La fuite attribuée à ACTIL est beaucoup plus importante qu’une simple base de 152 000 lignes. Cyberattaque.org a récupéré et analysé le fichier complet diffusé par le hacker Syrv4x le 26 octobre 2026. Il contient 60 790 numéros de Sécurité sociale distincts, associés à des informations de santé particulièrement détaillées concernant principalement des prises en charge d’audioprothèses.
Identité des bénéficiaires, date de naissance, numéro de Sécurité sociale, complémentaire santé, numéro d’adhérent, professionnel de santé, prescription, appareil auditif, prix, remboursement et reste à charge : la base permet parfois de reconstituer une grande partie du parcours de prise en charge d’une personne.
Cyberattaque.org a analysé l’intégralité du fichier
Syrv4x annonce 152 187 lignes pour environ 237 Mo de données. Le fichier obtenu et analysé par Cyberattaque.org contient précisément 152 186 enregistrements.
L’analyse révèle cependant 13 105 doublons exacts. Après leur retrait, la base contient 139 081 enregistrements différents.
Le chiffre brut de 152 000 lignes ne doit surtout pas être interprété comme autant de victimes. Une même personne peut apparaître à plusieurs reprises pour différentes étapes d’une prise en charge, plusieurs équipements ou différentes versions d’un même dossier.
Pour approcher le nombre réel de personnes concernées, Cyberattaque.org a analysé les identifiants présents dans la base. 60 790 numéros de Sécurité sociale différents apparaissent dans les fichiers. Une analyse croisée des noms, prénoms et dates de naissance aboutit également à un ordre de grandeur très proche, autour de 60 800 bénéficiaires.
Les numéros de Sécurité sociale sont présents dans toute la base
Le niveau de sensibilité est particulièrement élevé. Le champ correspondant au numéro INSEE est renseigné dans les 152 186 enregistrements analysés.
Dans la quasi-totalité des cas, il prend la forme attendue d’un numéro de Sécurité sociale à 15 chiffres. Cyberattaque.org ne reproduit évidemment aucun de ces identifiants.
Ces numéros sont directement associés au nom, prénom et à la date de naissance du bénéficiaire. La base contient également son numéro d’adhérent et la complémentaire santé chargée de sa couverture.
Plus de 82 000 demandes de prise en charge distinctes
Cyberattaque.org a identifié 82 437 numéros de demandes distincts dans le fichier.
Chaque dossier peut contenir son état de traitement, sa date de création, un éventuel numéro de facture, le professionnel ayant réalisé la prise en charge, le prescripteur et différentes informations relatives au remboursement.
La base contient également plus de 40 000 numéros de factures distincts. De nombreux dossiers sont indiqués comme facturés, acceptés, annulés ou refusés, avec parfois la raison précise du refus.
Les appareils auditifs des bénéficiaires sont détaillés
La fuite va beaucoup plus loin que des données administratives de mutuelle.
Après retrait des doublons exacts, Cyberattaque.org dénombre plus de 260 000 références d’appareils attachées aux dossiers. Les enregistrements peuvent préciser l’oreille concernée, la marque, le modèle, le type d’appareil et son code de remboursement.
On retrouve notamment des contours classiques, des appareils à écouteur déporté et des équipements intra-auriculaires.
Ces informations permettent donc de savoir qu’une personne est appareillée et parfois quel dispositif elle porte, sur quelle oreille et à quel prix il a été acheté.
Prix, remboursement et reste à charge apparaissent dans les dossiers
Pour chaque équipement, plusieurs informations financières peuvent également être présentes : prix facturé, base de remboursement, montant versé par l’Assurance maladie, participation gérée par ACTIL et reste à charge.
La fuite permet ainsi de relier une personne identifiable à une prise en charge médicale précise et aux sommes engagées pour son équipement.
Ce niveau de détail est particulièrement sensible, car un fraudeur pourrait disposer d’informations suffisamment précises pour connaître à la fois la situation médicale du bénéficiaire et le traitement financier de son dossier.
Un indicateur de cécité apparaît également
La base contient un autre champ médical particulièrement sensible : un indicateur précisant si le bénéficiaire est concerné par une situation de cécité.
Cyberattaque.org a retrouvé cet indicateur activé pour 428 numéros de Sécurité sociale distincts.
Pour ces personnes, la fuite peut donc révéler simultanément une information relative à leur déficience visuelle et des données concernant leur appareillage auditif.
28 complémentaires santé apparaissent dans les fichiers
L’analyse fait apparaître 28 libellés différents de complémentaires santé.
Le fait qu’un organisme apparaisse dans cette base ne signifie pas que son propre système informatique a été compromis. ACTIL intervient comme plateforme de tiers payant et centralise les informations nécessaires au traitement des dossiers de bénéficiaires couverts par différents organismes.
Cette centralisation explique justement la sensibilité de la fuite : une seule base permet de retrouver des bénéficiaires provenant de nombreuses complémentaires différentes.
Des milliers de professionnels de santé référencés
Les patients ne sont pas les seuls à apparaître dans le fichier.
Cyberattaque.org dénombre 6 668 identifiants FINESS distincts associés aux professionnels ou établissements ayant traité les dossiers, ainsi que 17 741 identifiants de prescripteurs.
Les enregistrements peuvent également contenir le nom commercial et l’adresse du professionnel ayant réalisé l’appareillage.
La base permet donc, dans certains cas, de relier le bénéficiaire, son prescripteur, son audioprothésiste, sa complémentaire santé, son équipement et le détail de sa prise en charge financière.
Des données allant de 2013 jusqu’au 24 octobre 2026
La profondeur historique de la base est également importante. Les demandes les plus anciennes analysées par Cyberattaque.org remontent à 2013.
Mais il ne s’agit pas d’une vieille sauvegarde oubliée depuis plusieurs années. Des dossiers ont été créés ou modifiés jusqu’au 24 octobre 2026, soit seulement deux jours avant la diffusion publique revendiquée par Syrv4x.
Cette proximité temporelle suggère que le fichier provient d’un environnement contenant encore des données très récentes au moment où il a été constitué.
Une base particulièrement dangereuse pour le phishing
Le principal risque immédiat est celui d’une fraude extrêmement ciblée.
Un attaquant disposant de cette base peut potentiellement connaître l’identité réelle d’un bénéficiaire, sa date de naissance, son numéro de Sécurité sociale, sa complémentaire santé, son numéro d’adhérent, son professionnel de santé et les caractéristiques de son appareil auditif.
Un faux appel provenant prétendument d’une mutuelle ou d’un organisme de tiers payant devient alors beaucoup plus crédible. Le fraudeur peut citer un véritable équipement, une véritable prise en charge ou un véritable professionnel avant de demander une information supplémentaire.
Le numéro de Sécurité sociale peut également être rapproché d’autres bases déjà compromises pour enrichir des dossiers d’usurpation d’identité.
Le hacker ne précise pas comment les données ont été obtenues
Syrv4x affirme avoir obtenu la base d’ACTIL mais ne donne aucun détail technique sur l’origine de l’accès.
La structure du fichier est cohérente avec une extraction de données issues d’un outil métier de gestion des prises en charge. Elle ne permet cependant pas de déterminer si l’accès provient d’une faille applicative, d’un compte professionnel compromis, d’une API, d’une base directement accessible ou d’un autre système.
Aucun de ces scénarios ne peut donc être retenu à ce stade.
Une fuite de données de santé, pas seulement de données administratives
L’analyse complète change surtout la qualification de cette fuite. Il ne s’agit pas uniquement d’une liste de bénéficiaires accompagnée de numéros de Sécurité sociale.
Les fichiers révèlent directement des informations relatives aux soins et aux dispositifs médicaux utilisés par les personnes concernées. L’appareillage auditif, l’oreille traitée, le modèle choisi, la prescription et certains indicateurs médicaux sont associés à l’identité du bénéficiaire.
Le chiffre le plus pertinent n’est donc finalement pas celui des 152 000 lignes revendiquées, mais celui obtenu après analyse par Cyberattaque.org : 60 790 numéros de Sécurité sociale distincts apparaissent dans une base contenant des données de santé détaillées et des dossiers actualisés jusqu’à deux jours avant leur diffusion.
Source originale : Cyberattaque.org.
