Pourquoi une donnée médicale vaut plus qu'un mot de passe
Un mot de passe se change en trente secondes. Un motif de consultation, une date de rendez-vous, un numéro de Sécurité sociale : non. Ces informations sont durables, intimes et vérifiables — les trois qualités qui font une bonne arnaque.
Leur valeur pour un escroc n'est pas de les revendre telles quelles. Elle est de fabriquer une légitimité. Quelqu'un qui vous appelle en citant votre caisse, votre praticien et la date exacte de votre dernier rendez-vous a franchi, en une phrase, tous les filtres de méfiance qu'on vous a appris à poser.
🔁L'inversion à comprendre
Pendant vingt ans, on a enseigné une règle simple : « vérifiez que votre interlocuteur connaît des informations que seul votre organisme peut connaître ». Les fuites massives ont retourné cette règle. Aujourd'hui, la précision d'un appel n'est plus une preuve de légitimité — c'est devenu, statistiquement, un signal d'alerte de plus.
Les quatre scénarios que ces données permettent
1. Le faux agent de l'Assurance Maladie
« Bonjour, service des remboursements. Nous avons un trop-perçu de 218 € à vous restituer suite à votre consultation du 12 juin. Je vous demande juste de confirmer votre RIB. »
Pourquoi ça marche : la date et le montant sont plausibles parce qu'ils s'appuient sur un vrai rendez-vous. La demande finale — un RIB, un code — est la seule partie fausse.
2. La fausse mutuelle
« Votre contrat arrive à échéance et votre garantie optique ne couvre plus votre dernière ordonnance. Nous vous proposons une régularisation immédiate. »
Pourquoi ça marche : la mention d'un soin réel rend le démarchage crédible, et l'échéance fabrique l'urgence qui empêche de vérifier.
3. Le chantage à l'information médicale
« Nous détenons votre dossier. Vos proches n'ont pas besoin de savoir. »
Pourquoi ça marche : c'est le scénario le plus rare mais le plus destructeur, parce qu'il exploite la honte et l'isolement plutôt que l'appât du gain. Un motif de consultation peut suffire à faire pression.
4. L'usurpation d'identité différée
Aucun contact. Vos données servent des mois plus tard, ailleurs.
Pourquoi ça marche : numéro de Sécurité sociale, état civil et coordonnées bancaires ouvrent des démarches à votre nom. C'est le scénario silencieux, celui qu'on ne détecte qu'au moment du dégât.
Ce que vous pouvez faire maintenant
Adopter la règle du rappel
Ne poursuivez jamais une conversation entrante sur un sujet sensible. Raccrochez, puis rappelez l'organisme sur le numéro figurant sur votre carte, votre contrat ou son site officiel — jamais celui donné par l'appelant, jamais le rappel automatique du journal d'appels. Un interlocuteur légitime n'a aucune raison de refuser.
Retenir ce qu'aucun organisme de santé ne demande
Ni vos identifiants de connexion, ni un code reçu par SMS, ni un virement vers un « compte sécurisé », ni une installation de logiciel à distance. Aucune exception, aucune urgence ne justifie ces demandes. C'est le seul critère fiable — parce que le reste de l'appel, lui, peut être parfaitement exact.
Changer les mots de passe réutilisés
Si des mots de passe figuraient dans la fuite, le risque immédiat n'est pas le compte concerné : c'est tous les autres où vous auriez utilisé le même. Commencez par votre messagerie — c'est elle qui permet de réinitialiser tout le reste.
Surveiller vos comptes, sans paranoïa
Si des coordonnées bancaires étaient concernées, vérifiez vos relevés pendant quelques mois. En France, vous disposez d'un délai de 13 mois pour contester un prélèvement non autorisé (8 semaines pour un prélèvement SEPA autorisé). Le remboursement est un droit, pas une faveur commerciale.
Exercer vos droits, et signaler
Auprès de l'organisme : demandez quelles données vous concernant ont été touchées — le RGPD impose d'informer les personnes concernées lorsqu'une violation présente un risque élevé pour leurs droits. En cas d'absence de réponse, vous pouvez saisir la CNIL. Pour signaler une tentative d'arnaque : cybermalveillance.gouv.fr, et 33700 pour les SMS frauduleux.
La seule règle qui résiste aux fuites
Ne jugez plus un contact sur ce qu'il sait, mais sur ce qu'il demande. L'exactitude peut être achetée ; la demande, elle, trahit toujours l'intention.
Ce qu'on ne peut pas faire, et il faut le dire
Aucune procédure ne permet de faire disparaître un fichier déjà diffusé. Aucun service ne peut vous garantir que vos données ne circulent plus. Le numéro de Sécurité sociale, en particulier, est attribué à vie et ne se change pas dans le cas général — c'est ce qui rend sa fuite définitive.
Se méfier des offres qui promettent de « supprimer vos données du dark web » : la partie vérifiable de ce service consiste à demander le déréférencement auprès de courtiers en données identifiés, ce qui est utile mais très partiel, et n'a aucun effet sur les copies déjà vendues.
Questions fréquentes
Puis-je faire supprimer mes données une fois qu'elles ont fuité ?
Non, pas des copies déjà diffusées. Une fois qu'un fichier circule sur des forums, aucune procédure ne permet de le rappeler. Vous pouvez en revanche exercer vos droits auprès de l'organisme d'origine (accès, effacement, information) et saisir la CNIL — ce qui agit sur le responsable de traitement, pas sur les copies en circulation.
Comment reconnaître un appel qui exploite mes données médicales ?
Le signal n'est pas dans l'exactitude des informations citées — un escroc qui dispose de données volées sera exact. Le signal est dans la demande : aucun organisme de santé ne vous demandera par téléphone vos identifiants, un code reçu par SMS, ou un virement vers un compte. C'est la nature de la demande qui trahit, jamais la crédibilité de l'introduction.
Dois-je changer mon numéro de Sécurité sociale ?
Ce n'est pas possible dans le cas général : le numéro de Sécurité sociale est attribué à vie et construit à partir de votre état civil. C'est précisément ce qui rend sa fuite durable, et pourquoi la protection doit être comportementale plutôt que corrective.
Pour aller plus loin
Egidio — Laboratoire des menaces, « Données de santé fuitées : que faire concrètement », egidio.app/laboratoire/donnees-sante-fuitees-que-faire/. Licence CC BY 4.0.
Réutilisation libre, y compris commerciale, avec attribution. Conditions de réutilisation.