Un individu a mis en vente une base de données qui contiendrait les identifiants de connexion à Ameli.fr (le site de l'Assurance Maladie) de plus d'un million d'assurés. Problème : son contenu est invérifiable à moins de l'acheter, et l'Assurance Maladie affirme à La Tribune n'avoir détecté aucun comportement anormal dans son système informatique. Or, un tel incident devrait logiquement laisser des traces. Explications.Halte à la précipitation ! Les identifiants de 1 million de comptes de ameli.fr, le site de l'Assurance Maladie, seraient à vendre. Cette information, repérée par le site Zataz (qui vend un service de veille sur les fuites de données) a été reprise telle quelle par plusieurs médias, notamment dans la presse spécialisée ou encore par TF1. Le problème ? Impossible de vérifier sa véracité.
Seul élément sûr de l'affaire : un individu, «très connu dans son milieu de la malveillance numérique» selon Zataz, a mis en vente une base de données qui d'après lui contient 1 million de duos nom d'utilisateur/mot de passe pour le site ameli.fr. Autrement dit, de quoi se connecter au compte Ameli d'un million d'assurés. Ces données seraient d'après le malfaiteur «entièrement fraîches et privées», c'est-à-dire jamais vues jusqu'ici, ce qui justifierait le prix du fichier : 6.000 dollars (5.705 euros environ).
Tout autre conclusion sur l'affaire relève de la spéculation, pour la bonne raison qu'aucun média n'a acheté la base de données - ce qui serait par ailleurs illégal - et qu'aucun n'en connaît donc le contenu. La base de données pourrait effectivement correspondre aux promesses du malfaiteur, tout comme contenir des données n'ayant rien à voir, ce qui est courant chez les cybercriminels.
Aucun problème détecté par l'Assurance Maladie
Contactée par La Tribune, l'Assurance Maladie explique avoir pris connaissance de cette mise en vente, mais ne pas avoir détecté d'anomalie dans ses systèmes informatiques. Ce qui est anormal si la fuite est réelle. « La fuite de données évoquée par l'article publié par le site Zataz ne correspond à aucune attaque détectée par l'Assurance Maladie au sein de ses systèmes d'information. Aucun vol de données permettant aux assurés d'accéder à leur compte Ameli n'a été décelé par nos systèmes qui supervisent les connexions à nos téléservices pour repérer les comportements anormaux. Nous ne sommes donc pas en mesure de confirmer l'exactitude des informations rapportées, qui ne correspondent pas à un constat effectué dans nos outils, ni aux remontées de signalement de la part de nos assurés», écrit-elle.
