuis le réseau interministériel, à partir d’infrastructures compromises d’un autre ministère.

Le 3 septembre dernier, la CNIL a prononcé une amende de 500 000 € à l’encontre de l’Hôpital privé de la Loire, à l’issue d’un contrôle portant notamment sur la sécurité des données traitées par l’établissement. Une intrusion dans le dossier d’un patient avait permis à un attaquant d’accéder à près de 525 000 dossiers patients.

Des mesures de sécurité jugées insuffisantes

La CNIL a notamment relevé l’absence de VPN et d’authentification multifacteur (MFA) pour l’accès au dossier patient informatisé, ainsi qu’une gestion des habilitations ne permettant pas de limiter suffisamment l’accès aux données couvertes par le secret médical.

Le Président désigné de l’ACPR (sous-gouverneur de la Banque de France) est intervenu auprès de l’Association des avocats en droit boursier, le 9 septembre 2026 sur les thèmes de l’IA, de la lutte anti-blanchiment, et des risques cyber : quelle régulation pour préserver la stabilité financière ?

Lors de son discours, il a particulièrement alerté l’ensemble des organismes financiers sur les risques de dépendance technologique dans les choix qui peuvent être faits en matière de cybersécurité. Une étude mandatée par le CIGREF avance le chiffre de 264 milliards d’euros dépensés chaque année par les européens en logiciels et services cloud américains.

Le Président désigné de l’ACPR (sous-gouverneur de la Banque de France) est intervenu auprès de l’Association des avocats en droit boursier, le 9 septembre 2026 sur les thèmes de l’IA, de la lutte anti-blanchiment, et des risques cyber : quelle régulation pour préserver la stabilité financière ?

Lors de son discours, il a présenté les risques induits par l’IA dans le secteur financier, en les regroupant en trois catégories et en les confrontant aux réponses déjà engagées par les autorités et aux défis qui restent encore à relever.

L’impact sur les citoyens et les consommateurs :

Une décision fondée sur l’IA peut être erronée, reproduire ou amplifier certains biais, ou encore devenir difficile à expliquer lorsque les mécanismes qui la sous-tendent sont complexes. Ces risques peuvent affecter l’accès au crédit et à l’assurance, et compromettre la capacité d’un client à comprendre les raisons d’une décision qui le concerne.

Les systèmes utilisés pour l’octroi de crédit et pour l’évaluation des risques et la tarification en assurance font partie des systèmes « à haut risque » et devront répondre es qualité à des exigences renforcées de gouvernance, de qualité des données, d’équité, de transparence et de contrôle humain. (suite…)

Pour mémoire, DORA introduit des exigences cohérentes pour les entités financières en matière de gestion, de classification et de notification des incidents majeurs liés aux TIC. En garantissant la notification appropriée de ces incidents à toutes les autorités compétentes concernées, ce mécanisme permet une réponse plus rapide et mieux coordonnée en cas d’incidents majeurs transfrontaliers et interconnectés, contribuant ainsi à la résilience du système financier européen.

De leur côté, les autorités européennes de surveillance (ABE, EIOPA et ESMA) sont par ailleurs tenues de rendre compte annuellement des incidents majeurs liés aux TIC portées à leur connaissance, précisant au moins leur nombre, leur nature, leur impact sur les opérations des entités financières ou des clients, les mesures correctives prises et les coûts encourus. Tel est donc l’objet de ce premier rapport.

Ce rapport révèle ainsi que les risques liés aux TIC sont de plus en plus transnationaux et interconnectés. Les autorités soulignent également que le développement récent d’outils d’intelligence artificielle très performants devrait inciter les établissements financiers à renforcer leurs mesures de cybersécurité afin de préserver leur résilience.

Le prestataire de tiers payant Almerys a annoncé, le 22 mai, en début en soirée, être victime d’une cyberattaque potentielle sur son site de demandes de prises en charge, exposant les données personnelles de bénéficiaires de plusieurs organismes complémentaires d’Assurance maladie. Dès la détection de l’intrusion, le portail de demandes de prises en charge a été fermé en milieu d’après-midi.

L’incident sera ensuite confirmé le 24 mai, confirmant également la nature des données personnelles des bénéficiaires qui avaient été exfiltrées : nom, prénom, date de naissance, rang de naissance, numéro de sécurité sociale, nom de l’assureur santé, numéro de contrat, dates de début et de fin de couverture.

Selon les investigations menées par Almerys, aucune donnée de santé, bancaire ou de contact n’est en revanche concernée. Le périmètre affecté couvre les prises en charge optiques, audioprothèses, dentaires hors DENTAMC et hospitalières hors ROC. Les circuits DENTAMC, ROC et la plateforme de tiers payant sont restés opérationnels.

Dès le matin du 22 mai, avant toute communication officielle d’Almerys, notre Cabinet vous alertait sur la base d’informations circulant sur certains réseaux, faisant état d’un fichier de près de 44 millions de lignes dont 15 millions de NIR, chiffres non confirmés par Almerys mais qui illustrent l’ampleur potentielle de l’exposition.