Groupe MGEL (Mutuelle Vitalité Santé) : connexions illégitimes confirmées sur une base d'adhérents antérieure à mai 2022

Le 12 septembre 2026, un acteur utilisant le pseudonyme RedStone a mis en vente sur un forum cybercriminel des bases de données attribuées au Groupe MGEL, mutuelle nancéienne historiquement étudiante (Mutuelle Générale des Étudiants de l’Est) dont la marque Mutuelle Vitalité Santé (MVS) vise, selon Cyberattaque.org, le public non étudiant. La presse spécialisée a relayé l’annonce dès le 13 septembre, et le 16 septembre Le Big Data indiquait que le groupe n’avait rien confirmé publiquement. La confirmation est venue d’un courrier aux adhérents relayé le 6 octobre : MGEL y fait état de « connexions illégitimes » sur une base d’adhérents MGEL et MVS antérieure à mai 2022, indique y avoir mis fin, avoir notifié la CNIL et saisi les autorités judiciaires. Au 8 octobre, la page d’accueil de mgel.fr ne comportait aucune annonce.

Le point délicat tient à l’écart entre ce que MGEL reconnaît et ce que le vendeur annonce. Le courrier ne donne ni volume, ni nombre de personnes, ni vecteur, ni prestataire, tandis que RedStone revendique plus de 38,8 millions de lignes réparties dans 16 bases, dont environ 1,12 million de noms complets uniques, 685 676 numéros de téléphone et 450 806 IBAN uniques. Ces chiffres désignent des lignes ou des valeurs distinctes et non des personnes, une même personne pouvant figurer dans plusieurs tables, et Fuites Infos cite en outre 594 414 assurés revendiqués sans expliquer ce décompte : aucun nombre de personnes n’est donc retenu ici. Le statut « confirmée » porte sur l’accès illégitime à une base et sur les catégories de données exposées, non sur l’authenticité ni l’ampleur du lot annoncé, même si Cyberattaque.org et Fuites Infos jugent que les échantillons recoupent le courrier. Le « 685,7 K victimes » affiché par FrenchBreaches correspond d’ailleurs au nombre de téléphones revendiqués, non à des personnes.

La mention d’une base antérieure à mai 2022 recouvre plusieurs années d’adhésions, et il est plausible, sans que MGEL ni les sources ne le précisent, que des personnes ayant quitté la mutuelle depuis, notamment après leurs études, y figurent encore et reçoivent un courrier inattendu d’un organisme avec lequel elles n’ont plus de lien. Cette ancienneté ne réduit pas l’exposition : un numéro de Sécurité sociale ne change jamais et un IBAN reste souvent valable des années. Le même pseudonyme apparaît dans d’autres revendications de septembre, dont Doinsport, où l’éditeur a mis en cause un ancien serveur contenant des données antérieures à 2021 : le parallèle sur l’ancienneté des données mérite d’être noté, sans qu’aucune source établisse une campagne coordonnée.

Selon le courrier, les données susceptibles d’avoir été consultées comprennent l’identité, la date de naissance, l’adresse, le téléphone, le numéro de Sécurité sociale, le numéro d’adhérent, certaines coordonnées bancaires et les prestations réalisées. Une identité complète associée au NIR permet des usurpations crédibles auprès de l’Assurance maladie ou d’une mutuelle, et un IBAN rattaché à une identité suffit à un créancier malveillant pour tenter des prélèvements SEPA frauduleux. Le vendeur revendique aussi des mots de passe, des noms de médecins traitants et des comptes de lycéens que le courrier ne mentionne pas, ce dernier point n’ayant pas pu être vérifié par Cyberattaque.org ; cet écart reste à suivre, comme pour la Mutuelle Générale de Prévoyance et Solimut, touchées cet été.

MGEL affirme avoir pris les mesures nécessaires pour limiter les impacts, notifié la CNIL conformément au RGPD et saisi les autorités judiciaires, et renvoie ses adhérents à cybermalveillance.gouv.fr et à l’adresse infocyber@mgel.fr. Ce courrier reste toutefois la seule communication connue : ni sa date d’envoi, ni les dates de détection et de notification ne sont précisées, et la confirmation repose sur une capture publiée par des sites spécialisés, sans communiqué public ni relais, à notre connaissance, par la CNIL ou un média généraliste.

Pour les adhérents et anciens adhérents de MGEL et de MVS, il convient d’abord de vérifier tout courrier évoquant l’incident par les canaux officiels du groupe plutôt que par un lien reçu, car une fuite de cette nature nourrit les faux avis de sécurité. Il est utile de surveiller les relevés bancaires, de contester sans délai tout prélèvement SEPA non reconnu (la contestation d’une opération non autorisée reste possible pendant treize mois) et de demander à sa banque quelles options de blocage des prélèvements elle propose. Les faux conseillers de mutuelle ou d’Assurance maladie sont un scénario courant après ce type de fuite, un interlocuteur capable de citer un numéro de Sécurité sociale paraissant d’autant plus légitime : aucune donnée, aucun code reçu par SMS et aucune coordonnée bancaire ne doit être communiqué par téléphone, et il vaut mieux raccrocher puis rappeler le numéro du site officiel. Notre méthode de lecture d’une revendication de fuite détaille pourquoi un décompte annoncé par un vendeur ne se lit pas comme un nombre de personnes.