Mutuelle MGEL : un pirate revendique 450 000 IBAN

Un IBAN seul ne vide pas un compte. Associé à un nom, une date de naissance, un téléphone et au nom de votre mutuelle, il permet en revanche un appel très convaincant.

C’est ce genre d’assemblage qu’un vendeur signant « RedStone » dit détenir. Le 12 septembre 2026, il a mis en vente sur un forum cybercriminel des bases présentées comme celles du groupe MGEL, mutuelle nancéienne des étudiants, alternants et jeunes actifs. Nous ne consultons ni ces forums ni les fichiers : ce qui suit repose sur trois traqueurs de fuites qui ont examiné l’annonce et ses échantillons.

Ce qui est revendiqué

Selon Fuites Infos, cyberattaque.org et FrenchBreaches, le vendeur annonce 16 bases, 387 tables et 38,8 millions de lignes, dont 450 806 IBAN uniques, 603 845 adresses électroniques et 685 676 numéros de téléphone. Cyberattaque.org fait état d’une vente à partir de 500 dollars.

Les catégories décrites dépassent le fichier client ordinaire : identité, adresse, date de naissance, coordonnées bancaires, virements et remboursements, identifiants de connexion. Les trois sources mentionnent aussi des tables liées à la sécurité sociale et au médecin traitant. FrenchBreaches évoque des données de lycéens, avec l’établissement ou la profession des parents. Mutuelle Vitalité Santé, marque du groupe pour le public non étudiant, serait aussi concernée.

Sur les mots de passe, les versions divergent : « en clair » ou en empreintes SHA-256 selon le vendeur, codes numériques lisibles selon cyberattaque.org, en partie hachés selon Fuites Infos. Le vendeur dit enfin avoir exploité une injection SQL en une trentaine de minutes et soutient que la faille resterait ouverte. Rien ne permet de le vérifier.

Ce que personne n’a confirmé

Au 14 septembre, nous n’avons trouvé ni communiqué du groupe MGEL, ni message sur son site, ni article de presse générale ou régionale. Fuites Infos classe l’alerte « revendiquée (non vérifiée) », FrenchBreaches « revendiquée (crédible) » sans dire ce qui fonde ce qualificatif. Tous deux reconnaissent que l’authenticité des données n’est pas établie.

Nous n’affirmons donc pas que la MGEL a été piratée. Un fichier est vendu sous son nom, et cyberattaque.org rappelle qu’il pourrait provenir d’un ancien système ou d’un prestataire.

Même le nombre de victimes flotte : 685 700 chez FrenchBreaches (à peu près le nombre de téléphones revendiqués), 594 414 assurés chez Fuites Infos. Aucun chiffre ne vient de la mutuelle. Ces écarts sont la règle, comme nous l’avons montré dans ce qu’une alerte de fuite ne dit pas.

Un point d’histoire rend plausible la présence de données anciennes. Jusqu’au 31 août 2019, les mutuelles étudiantes géraient la sécurité sociale des étudiants, régime supprimé par la loi du 8 mars 2018 (article 11), et cyberattaque.org signale des bases remontant aux années 2010. D’anciens adhérents devenus salariés pourraient donc y figurer.

Un précédent confirmé en août

Le 18 août 2026, la Mutuelle Générale de Prévoyance confirmait à l’Agence Radio France l’extraction de données d’adhérents, IBAN compris, via un prestataire technique. Plainte, enquête, CNIL et ACPR informées. Elle rappelait ne jamais demander de mot de passe ni de coordonnées bancaires par téléphone, SMS ou courriel.

Ce que ces données permettent

Les Clés de la banque, site pédagogique de la Fédération bancaire française, le dit simplement : « l’Iban seul ne permet pas de débiter directement un compte ». Avec une identité et une adresse, il sert pourtant à falsifier un mandat de prélèvement ou à souscrire un abonnement au nom d’autrui.

Le scénario le plus coûteux reste le faux conseiller bancaire. Il connaît votre nom, votre date de naissance, votre IBAN. Il signale une opération suspecte et vous fait « valider l’annulation » dans votre application. Ce que vous validez, c’est le virement.

L’IA n’invente pas ces escroqueries, elle en fait tomber le coût. Un modèle de langage transforme un fichier structuré en milliers de SMS personnalisés, sans faute, dans le ton d’une mutuelle, comme nous l’avons décrit à propos des données fiscales volées à la DGFiP. « Régularisation de votre cotisation étudiante » : pour un adhérent de vingt ans, rien ne sonne faux.

Si vous êtes ou avez été adhérent

• Changez le mot de passe de votre espace adhérent, et partout où vous l’aviez réutilisé : c’est ainsi qu’une fuite devient la prise de contrôle d’une messagerie.
• Consultez vos comptes au moins chaque semaine et demandez à votre banque si elle propose une liste blanche ou noire de créanciers.
• Un prélèvement jamais autorisé se signale à la banque au plus tard 13 mois après le débit (Code monétaire et financier, article L. 133-24). Un prélèvement SEPA autorisé se rembourse sans condition pendant 8 semaines (articles L. 133-25 et L. 133-25-1).
• Aucune banque ne fait valider une opération pour l’annuler. Raccrochez, rappelez le numéro inscrit au dos de votre carte.
• Un SMS douteux se transfère au 33700. Parents d’un lycéen adhérent : un message peut citer l’établissement de votre enfant.

Pour une organisation : « une trentaine de minutes »

Si l’injection SQL se confirme, la faille n’a rien d’exotique : l’injection figure au Top 10 de l’OWASP, la liste de référence des risques applicatifs. La vraie question est ailleurs : qui teste encore les applications anciennes qu’une organisation laisse en ligne ?

Si une violation est établie, notification à la CNIL sous 72 heures lorsqu’un risque existe (RGPD, article 33), information des personnes si le risque est élevé (article 34). Les données de santé relèvent d’un régime renforcé (article 9), et garder des bases d’anciens adhérents sans finalité heurte la limitation de conservation (article 5.1.e). Si l’origine est un sous-traitant, on retrouve le schéma du prestataire, maillon faible.

Reconnaître un faux conseiller avant de valider quoi que ce soit est l’objet de notre formation Cybersécurité pour tous ; nos autres parcours sont sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Un geste à faire aujourd’hui, adhérent ou non : enregistrez le numéro de votre banque dans votre téléphone, sous un nom choisi par vous. Le jour où « votre conseiller » appellera, vous saurez qui rappeler.

Sources

• Fuites Infos, « MGEL : fuite de données revendiquée visant 594 414 assurés », 12 septembre 2026.
• Cyberattaque.org, « Groupe MGEL visé par une cyberattaque », et FrenchBreaches, « Groupe MGEL : un pirate revendique une fuite de données avec 450 000 IBAN », 13 septembre 2026.
• Site du groupe MGEL, consulté le 14 septembre 2026.
• Franceinfo (Agence Radio France), sur la Mutuelle Générale de Prévoyance, 18 août 2026.
• Les Clés de la banque, « Fuite de données, piratage, vol d’IBAN : que faire ? », 18 août 2026.
• Assurance Maladie, fin du régime étudiant de sécurité sociale, 8 juillet 2019 ; loi n° 2018-166 du 8 mars 2018, article 11.
• Code monétaire et financier, articles L. 133-24, L. 133-25 et L. 133-25-1 ; RGPD, articles 5, 9, 33 et 34.
• Cybermalveillance.gouv.fr, « Violation ou fuite de données personnelles, que faire ? », mise à jour du 26 août 2026 ; 33700.fr (signalement des SMS indésirables).