Cyberattaque Almerys

Oui, sans interruption. La fuite de données s'est produite chez un prestataire de tiers-payant extérieur — notre système interne n'a pas été impacté. Vous pouvez continuer à effectuer vos soins et consultations habituels et à utiliser votre carte de mutuelle.

Oui, dans les conditions habituelles. Nos outils de remboursement fonctionnent normalement. La fuite ne touche pas nos systèmes de gestion interne.

Nous comprenons que cette situation génère de l'inquiétude, et nous prenons la protection de vos données très au sérieux. Cependant, la fuite s'est produite chez un prestataire externe et nos services contractuels continuent d'être assurés normalement. Une demande de remboursement de cotisations ne serait donc pas justifiée sur le plan contractuel.

Almerys est le prestataire auquel nous avons confié la gestion du tiers-payant (optique, dentaire, audiologie, hospitalier). Ce service vous permet de ne pas avancer vos frais chez les professionnels de santé partenaires. Dans ce cadre, nous lui transmettons les données nécessaires à la prise en charge.

Après votre résiliation, vos données doivent être conservées pendant la durée légale d'extinction des prescriptions applicables aux garanties souscrites. Cette conservation vous permet, si nécessaire, de faire valoir vos droits sur des événements survenus durant votre période d'adhésion.

Vos identifiants de connexion n'ont pas été divulgués lors de cette attaque. Cependant, par mesure de précaution, nous vous recommandons vivement de modifier votre mot de passe. Choisissez un mot de passe unique et robuste, que vous n'utilisez sur aucun autre site.

Selon les informations confirmées par Almerys le 24 mai 2026, la fuite porte sur :

• Nom et prénom
• Date de naissance et rang de naissance
• Numéro de sécurité sociale
• Nom de l'organisme de complémentaire santé
• Numéro de contrat, dates de début et de fin de couverture

Les données suivantes n'ont PAS été exposées :

• Coordonnées bancaires
• Données de santé et historiques de remboursement
• Adresse postale, numéro de téléphone, adresse email

Si de nouvelles informations nous parvenaient, nous vous en informerions sans délai.

Dès la détection de l'incident, le 22 mai 2026 à 14h29, le portail de prises en charge d'Almerys a été fermé pour stopper toute exposition supplémentaire des données. Des solutions de contournement ont immédiatement été proposées aux professionnels de santé concernés.

D'après les informations confirmées le 24 mai 2026, l'attaque a été réalisée via l'usurpation d'un compte gestionnaire. Ce compte compromis a permis l'accès au portail de délivrance des prises en charge, donnant accès aux données personnelles des bénéficiaires qui y étaient référencés.

Cette fuite concerne environ 15 millions de personnes. Almerys n'a pas encore transmis la liste précise des adhérents effectivement concernés. Nous ne sommes pas en mesure de vous confirmer votre situation individuelle à ce stade, mais nous vous invitons à la plus grande prudence.

Les données bancaires n'ont pas été divulguées, et aucune donnée de santé, aucun historique de remboursement, aucune adresse postale, aucun numéro de téléphone ni adresse email ne font partie des données exposées.

Nous restons vigilants et vous informerons immédiatement si les investigations d'Almerys révèlent d'autres éléments.

Le risque principal est l'usurpation d'identité. Les données volées peuvent également servir à des tentatives de phishing (hameçonnage) ou d'accès frauduleux à vos comptes en ligne. Les pirates peuvent notamment tenter de se faire passer pour votre mutuelle afin de vous inciter à effectuer des virements, modifier des contrats ou divulguer vos identifiants.

Adoptez les bons réflexes :

• Vérifiez systématiquement l'expéditeur des emails reçus — nos domaines : @heyme.care · @mutuelle-msp.fr · @mutualp.fr · @umgp.fr
• Ne cliquez sur aucun lien et ne communiquez aucune information si vous n'êtes pas certain de l'identité de votre interlocuteur
• En cas d'appel suspect, demandez à votre interlocuteur de vous envoyer un email pour vérifier son identité
• Soyez attentif à la qualité rédactionnelle des messages reçus : une orthographe approximative ou un ton inhabituel doivent vous alerter
• Changez vos mots de passe et n'utilisez jamais le même pour plusieurs comptes
• Surveillez vos décomptes Sécurité Sociale et mutuelle, ainsi que les mouvements de vos comptes bancaires

Il n'est pas possible de donner une date précise. Les fichiers volés peuvent être exploités immédiatement ou mis de côté pour être utilisés des mois plus tard. Une vigilance permanente est donc de mise : communications reçues, tentatives de connexion à vos comptes, demandes inhabituelles à distance.

Malgré toutes les précautions mises en place par nos équipes et par nos prestataires, les techniques des cyberattaquants évoluent en permanence et personne ne peut garantir une immunité absolue.

Ce qui compte, c'est la réactivité : le portail Almerys a été fermé le 22 mai 2026 à 14h29 dès la détection de l'incident, limitant au maximum l'exposition des données. Des solutions de contournement ont été immédiatement activées pour les professionnels de santé concernés. Nous renforçons en parallèle nos exigences contractuelles de sécurité envers nos prestataires.

La fuite s'est produite chez un prestataire externe, notre système interne n'a pas été compromis. Nous avons néanmoins immédiatement :

• Renforcé les contrôles sur toutes les activités sensibles, notamment les modifications d'informations personnelles sur les contrats
• Limité les demandes de modification aux seuls canaux sécurisés : application mobile et espace personnel en ligne, afin de nous assurer que vous êtes bien à l'origine des demandes
• Effectué nos propres notifications réglementaires auprès de la CNIL et de l'ACPR

Oui. Almerys a déposé plainte le 24 mai 2026 auprès du Procureur de la République (Unité Cyber spécialisée). Une notification initiale auprès de la CNIL et une déclaration auprès de l'ANSSI seront réalisées dans les délais légaux (72 heures pour la CNIL, conformément à l'article 33 du RGPD). La mutuelle, en sa qualité de Responsable de traitement, a également effectué sa propre notification auprès de la CNIL et de l'ACPR.

Non, vous n'avez pas de formalités particulières à accomplir. La cyberattaque a été déclarée publiquement et notifiée auprès de la CNIL.

Restez cependant vigilant et signalez-nous tout mouvement suspect sur vos décomptes Sécurité Sociale ou mutuelle. Même si vos coordonnées bancaires n'ont pas été divulguées, contrôlez également régulièrement les mouvements de vos comptes bancaires.

• Vérifiez le domaine de l'expéditeur : @heyme.care · @mutuelle-msp.fr · @mutualp.fr · @umgp.fr
• Méfiez-vous des formulations approximatives, fautes d'orthographe ou logos mal reproduits
• Ne cliquez sur aucun lien et ne communiquez aucune information confidentielle en cas de doute
• En cas d'appel téléphonique suspect, demandez à votre interlocuteur de vous envoyer un email pour vérification

Rappel : la mutuelle ne vous demandera jamais vos coordonnées bancaires ou toute donnée confidentielle par téléphone, SMS ou mail.

Si vous constatez des mouvements suspects sur votre espace adhérent, modifiez immédiatement votre mot de passe. Contactez ensuite notre Déléguée à la Protection des Données (DPO) en précisant les mouvements relevés et les pièces dont vous disposez :

→ dpo@umgp.fr

Pour tout ce qui concerne votre contrat ou votre espace adhérent, contactez notre DPO :

→ dpo@umgp.fr

Pour signaler du spam, du phishing ou des arnaques ne concernant pas votre contrat, la CNIL met à votre disposition une plateforme dédiée :

→ CNIL — Spam, phishing, arnaques : signaler pour agir

Pour toute situation d'usurpation d'identité ou de cybermalveillance, consultez également la plateforme nationale :

→ cybermalveillance.gouv.fr