Une fuite attribuée au réseau ADMR pourrait exposer des informations parmi les plus sensibles observées ces dernières semaines. Le hacker utilisant le pseudonyme novembegolf affirme avoir récupéré 4 541 053 lignes pour un volume de 1,81 Go et propose désormais les données à la vente.
L’analyse menée par Cyberattaque.org montre surtout que la fuite ne contient pas uniquement des coordonnées de bénéficiaires. L’échantillon comprend des numéros de sécurité sociale, dates de naissance et informations familiales, mais aussi des notes internes décrivant parfois avec une grande précision l’état de santé, la perte d’autonomie et l’organisation des interventions au domicile.
12 818 dossiers analysés par Cyberattaque.org
Cyberattaque.org s’est procuré l’échantillon diffusé avec la revendication. Celui-ci contient exactement 12 818 enregistrements structurés comme des fiches individuelles issues d’un outil métier.
Parmi ces dossiers, 9 811 possèdent une date de naissance et 4 967 contiennent un numéro présenté comme un numéro de sécurité sociale. Après déduplication de ce dernier champ, 4 835 valeurs différentes apparaissent dans l’échantillon.
Les informations disponibles comprennent également, selon les fiches, le nom de naissance, le lieu et le pays de naissance, la nationalité, la situation familiale, la composition du foyer et différents identifiants internes.
Des informations médicales et sociales apparaissent en clair
Le champ le plus préoccupant est toutefois celui consacré aux commentaires internes. 844 fiches de l’échantillon contiennent de telles notes.
Cyberattaque.org a constaté que certaines décrivent précisément les difficultés quotidiennes d’une personne : mobilité réduite, troubles de la mémoire, traitements médicamenteux, passages d’infirmiers, utilisation d’un fauteuil roulant ou d’un lit médicalisé, aide à la toilette, protections, alimentation ou accompagnement aux courses.
Dans certains dossiers, les commentaires détaillent également les horaires d’intervention et les consignes données aux aides à domicile. On retrouve même des indications sur les professionnels de santé intervenant auprès de la personne et sur les membres de son entourage à contacter.
Des clés et informations d’accès au domicile apparaissent aussi
Le risque ne se limite donc pas à la vie privée numérique. Plusieurs commentaires de l’échantillon contiennent des indications permettant aux intervenants d’accéder au domicile : emplacement d’une clé, présence d’un coffre, badge, code de porte ou instructions précises permettant d’entrer chez le bénéficiaire.
Pour des personnes âgées, handicapées ou dépendantes, la divulgation de telles informations pose un problème de sécurité physique particulièrement sérieux. Elles pourraient être exploitées pour du démarchage frauduleux, de faux passages à domicile ou des tentatives de vol ciblées.
Des mineurs figurent également dans les données
L’ADMR n’accompagne pas uniquement des personnes âgées. Son réseau intervient aussi auprès des familles et des enfants. Cette diversité apparaît directement dans les fichiers.
Sur les dates de naissance présentes dans l’échantillon, 463 fiches correspondent à une personne âgée de moins de 18 ans au 24 octobre 2026. Certains dossiers sont reliés au même foyer que leurs parents et peuvent contenir des informations sur l’accompagnement familial ou social.
Le hacker parle d’un « scrape », mais les fichiers ressemblent à des données métier internes
novembegolf présente son opération comme un « scrape » d’admr.org. L’analyse de l’échantillon rend toutefois cette formulation particulièrement trompeuse si elle est comprise comme une simple collecte d’informations visibles sur le site public.
Les champs entityId, householdId, relationship, isUnderGuardianship ainsi que les longues consignes d’intervention et données de suivi ne correspondent manifestement pas au contenu public du site admr.org. Ils ressemblent davantage à des informations extraites d’un système métier utilisé pour gérer les bénéficiaires et leurs interventions.
La documentation historique publiée par l’ADMR décrit justement Philia comme l’une des portes d’entrée de son système d’information. Le logiciel permet notamment de créer les dossiers clients et d’organiser les prestations. Une déclinaison, PhiliaSanté, est destinée au suivi des dossiers patients et peut gérer notes, transmissions et informations de soins.
Rien ne permet cependant d’affirmer à ce stade que Philia est l’application directement compromise. La structure des fichiers indique seulement qu’ils proviennent vraisemblablement d’un environnement métier bien plus riche que le site institutionnel public.
4,5 millions de lignes ne signifient pas 4,5 millions de victimes
Le chiffre avancé dans la revendication doit être interprété avec prudence. 4 541 053 lignes ne signifient pas nécessairement autant de personnes distinctes. Les systèmes ADMR peuvent conserver des clients actuels ou anciens, leurs proches, des membres d’un même foyer et différents types de dossiers.
À titre de comparaison, l’ADMR indique accompagner environ 720 000 clients à travers près de 2 700 associations locales et plus de 94 000 salariés. Une extraction historique couvrant plusieurs années pourrait donc facilement produire plusieurs millions d’enregistrements sans représenter autant de personnes uniques.
Des données encore mises à jour en 2026
L’échantillon ne ressemble pas uniquement à une très ancienne sauvegarde oubliée. Cyberattaque.org a identifié dans plusieurs commentaires des mises à jour datées de 2025 et 2026, notamment des réévaluations de prises en charge et des consignes récentes.
Cela suggère qu’au moins une partie des données était encore utilisée récemment. Il est cependant impossible de déterminer à partir de l’échantillon la date exacte à laquelle l’extraction revendiquée a été réalisée.
Une précédente fuite ADMR avait déjà été revendiquée début octobre
Cette nouvelle affaire intervient seulement quelques semaines après une autre revendication visant le réseau. Le 1er octobre, près de 9 700 comptes attribués à un intranet ADMR avaient déjà été diffusés.
Aucun élément ne permet actuellement d’établir que les deux incidents sont liés. Le périmètre est en tout cas très différent : la nouvelle revendication vise cette fois des millions de lignes de dossiers individuels et non seulement des comptes d’accès.
Des personnes particulièrement vulnérables peuvent être ciblées
La nature des données rend les conséquences potentielles importantes. Un fraudeur pourrait connaître non seulement l’identité et la date de naissance d’une victime, mais également ses difficultés de santé, ses habitudes à domicile, les horaires auxquels elle reçoit de l’aide ou les coordonnées de proches.
Ces éléments peuvent être utilisés pour construire des arnaques extrêmement crédibles en se faisant passer pour l’ADMR, un professionnel de santé, une caisse de retraite ou un membre de la famille.
La présence de numéros de sécurité sociale augmente également les risques d’usurpation d’identité et de fraude administrative. Lorsque des informations d’accès au logement apparaissent dans les commentaires, le risque peut même dépasser le cadre numérique.
L’ADMR n’a pas encore confirmé cette fuite massive
Lors des recherches de Cyberattaque.org, aucune communication publique de l’Union nationale ADMR confirmant l’extraction des 4,5 millions de lignes n’a été identifiée.
Le volume total reste donc une revendication du hacker. En revanche, l’échantillon de 12 818 fiches examiné par Cyberattaque.org montre clairement des données cohérentes avec l’activité du réseau et contenant, pour certaines personnes, des informations médicales, sociales et administratives d’une sensibilité exceptionnelle.
L’enjeu principal est désormais de déterminer quel outil a permis l’extraction, combien de personnes uniques sont réellement concernées et si les données proviennent d’un système national ou de plusieurs fédérations départementales.
Source originale : Cyberattaque.org.
