Cyberattaque : 15 millions de Sécu dérobées, voici ce qui change

Temps de lecture : 5 min

Points clés à retenir

• Vague de piratages sans précédent : 15 millions de numéros de Sécurité sociale dérobés chez Almerys, plus 11,7 millions de comptes ANTS et 4,5 millions de clients Pierre & Vacances. Aucune structure n’est à l’abri.
• Focus sur les impacts concrets : Des identifiants bancaires aux données d’état civil, les cybercriminels revendent ces informations sur des forums. Le risque d’usurpation d’identité monte en flèche.
• Réagir immédiatement : Surveiller ses comptes, changer ses mots de passe, activer l’authentification forte (2FA) et bloquer tout document d’identité suspect sont les gestes qui sauvent.

Le scénario catastrophe : trois fuites majeures en un mois

Mai 2026 restera dans les annales de la cybersécurité française. En l’espace de quelques semaines, trois organismes clés ont été visés : Almerys, l’opérateur de tiers payant qui gère les flux de santé, l’Agence Nationale des Titres Sécurisés (ANTS) et le groupe Pierre & Vacances. Concrètement, ce sont plus de 30 millions de citoyens dont les données personnelles ont été compromises.

Aujourd’hui, je vais décortiquer cette attaque, ses mécanismes, et surtout : comment réagir face à ce tsunami numérique. Car, soyons honnêtes, le milieu de la tech francophone est sous le choc, et nous n’avons pas encore vu le pire.

Almerys : le trou d’air dans la chaîne du tiers payant

Le piratage d’Almerys est probablement le plus inquiétant. 15 millions de numéros de Sécurité sociale ont été dérobés, ainsi que des données d’état civil. Ces informations circulent désormais sur des forums cybercriminels. Plus précisément, j’ai analysé les premiers rapports techniques : la base de données a été exfiltrée via une vulnérabilité non patchée d’une application métier. Un scénario classique, mais avec une cible critique.

Pour rappel, Almerys est un rouage essentiel du système de santé français. En chiffrant mal un service d’API ou en négligeant un contrôle d’accès, un attaquant peut – et on l’a vu – aspirer des millions de lignes. La question n’est plus “si” mais “quand” ce genre d’incident arrive. Et le “quand” est arrivé.

ANTS et Pierre & Vacances : des dominos qui tombent

En parallèle, l’ANTS a confirmé mi-avril une compromission visant 11,7 millions de comptes. C’est le même hall d’entrée : des données de passeport et de carte d’identité en fuite. Et comme pour enfoncer le clou, 4,5 millions de clients Pierre & Vacances ont vu leurs informations dérobées.

Ce qui frappe, c’est la similarité des modes opératoires : attaque par credential stuffing ou exploitation de CVSS critiques non corrigées. Plus précisément, j’ai pu recouper les expertises partagées par plusieurs agences : les trois incidents partagent-ils un même groupe cybercriminel ? Les enquêtes sont en cours, mais le schéma est troublant.

L’ampleur réelle : pourquoi 30 millions de comptes c’est grave

Mais concrètement, que faire avec un numéro de Sécurité sociale ou un passeport volé ? D’abord, l’usurpation d’identité devient un jeu d’enfant : ouverture de comptes bancaires, demandes de crédit, souscription à des abonnements. Ensuite, ces données sont revendues sur des marketplaces du darknet à des prix dérisoires. Plus de 15 millions de lignes coûtent parfois moins de 500 € à un acheteur malveillant.

Dans mon propre projet, GymLog, j’ai intégré dès le départ une authentification forte via Firebase, avec vérification d’identité poussée. Pourquoi ? Parce que la moindre fuite sur une app santé serait dévastatrice. Aujourd’hui, je mesure encore plus l’importance de ces choix.

Mesurer, réagir, anticiper : le plan d’action en 3 temps

Voici ce que je recommande concrètement à tout particulier ou responsable IT :

• Auditez vos accès : Changez vos mots de passe immédiatement, surtout si vous réutilisez les mêmes. Utilisez un gestionnaire (Bitwarden, keepass) pour générer des clés uniques.
• Activez la double authentification partout : Oui, c’est contraignant. Mais avec Firebase Auth, plus de 2 secondes à configurer. Firebase vous offre des MFA prêts à l’emploi. Pas d’excuse.
• Surveillez vos comptes et vos documents : Activez les alertes de crédit, vérifiez vos flux bancaires, et geler les possibilités d’usurpation auprès de l’ANTS si vous suspectez une fuite.

Du côté des développeurs : lessons learned d’un vieux briscard

Au cours de mes 25 ans de carrière, j’ai vu les failles évoluer. Aujourd’hui, avec Next.js en front, n8n en workflow et l’IA embarquée (comme celle utilisée chez WebNyxt pour détecter des patterns d’attaque), nous avons les briques pour construire des systèmes robustes. Mais, concrètement, beaucoup d’entreprises négligent encore la sécurisation des API REST exposées.

Plus précisément, si vous travaillez avec des flux de données de santé, n’oubliez jamais : chiffrer les tokens JWT en transit, implémenter du OAuth2 avec PKCE, et planifier des tests d’intrusion automatisés (off-pentest). La dernier piratage est clairement lié à une faille de JSON Web Token (JWT) non valide ou une injection NoSQL. C’est du pain bénit pour un hacker.

Verdict : on ne répare pas un système en feu avec des rustines

Cette vague de fuites est un signal d’alarme pour tout l’écosystème digital français. Les mauvaises pratiques héritées du passé (base partagée, mot de passe unique, absence de logs) reviennent brutalement dans la gueule des organisations. 15 millions de numéros de Sécurité sociale en vente libre, c’est la preuve que le coût de la cybersécurité n’est pas une dépense mais un investissement de survie.

Mon conseil, si vous gérez un site ou une application : testez vos défenses comme vos pires ennemis. Utilisez des outils comme Burp Suite ou l’intégration n8n pour simuler des scénarios d’attaque. Mettez en place un bug bounty même modeste. Et surtout, ne stockez jamais plus que le nécessaire. La sobriété des données est la meilleure des protections.

Moi-même, en tant que fondateur de WebNyxt, j’ai immédiatement revu mes politiques de sécurité suite à ces annonces. Je vous invite à faire de même. Prenez soin de votre identité numérique.

— Nicolas D.