Solimut Mutuelle de France fait l’objet d’une revendication de fuite de données particulièrement importante publiée par le hacker misere. Ce 23 août, vers 20h, le groupe Solimut confirme sur son site et sur Linkedin, avoir subi une cyberattaque. Le cybercriminel affirme avoir récupéré une copie complète de la base de données des adhérents, comprenant notamment des informations d’identité, des coordonnées bancaires, des numéros de sécurité sociale et des données liées aux contrats.
Parmi les volumes annoncés figurent notamment 1 244 445 assurés, 770 467 comptes bancaires, plus de 1,38 million de fiches individuelles et environ 1,08 million de déclarations sociales DSN. Le hacker affirme que les données ont été extraites cette semaine.
Solimut, une mutuelle française de santé
Solimut Mutuelle de France est un acteur français de la complémentaire santé et de la protection sociale. La mutuelle gère à ce titre d’importants volumes d’informations sur ses adhérents, bénéficiaires, contrats et relations avec les professionnels ou organismes partenaires.
Près de 35 000 lignes déjà publiées
Cyberattaque.org s’est procuré les échantillons diffusés par misere. Ils se présentent sous la forme de 35 fichiers CSV contenant chacun 1 000 lignes et couvrent de nombreuses tables de la base revendiquée.
- données d’identité et historique des individus ;
- adresses et coordonnées de contact ;
- informations sur les adhérents et bénéficiaires ;
- données bancaires associées aux comptes ;
- informations issues de déclarations sociales DSN ;
- données relatives aux contrats et prestations ;
- prospects et tiers ;
- données techniques et historiques d’affiliation ;
- tables liées à AGIRA et différentes opérations de gestion.
Les noms des tables obtenues montrent notamment la présence de fichiers consacrés aux comptes bancaires, salariés, bénéficiaires, adresses, affiliations et contrats. Nous ne reproduisons volontairement aucune donnée personnelle issue de ces fichiers.
NIR, IBAN et identité complète dans les mêmes dossiers
Selon misere, certaines tables contiennent des numéros de sécurité sociale (NIR), des dates de naissance, téléphones, e-mails, adresses, professions et coordonnées bancaires. Le hacker revendique également 228 070 fiches regroupant dans un même enregistrement identité, NIR, date de naissance, téléphone, e-mail et IBAN.
Ce croisement constitue l’un des aspects les plus préoccupants de la fuite. Un NIR est une donnée d’identification particulièrement sensible et, lorsqu’il est associé à une identité complète et à des informations bancaires, il peut considérablement faciliter certaines formes d’usurpation d’identité ou de fraude administrative.
Près de 3 millions d’enregistrements d’adresses revendiqués
Le hacker annonce également 2 989 149 enregistrements d’adresses et près de 2,99 millions d’entrées d’historique d’identité. Ces volumes ne correspondent pas nécessairement à autant de personnes distinctes : un même adhérent peut apparaître plusieurs fois dans les historiques ou disposer de plusieurs adresses successives.
Des données de salariés et de bénéficiaires également concernées
Le périmètre revendiqué dépasse les seuls adhérents. La base comprendrait également des informations issues de déclarations sociales DSN, avec des données relatives aux employeurs et salariés, ainsi que des tables consacrées aux bénéficiaires, y compris potentiellement des enfants.
Les fichiers obtenus par Cyberattaque.org montrent effectivement la présence de tables consacrées aux salariés, aux bénéficiaires, aux affiliations et aux historiques de contrats, ce qui donne à cette fuite une portée particulièrement large.
Un risque majeur de fraude et de phishing ciblé
Avec des identités complètes, coordonnées, NIR, données bancaires et informations contractuelles, les personnes disposant de cette base pourraient construire des campagnes de phishing extrêmement crédibles en se faisant passer pour la mutuelle, un professionnel de santé ou un organisme administratif.
Un IBAN ne permet pas à lui seul de vider un compte bancaire, mais son association avec une identité complète et d’autres informations personnelles augmente fortement les possibilités de fraude, notamment autour des prélèvements, des changements de coordonnées bancaires ou de l’usurpation d’identité.
Des échantillons qui donnent du poids à la revendication
Les 35 échantillons de 1 000 lignes obtenus par Cyberattaque.org permettent de constater la diversité et la sensibilité des tables actuellement revendiquées. Ils ne suffisent pas à vérifier indépendamment chacun des volumes annoncés par misere, mais donnent un poids important à la revendication concernant la base de Solimut.
À ce stade, le hacker revendique donc une fuite couvrant plus d’un million d’assurés et un ensemble particulièrement riche de données personnelles, sociales et bancaires. Le périmètre pourrait en faire l’une des fuites les plus sensibles récemment observées dans le secteur français de la complémentaire santé.
Solimut confirme la cyberattaque, ZeroBytes affirme que la faille reste exploitable
Solimut Mutuelle de France confirme désormais officiellement avoir été victime d’une cyberattaque ayant entraîné une violation de données personnelles. Dans un communiqué publié ce dimanche 23 août 2026, la mutuelle indique avoir identifié l’intrusion dans la matinée et affirme que ses équipes ont rapidement isolé l’incident et mis un terme à l’accès détecté.
Solimut précise que les investigations se poursuivent afin de déterminer précisément le périmètre des données concernées. La mutuelle a également indiqué avoir informé l’Autorité de contrôle prudentiel et de résolution (ACPR) et prévoit une notification auprès de la CNIL dans les délais réglementaires. Elle appelle par ailleurs ses adhérents à la vigilance face aux éventuelles sollicitations frauduleuses par e-mail ou téléphone.
De son côté, le hacker d’Intermarché et du fisc, ZeroBytes apporte sur X des éléments beaucoup plus précis sur l’ampleur supposée de l’exfiltration. Il n’est pourtant pas le hacker à l’origine de la revendication initiale de la fuite concernant Solimut. Il affirme néanmoins qu’une vulnérabilité de type injection SQL (SQLi) aurait permis d’extraire 4 401 062 lignes.
Selon les informations publiées par ZeroBytes, ces données comprendraient notamment 779 750 IBAN ainsi que 1 366 638 NIR, le numéro d’inscription au répertoire communément associé au numéro de sécurité sociale. Ces chiffres n’ont, à ce stade, pas été confirmés publiquement par Solimut.
Plus préoccupant encore, ZeroBytes affirme que la vulnérabilité utilisée demeure toujours exploitable à l’heure où il communique. Une affirmation qui contraste avec le communiqué de Solimut indiquant avoir « isolé et mis un terme à l’intrusion ». Il reste donc à déterminer si l’accès initial a effectivement été neutralisé tout en laissant subsister la vulnérabilité à l’origine de la compromission, ou si les informations publiées par ZeroBytes ne reflètent plus l’état actuel des systèmes.
