Mutuelle Générale de Prévoyance : près de 198 000 adhérents et 133 000 IBAN exposés

La Mutuelle Générale de Prévoyance, qui compte environ 480 000 adhérents, a reconnu le 19 août 2026 avoir subi une intrusion informatique, douze jours après la mise en vente d’un fichier lui étant attribué par un acteur agissant sous le pseudonyme « yiranet ». La mutuelle indique avoir détecté l’incident autour du 10 août et avoir informé individuellement les adhérents concernés à partir du 17 août, avant de communiquer publiquement.

L’analyse du fichier revendiqué décrit deux tables issues d’un système de gestion : l’une regroupant les informations d’adhérents (identité, date de naissance, adresse postale, coordonnées, identifiants internes), l’autre les coordonnées bancaires, avec le nom du titulaire du compte et l’IBAN complet. Les décomptes après dédoublonnage donnent 198 127 identités distinctes et 133 018 IBAN uniques, soit environ 40 % du portefeuille d’adhérents. La mutuelle précise que les dossiers médicaux, les demandes de remboursement et les garanties santé n’ont pas été touchés, ce que les échantillons examinés confirment.

L’absence de données de santé ne rend pas l’incident anodin. La combinaison d’une identité complète, d’une adresse et d’un IBAN valide constitue le matériau de base de la fraude au mandat de prélèvement SEPA : un prélèvement frauduleux peut être présenté sans autre vérification, à charge pour la victime de le contester ensuite auprès de sa banque. Cette combinaison alimente aussi des scénarios d’ingénierie sociale crédibles, un interlocuteur capable de citer le nom de la mutuelle, le numéro d’adhérent et les coordonnées bancaires inspirant naturellement confiance.

La mutuelle a déposé plainte contre X, une enquête judiciaire est ouverte, et l’incident a été porté à la connaissance de la CNIL comme de l’ACPR. La piste retenue par la MGP est celle d’un prestataire technique ayant servi de porte d’entrée, sans qu’aucun élément public ne permette encore de l’identifier ni de dater précisément l’extraction. Les adhérents concernés ont intérêt à activer les alertes de leur banque sur les prélèvements, à contester sans délai tout débit inconnu (le droit au remboursement d’un prélèvement SEPA non autorisé s’exerce dans un délai de treize mois) et à se méfier de tout appel prétendument émis par la mutuelle qui demanderait une confirmation de coordonnées bancaires. Cet incident s’inscrit dans une série qui a touché le secteur mutualiste en quinze jours, aux côtés de la fuite revendiquée chez Solimut Mutuelle de France.