La Mutuelle Communale est visée par une fuite massive de données revendiquée le 26 octobre 2026 par le groupe Blackhatsect0r. Les cybercriminels affirment avoir récupéré des informations sur 50 344 contacts, dont des numéros de Sécurité sociale, des coordonnées bancaires, des devis de complémentaire santé et plus de 114 000 documents PDF représentant 46,6 Go.
Cyberattaque.org s’est procuré plusieurs échantillons et a pu confirmer la présence de données personnelles particulièrement sensibles. Les fichiers examinés contiennent des identités, des dates de naissance, des adresses postales, des numéros de Sécurité sociale, mais aussi des mandats SEPA, des relevés d’identité bancaire et des attestations de droits à l’Assurance maladie.
La Mutuelle Communale est un dispositif de complémentaire santé développé par l’association Mut’Com, qui travaille avec plusieurs centaines de communes françaises pour faciliter l’accès à une couverture santé. Lancée en 2014, cette initiative s’adresse notamment aux personnes ayant des difficultés à accéder aux offres classiques de complémentaire santé.
3,78 millions d’enregistrements et 50 344 contacts revendiqués
Dans une publication datée du 26 octobre 2026, Blackhatsect0r, associé aux pseudonymes BabidiGhost et GhostHunters, affirme avoir extrait plusieurs bases de données provenant des services informatiques associés à La Mutuelle Communale, notamment des environnements liés aux domaines lamutuellecommunale.com et crmlmc.fr.
Le groupe fournit des chiffres particulièrement importants :
- 50 344 contacts enregistrés dans le CRM ;
- 30 056 numéros de Sécurité sociale, dont 24 335 distincts selon les attaquants ;
- 71 830 devis de complémentaire santé ;
- 17 812 enregistrements d’IBAN, dont 12 153 distincts ;
- 39 140 adresses email uniques après rapprochement des bases CRM et Mailjet ;
- 37 858 numéros de téléphone distincts ;
- 527 970 notes internes ;
- 388 998 lignes de commissions liées aux activités commerciales ;
- 314 tables SQL totalisant 3 780 466 lignes.
Ces volumes proviennent du décompte annoncé par les cybercriminels et n’ont pas été intégralement vérifiés. Les différentes catégories se recoupent : il serait donc incorrect d’additionner les chiffres pour estimer le nombre de victimes.
Les échantillons contiennent de véritables fiches de personnes identifiables
Cyberattaque.org a examiné cinq extraits CSV contenant chacun 1 000 enregistrements, ainsi que plusieurs documents PDF transmis avec la revendication.
Le fichier consacré aux contacts comporte notamment les champs suivants : identité, date de naissance, adresse postale, ville, code postal, téléphone, adresse électronique, numéro de Sécurité sociale et clé associée.
Sur les 1 000 fiches examinées, toutes comportent une valeur dans le champ correspondant au numéro de Sécurité sociale, avec 980 valeurs distinctes. Cette observation confirme la présence massive de ce type d’identifiant dans l’échantillon, sans permettre d’établir que tous les numéros correspondent à des identifiants valides.
Les dates de naissance montrent également que les informations concernent différentes générations, y compris des personnes mineures.
Des RIB, des mandats SEPA et des attestations d’Assurance maladie
La partie documentaire constitue l’un des aspects les plus inquiétants de cette affaire. Blackhatsect0r annonce détenir 114 214 fichiers PDF représentant 46,6 Go, répartis dans 9 570 dossiers individuels.
Cyberattaque.org a pu consulter plusieurs documents et un index référençant 100 fichiers de l’échantillon. Les documents examinés comprennent notamment :
- Des bulletins d’adhésion à une complémentaire santé ;
- Des mandats de prélèvement SEPA comportant des coordonnées bancaires et des signatures ;
- Des relevés d’identité bancaire ;
- Des attestations de droits à l’Assurance maladie ;
- Des justificatifs de couverture santé ;
- Des courriers de résiliation et des documents administratifs ;
- Des justificatifs de retraite et des informations sur les revenus.
Certains fichiers réunissent plusieurs documents concernant une même personne, permettant de rapprocher son identité, ses coordonnées, ses informations bancaires et sa situation administrative.
Les documents examinés portent notamment des dates de 2021 et 2022. Il ne s’agit donc pas exclusivement d’informations récemment collectées : la divulgation pourrait également concerner des dossiers conservés depuis plusieurs années.
Des informations de santé sensibles apparaissent dans les justificatifs
L’analyse des documents révèle un niveau de sensibilité supérieur à celui d’une simple fuite de coordonnées personnelles.
Cyberattaque.org a notamment identifié une attestation de droits à l’Assurance maladie faisant apparaître des mentions relatives à des prises en charge pour affection de longue durée, avec les périodes de couverture associées.
D’autres documents contiennent des informations sur les garanties souscrites, les bénéficiaires, les cotisations ou les organismes intervenant dans la couverture santé.
Ces pièces peuvent ainsi révéler des éléments concernant la situation médicale ou financière de personnes directement identifiables. Cyberattaque.org ne reproduit aucun de ces documents non anonymisés afin de ne pas aggraver l’exposition des personnes concernées.
Des devis et des notes commerciales jusqu’en 2026
Les données examinées ne correspondent pas uniquement à d’anciennes archives.
Dans l’échantillon de 1 000 devis, Cyberattaque.org a identifié des enregistrements datés de 2022 à 2026, dont 49 pour l’année 2026. Certains comportent un IBAN, un BIC ou un champ relatif au numéro de Sécurité sociale du conjoint.
Le fichier des notes internes présente également des entrées datées de 2026. Ces données semblent issues d’un système de suivi commercial permettant de rattacher des commentaires à des devis ou à des comptes.
Les cybercriminels affirment posséder plus de 527 000 notes internes. Un tel volume pourrait permettre de reconstituer une partie des interactions entre les conseillers et les personnes ayant demandé une couverture santé.
La présence d’enregistrements récents ne permet cependant pas de déterminer quand l’extraction a été réalisée ni si les attaquants disposent encore d’un accès aux systèmes.
Les accès CRM et Metabase également visés
La revendication ne concerne pas seulement les dossiers des adhérents. Blackhatsect0r affirme également avoir récupéré des informations provenant de plusieurs outils professionnels.
Le groupe mentionne 123 comptes CRM accompagnés d’empreintes de mots de passe bcrypt. Ce format correspond à une méthode de protection des mots de passe et ne signifie pas qu’ils sont directement lisibles en clair.
Les attaquants revendiquent également un second export provenant de Metabase, un outil d’analyse et de visualisation de données. Ils annoncent 74 comptes, dont 13 disposant du statut de super-administrateur, ainsi que quatre bases de données référencées, 3 885 requêtes ou visualisations enregistrées et 181 tableaux de bord.
Ces éléments pourraient révéler l’organisation des outils internes et les données auxquelles certains utilisateurs étaient autorisés à accéder. Aucun élément transmis ne démontre toutefois que ces comptes administrateurs seraient encore utilisables.
Une base de prospection et près de 389 000 lignes de commissions
Le groupe indique aussi avoir récupéré des données provenant de Mailjet, un service utilisé pour les communications électroniques.
La revendication mentionne 22 921 contacts et 74 191 messages. L’échantillon Mailjet examiné par Cyberattaque.org contient bien des adresses électroniques associées à des dates de création et de dernière activité, dont certaines remontent à 2026.
Une autre extraction concerne les commissions commerciales. Les cybercriminels affirment disposer de 388 998 lignes associées notamment à des agences et courtiers, avec des coordonnées bancaires pour certains intermédiaires.
L’échantillon de commissions consulté contient des informations nominatives et des montants financiers. Il ne suffit toutefois pas à vérifier les coordonnées bancaires des 65 agences ou courtiers mentionnés dans la revendication.
10 000 euros réclamés pour l’ensemble des données
Blackhatsect0r affirme proposer à la vente l’intégralité des données revendiquées pour 10 000 euros, avec un règlement demandé en cryptomonnaie.
La publication accompagne cette annonce de messages politiques et de critiques visant les autorités françaises et leurs dispositifs de cybersécurité.
La vente proposée concerne, selon le groupe, les bases CRM, les informations commerciales, les documents PDF et les exports d’outils internes. Cyberattaque.org n’a pas pu vérifier que l’ensemble des 46,6 Go annoncés est réellement en possession des attaquants.
Une extraction de plusieurs outils, mais quel point d’entrée ?
La diversité des fichiers évoque une extraction portant sur plusieurs composants d’un environnement informatique : base relationnelle, outil CRM, service de communication électronique, plateforme d’analyse et stockage documentaire.
Une compromission d’un compte disposant de droits étendus, l’exploitation d’une vulnérabilité applicative ou l’accès à une sauvegarde pourraient expliquer la récupération d’informations aussi variées.
Mais ces scénarios restent des hypothèses. Aucun élément ne permet actuellement d’identifier le point d’entrée initial ni d’attribuer la compromission à un prestataire particulier.
Il convient également de distinguer le dispositif La Mutuelle Communale, l’association Mut’Com, les partenaires assureurs et les communes qui proposent cette couverture. La présence de documents mentionnant ces différents acteurs ne signifie pas que leurs systèmes informatiques respectifs ont été compromis.
Le risque d’usurpation d’identité particulièrement élevé
La principale menace réside dans la possibilité de rapprocher plusieurs catégories d’informations concernant une même personne.
Un fraudeur pourrait disposer simultanément du nom, de l’adresse, du numéro de Sécurité sociale, de coordonnées bancaires, d’un contrat de complémentaire santé et de documents administratifs.
Ces informations peuvent être exploitées pour des tentatives d’usurpation d’identité, de fraude documentaire ou d’hameçonnage ciblé. Un faux conseiller pourrait notamment se présenter comme un représentant de la complémentaire santé et citer des informations authentiques avant de réclamer une validation bancaire ou un document supplémentaire.
Les documents contenant des signatures et des justificatifs d’identité augmentent également les risques de réutilisation frauduleuse. La présence de données de santé ajoute une dimension particulièrement sensible à cette fuite.
Des documents authentiques dans les échantillons, une confirmation officielle attendue
Les fichiers examinés par Cyberattaque.org présentent des structures cohérentes avec des données de gestion d’adhérents. Plusieurs PDF contiennent des formulaires administratifs complétés, des documents bancaires et des justificatifs d’Assurance maladie associés au dispositif La Mutuelle Communale.
Ces éléments confirment la présence d’informations personnelles sensibles dans les échantillons diffusés, mais ils ne permettent pas à eux seuls de valider l’intégralité des volumes annoncés par Blackhatsect0r.
Au moment de notre analyse, aucune communication publique confirmant cette extraction n’a été identifiée de la part des responsables du dispositif La Mutuelle Communale. Le périmètre réel de la fuite, l’origine de l’accès et les éventuelles mesures de sécurisation restent à préciser.
Avec des numéros de Sécurité sociale, des justificatifs bancaires, des documents de santé et plusieurs années de dossiers administratifs, cette affaire représente un risque important pour les personnes dont les informations sont concernées, indépendamment de la confirmation du volume total revendiqué.
Source originale : Cyberattaque.org.
