ElegArtech
Plus
Échanger

← Gouvernance des SI

Un meuble à dossiers envoie ses dossiers par un tapis roulant vers un guichet doté d'un grand compteur éclairé ; par une fissure à l'arrière du guichet, des feuillets s'échappent en arc et retombent en tas au pied du meuble d'origine.

Gouvernance des SI · Gouvernance & transformations · · 13 min

Malakoff Humanis : la gestion se délègue, pas la fuite

Le 17 octobre 2026, au milieu d'une vague de revendications visant une vingtaine d'organisations françaises, des documents de santé d'assurés de Malakoff Humanis apparaissent sur un forum de pirates. Le groupe les rattache à une attaque subie en août par IGA, l'un de ses gestionnaires délégués (prestataires qui administrent des contrats pour le compte d'un assureur). La presse spécialisée parle de victime indirecte. Le droit des données et l'économie des contrats racontent autre chose. Une gestion se délègue, la responsabilité des données ne se délègue pas, et la sécurité est précisément la tâche qu'une délégation rend invisible.

Par Alexandre Berge · Cybersécurité · Données et information · Régulation et droit · Décision et responsabilités · Chronique

Un samedi de revendications, un incident connu depuis le 11 août

À la date du 20 octobre 2026, la séquence publique tient en quelques jours. Le samedi 17 octobre, selon L'Argus de l'assurance, qui s'appuie sur le site de recensement FrenchBreaches, un pirate se présentant sous le pseudonyme ChimeraZ annonce détenir environ 40 millions d'octets de données issues d'une base associée à Malakoff Humanis, soit quelque 16 556 enregistrements. Ce volume est celui que revendique l'attaquant. Le groupe ne l'a ni confirmé ni contesté. L'Argus y relève des noms, des dates de naissance, des détails de remboursements de soins et des informations sur des hospitalisations et des consultations. Acuité, titre de la filière optique, rapporte en reprenant l'analyse d'un site spécialisé que les fichiers comporteraient aussi des numéros de sécurité sociale, plus de 800 coordonnées bancaires (IBAN) et de nombreuses demandes de prise en charge en optique et en dentaire. Acuité date la diffusion des fichiers du dimanche 18 octobre.

La publication s'inscrit dans une série. Selon Solutions Numériques, une vingtaine d'organisations françaises ont vu des fichiers revendiqués ce même week-end, de Nomad Education à la Fédération française de tir, pour plus de 9 millions d'enregistrements d'après le décompte du fondateur de FrenchBreaches, total qui pourrait compter des doublons. Le Journal du Net décrit des publications délibérément calées sur la journée de mobilisation du 17 octobre, et note que, parmi les organisations citées, seule Malakoff Humanis avait alors reconnu une fuite.

Cette reconnaissance est venue vite. Le groupe a répondu directement sous le récapitulatif publié par le fondateur de FrenchBreaches, selon Solutions Numériques. Les données publiées renverraient à une cyberattaque visant IGA, prestataire qui gère environ 2 000 de ses assurés, incident dont il avait été informé le 11 août. Interrogé par L'Argus, le groupe indique avoir activé ses procédures, notifié la violation à la CNIL dès le 12 août, informé les autorités compétentes et les assurés concernés. Il poursuit l'analyse de l'authenticité et du périmètre des fichiers et a demandé au prestataire de renouveler ses communications auprès des personnes potentiellement touchées.

Le récit s'est fixé en deux temps. L'Argus titre sur une « victime indirecte ». Ailleurs, l'affaire se fond dans l'inventaire des fuites du week-end. À cette date, la couverture reste le fait de la presse spécialisée en assurance, en optique et en informatique.

« Victime indirecte » situe l'attaque, pas la responsabilité

Le qualificatif est exact sur le trajet de l'intrusion. Ce sont les systèmes d'IGA qui ont été visés, et rien de public ne permet d'en dire davantage sur leur configuration. Il devient trompeur dès qu'il glisse vers la responsabilité, car le règlement général sur la protection des données (RGPD) ne la répartit pas selon l'endroit où l'attaquant est entré.

Le RGPD distingue le responsable de traitement (l'organisme qui fixe les finalités et les moyens d'un traitement) du sous-traitant (celui qui traite les données pour son compte). Son article 28 impose au premier de ne recourir qu'à des sous-traitants présentant des « garanties suffisantes » et de prévoir par contrat la « réalisation d'audits, y compris des inspections ». Son article 33 lui fait notifier la violation à l'autorité de contrôle, si possible dans les 72 heures après en avoir pris connaissance, le sous-traitant devant l'avertir « dans les meilleurs délais ». Dans un scénario publié le 27 mai 2026, la CNIL rappelle que le prestataire attaqué aide ses clients sans se substituer à eux, et que l'information des personnes exposées à un risque élevé incombe aux responsables de traitement.

Rapportée à ce cadre, la chronologie déclarée par le groupe est conforme. Connaissance de l'incident le 11 août, notification le lendemain. Le silence public des deux mois suivants ne signale donc aucun manquement. Il montre autre chose. Un incident traité dans les canaux réglementaires reste confidentiel jusqu'à ce que l'attaquant décide de le rendre public, et ce jour-là il arrive sous le nom du donneur d'ordre. Le périmètre est marginal à l'échelle du groupe, autour de 2 000 assurés selon lui. L'exposition, elle, porte sur la marque d'un groupe de protection sociale de premier plan, et le moment a été choisi, d'après le Journal du Net, pour peser sur une journée de mobilisation. Un détail en dit plus long encore. Pour reprendre contact avec les personnes concernées, le groupe passe par son prestataire. La relation avec l'assuré, comme les données, transite par le délégataire.

Dans une délégation, la sécurité est la tâche qui ne se compte pas

Le contrat qui lie Malakoff Humanis à IGA n'est pas public, et cette chronique ne lui prête aucun contenu. Un cadre de l'économie des organisations permet en revanche de lire la structure commune à toute délégation de gestion.

Bengt Holmström et Paul Milgrom ont formalisé en 1991 la relation principal-agent multitâche (un mandant confie à un mandataire plusieurs tâches dont certaines se mesurent mal). Leur résultat central, énoncé dès la page 25 de leur article, tient en une idée. L'intérêt d'inciter fortement à une activité diminue à mesure qu'il devient difficile de mesurer la performance dans les autres activités qui se disputent le temps et l'attention de l'agent. Une incitation puissante sur ce qui se compte détourne l'effort de ce qui ne se compte pas.

Un gestionnaire délégué en assurance santé cumule plusieurs tâches. Traiter les remboursements, tenir les délais et répondre aux assurés produisent des indicateurs observables (volumes, délais de paiement, réclamations). Protéger les pièces justificatives, relevés et coordonnées bancaires qui transitent par ses messageries et ses serveurs produit surtout un non-événement, invisible tant qu'il dure. Le modèle prédit que, dans une telle relation, l'attention glisse vers ce que le tableau de bord récompense, sans intention de quiconque.

Les auteurs traitent aussi le cas d'un actif qui appartient au mandant et dont la valeur se mesure mal. Les données des assurés en sont un exemple pur. Leur valeur se dégrade à chaque faille sans apparaître dans aucun reporting avant la fuite. Holmström et Milgrom indiquent enfin une autre voie lorsque la performance de l'agent est difficile à évaluer. « Constraints are substitutes for performance incentives » (les contraintes se substituent aux incitations à la performance), écrivent-ils page 27. Les clauses de sécurité et les audits prévus par l'article 28 du RGPD relèvent de cette catégorie. Une contrainte n'a cependant d'effet que si elle est exercée, et rien ne garantit qu'un périmètre de quelques milliers d'assurés reçoive l'attention d'audit que son volume ne justifie pas.

Le principal-agent multitâche (Holmström et Milgrom, 1991)

Bengt Holmström et Paul Milgrom, « Multitask Principal-Agent Analyses: Incentive Contracts, Asset Ownership, and Job Design », The Journal of Law, Economics, and Organization, vol. 7, numéro spécial, 1991, p. 24 à 52. Le modèle part d'un agent qui répartit son effort entre des tâches inégalement mesurables et en déduit la forme optimale des contrats, de la propriété des actifs et de la conception des postes. Sa conséquence la moins citée est organisationnelle. Les auteurs montrent que chaque tâche gagne à relever d'un seul agent, une responsabilité conjointe n'étant jamais optimale dans leur modèle. Une tâche partagée entre deux parties est une tâche que chacune peut supposer tenue par l'autre.

En 2024, la brèche passait déjà par un prestataire du groupe

L'affaire n'a rien d'un accident isolé, et le précédent le plus proche concerne le même groupe. Le 1er février 2024, Le Monde Informatique rapporte qu'une cyberattaque contre Viamedis, opérateur de tiers payant (intermédiaire qui règle directement les professionnels de santé pour le compte des complémentaires), expose des données d'assurés de Malakoff Humanis. Le groupe précisait alors que les coordonnées bancaires, les données médicales et les historiques de remboursement ne figuraient pas sur la plateforme touchée. Le 7 février, la CNIL annonce une enquête sur les violations subies par Viamedis et Almerys et chiffre à plus de 33 millions le nombre de personnes concernées, pour des données d'état civil, de date de naissance, de numéro de sécurité sociale, de nom de l'assureur et de garanties souscrites. Next précise le lendemain que Viamedis est une filiale du groupe et gère le tiers payant de 84 complémentaires santé.

Le communiqué de la CNIL posait déjà la règle qui structure l'affaire de 2026. Il revenait à chacune des complémentaires clientes « d'informer individuellement et directement l'ensemble des personnes concernées ». L'intrusion frappait deux prestataires, les obligations retombaient sur des dizaines de donneurs d'ordre. À la date du 20 octobre 2026, aucune décision de la CNIL clôturant cette enquête n'a été trouvée dans les sources consultées.

L'échelle oppose les deux épisodes, la structure les rapproche. En 2024, un tiers de grande taille agrégeait les données de dizaines d'organismes, et son incident révélait une concentration du risque. En 2026, un tiers de petite taille gère une fraction marginale des assurés d'un grand groupe, et son incident révèle une dispersion du risque. Les catégories que le groupe tenait hors de la plateforme touchée en 2024 (remboursements, informations médicales, coordonnées bancaires) sont précisément celles que la presse spécialisée décrit dans les fichiers revendiqués en 2026. Dans les deux cas, la sécurité du maillon délégué fixe celle de la chaîne, et le donneur d'ordre ne maîtrise ni le moment ni la forme de la révélation. La chronique du 12 octobre consacrée à la Région Hauts-de-France et à ses prestataires Atexo et Docaposte décrivait la même responsabilité qui reste au donneur d'ordre, côté collectivité.

Partout où la gestion est déléguée, la sécurité perd son propriétaire

Le mécanisme se décrit sans la marque. Une organisation confie l'exécution d'un processus à un tiers et garde la responsabilité juridique et réputationnelle des données qu'il manipule. Le tiers est piloté sur ce qui se mesure. La protection des données reste formellement l'affaire des deux et pratiquement celle d'aucun, à rebours du principe d'unité de responsabilité dégagé par Holmström et Milgrom.

Trois conditions favorisent sa reproduction. La première est la multiplication des délégations de petite taille, chacune trop modeste pour peser dans un plan d'audit, chacune assez sensible pour faire un titre. La deuxième est un pilotage contractuel centré sur la production (délais, coûts unitaires, qualité de service), sans indicateur de sécurité suivi au même rythme. La troisième est la circulation de pièces sensibles par les canaux ordinaires du tiers, messageries et espaces de dépôt, hors des systèmes du donneur d'ordre.

Ces conditions ne sont pas propres à la protection sociale. Une banque et ses apporteurs d'affaires, une collectivité et les éditeurs de ses téléservices, un industriel et son centre de services partagés vivent la même configuration dès que la donnée personnelle sort de leur périmètre technique. Les signes en sont observables. La liste des délégataires tenue par les achats ne coïncide pas toujours avec le registre des traitements. Les audits se concentrent sur les plus gros prestataires. Les incidents des plus petits remontent par le prestataire lui-même, ou par l'attaquant.

Grille de lecture

  1. Combien de tiers traitent, pour le compte de l'organisation, des données de clients, d'usagers ou d'assurés, et cette liste est-elle identique dans le registre des traitements et dans le référentiel des achats ?
  2. Quelle part de ces tiers a fait l'objet d'un audit de sécurité au cours des deux dernières années, et cette part varie-t-elle avec la taille du contrat ?
  3. Quels indicateurs du tableau de bord de chaque délégataire portent sur la sécurité, et à quelle fréquence sont-ils revus au regard des indicateurs de délai et de coût ?
  4. Lors des derniers incidents survenus chez un tiers, par qui l'organisation en a-t-elle été informée, et combien de temps après les faits ?
  5. Qui, nommément, répond de la sécurité des données confiées à chaque délégataire, du côté de l'organisation comme du côté du prestataire ?

Victime indirecte d'une attaque, responsable direct d'une architecture

Malakoff Humanis a bien été touché par ricochet. L'attaque visait IGA, et la chronologie déclarée par le groupe montre des obligations de notification exécutées dans les délais. La formule de victime indirecte décrit pourtant le trajet de l'intrusion, pas l'architecture qui l'a rendue coûteuse. La gestion se délègue, la fuite revient au donneur d'ordre, et le modèle de Holmström et Milgrom explique pourquoi la tâche la moins mesurable d'une délégation est la première à s'éroder.

Deux indicateurs observables de l'extérieur diront si l'épisode modifie la gouvernance ou s'il reste rangé parmi les incidents de prestataire. Le premier est la prochaine publication annuelle du groupe, qui montrera si la gestion déléguée et le contrôle des délégataires figurent parmi les risques qu'il suit. Le second est une décision publique de la CNIL, qu'elle clôture l'enquête ouverte en février 2024 sur Viamedis et Almerys ou qu'elle vise IGA ou le groupe. Si, au 30 juin 2027, aucun de ces signaux n'est apparu, l'incident sera resté dans le canal confidentiel où il était entré le 12 août, jusqu'à ce qu'un pirate l'en fasse sortir.

Note méthodologique

Les faits reposent sur la presse spécialisée en assurance (L'Argus de l'assurance, Acuité) et en informatique (Solutions Numériques, Journal du Net, Le Monde Informatique, Next), sur les déclarations du groupe rapportées par ces titres, sur deux publications de la CNIL et sur le texte du RGPD publié sur EUR-Lex. Le lien entre les fichiers publiés et l'attaque contre IGA est présenté comme établi parce que le groupe l'a reconnu publiquement. Volumes, contenus des fichiers et IBAN relèvent de la revendication de l'attaquant ou d'analyses tierces et sont attribués comme tels. L'Argus date la revendication du 17 octobre, Acuité la diffusion du 18, et les deux dates sont conservées pour ce qu'elles désignent. L'absence de décision de la CNIL sur Viamedis et Almerys est bornée à sa liste des sanctions (mise à jour du 14 avril 2026) et à la presse consultée au 20 octobre 2026. Le choix du principal-agent multitâche comme cadre central relève de l'auteur. Faits arrêtés au 20 octobre 2026. Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Documents des autorités et textes officiels

Presse

Cadre théorique

Parallèle historique

Derniers articles

Gouvernance des SI