Ce qui a fuité, exactement
La MGP a confirmé les 19 et 20 août 2026 avoir été victime d'une cyberattaque, déposé plainte, et notifié individuellement ses adhérents concernés. L'intrusion visait un prestataire technique, pas la mutuelle elle-même. Détail complet et sources : notre dossier MGP.
| IBAN uniques | 133 018 |
|---|---|
| Identités complètes | 198 127 |
| Numéros de téléphone | 45 771 |
| Adresses e-mail | 24 489 |
✅Ce qui n'a pas fuité
Selon la MGP : aucune donnée de santé, aucune coordonnée de carte bancaire, aucune copie de pièce d'identité, aucun mot de passe. C'est important à savoir précisément — parce que la peur qu'on ne sait pas nommer est celle qui fait accepter n'importe quel « appel de sécurisation ».
Ce qu'un IBAN permet — et ce qu'il ne permet pas
Commençons par ce qui est faux. Un IBAN seul ne permet pas de vider votre compte. Il ne donne aucun accès à votre banque en ligne, ne permet aucun virement sortant, ne remplace aucune authentification. Un IBAN est fait pour être communiqué : il figure sur chaque facture que vous réglez, chaque bulletin de salaire que vous recevez.
Le risque réel est double, et le second est de très loin le plus sérieux.
Risque technique : le prélèvement SEPA frauduleux
Avec un IBAN et une identité, un escroc peut tenter de faire émettre un prélèvement. C'est le risque le plus visible — et paradoxalement le mieux couvert : un prélèvement non autorisé se conteste et se rembourse, c'est un droit (voir plus bas).
Risque réel : votre IBAN devient une preuve d'identité
Un interlocuteur qui vous récite votre nom, votre mutuelle et les quatre derniers caractères de votre IBAN a franchi, en une phrase, tous les filtres de méfiance qu'on vous a appris à poser. Ce n'est plus une fuite de données : c'est un kit de crédibilité vendu à quelqu'un qui va vous appeler.
🔁Un mot de passe se change en trente secondes. Un IBAN, non.
Techniquement, un IBAN se change — il suffit d'ouvrir un autre compte. En pratique, cela signifie mettre à jour votre salaire, vos impôts, votre énergie, votre téléphonie, vos assurances, vos abonnements. Presque personne ne le fait. C'est exactement ce qui rend cette fuite durable : la donnée reste valable des années.
Les quatre appels qui vont suivre
Chacun s'appuie sur un mécanisme documenté dans la Grammaire de la Manipulation.
1. Le faux conseiller MGP — « nous vous appelons suite à l'incident »
« Bonjour, service sécurité de la MGP. Vous avez reçu notre courrier concernant l'incident. Nous procédons à la vérification des coordonnées bancaires compromises. Pouvez-vous me confirmer l'IBAN se terminant par… ? »
Pourquoi ça marche : c'est le plus vicieux, parce qu'il exploite la notification légitime que vous venez de recevoir. Mécanismes à l'œuvre : Coïncidence crédible (le contexte est vrai) et Autorité empruntée. Une mutuelle qui vient de subir une fuite ne rappelle jamais ses adhérents pour « vérifier » les données fuitées : elle les a déjà.
2. Le faux conseiller bancaire — « votre IBAN circule »
« Nous avons détecté que votre IBAN apparaît dans une fuite. Pour bloquer les prélèvements frauduleux, je vais vous demander de valider l'opération de sécurisation avec le code que vous venez de recevoir. »
Pourquoi ça marche : Urgence fabriquée plus Perte imminente. Le code SMS ne « bloque » jamais rien — il autorise. Une banque ne demande jamais ce code par téléphone, sans exception.
3. Le prélèvement test
Un prélèvement de quelques euros, au libellé plausible, que vous ne reconnaissez pas mais que vous ne contestez pas parce que le montant est dérisoire.
Pourquoi ça marche : Premier pas anodin. Le petit montant n'est pas l'objectif — c'est un test de validité du mandat. S'il passe, il est suivi de montants sans rapport.
4. Le faux remboursement de cotisation
« Suite à l'incident, la MGP procède à un geste commercial de 60 € sur votre cotisation. Confirmez vos coordonnées pour recevoir le virement. »
Pourquoi ça marche : Gain inespéré. Un remboursement ne nécessite jamais que vous communiquiez quoi que ce soit : l'organisme possède déjà votre IBAN — c'est précisément le sujet.
Ce que vous pouvez faire maintenant
Passer en revue vos prélèvements — et connaître votre droit
Regardez la liste de vos prélèvements, pas seulement le solde. En France, vous disposez de 13 mois pour contester un prélèvement non autorisé, et de 8 semaines pour un prélèvement SEPA autorisé. Le remboursement est un droit, pas une faveur commerciale. Signalez tout libellé que vous ne reconnaissez pas, même à 2 €.
Retenir ce que la MGP et votre banque ne demanderont jamais
Ni un code reçu par SMS, ni vos identifiants de connexion, ni un virement vers un « compte sécurisé », ni l'installation d'un logiciel de prise en main à distance, ni la confirmation d'un IBAN. Aucune urgence ne justifie ces demandes. C'est le seul critère fiable — parce que le reste de l'appel, lui, sera exact.
Appliquer la règle du rappel
Vous raccrochez, et vous rappelez le numéro figurant sur votre carte de mutuelle ou au dos de votre carte bancaire — jamais celui que l'interlocuteur vous donne, jamais en rappelant le numéro affiché, qui peut être usurpé. Un conseiller légitime comprendra. Un escroc insistera : c'est en soi la réponse.
Faut-il changer d'IBAN ? Le plus souvent, non
Changer d'IBAN oblige à mettre à jour tous vos mandats. Le rapport effort/bénéfice reste défavorable tant que vous ne constatez pas de prélèvements frauduleux répétés. La surveillance de vos relevés et le droit de contestation vous protègent mieux, sans friction. Si vous constatez plusieurs tentatives, alors la question se pose avec votre conseiller.
Exercer vos droits, et signaler
Auprès de la MGP : demandez quelles données vous concernant ont été touchées — le RGPD impose d'informer les personnes concernées lorsqu'une violation présente un risque élevé. En cas d'absence de réponse, vous pouvez saisir la CNIL. Pour signaler une tentative : cybermalveillance.gouv.fr, et 33700 pour les SMS frauduleux.
La seule règle qui résiste aux fuites
Ne jugez plus un contact sur ce qu'il sait, mais sur ce qu'il demande. L'exactitude peut être achetée ; la demande, elle, trahit toujours l'intention.
Ce qu'on ne peut pas faire, et il faut le dire
Aucune procédure ne permet de faire disparaître un fichier déjà diffusé. Ni la MGP, ni la CNIL, ni aucun prestataire ne peut vous garantir que vos coordonnées ne circulent plus. Se méfier des offres promettant de « supprimer vos données du dark web » : la partie vérifiable de ce service consiste à demander un déréférencement auprès de courtiers identifiés, ce qui est très partiel et sans effet sur les copies déjà vendues.
Il faut aussi dire ceci : la fenêtre de risque ne se referme pas dans quinze jours. Les fichiers issus de fuites sont exploités par vagues, parfois des mois plus tard, quand l'attention est retombée. Le réflexe compte plus que la vigilance ponctuelle.
Questions fréquentes
Avec mon IBAN, peut-on vider mon compte ?
Non. Un IBAN seul ne donne aucun accès à votre compte : il ne permet ni de se connecter, ni de faire un virement sortant. Le risque réel est double : un prélèvement SEPA frauduleux, que vous pouvez contester et vous faire rembourser, et surtout l'usage de cet IBAN comme preuve de légitimité dans un appel frauduleux.
Dois-je changer d'IBAN après la fuite MGP ?
Dans la majorité des cas, non. Changer d'IBAN implique de mettre à jour tous vos mandats : salaire, énergie, téléphonie, assurances, impôts. Le rapport bénéfice/effort est défavorable tant que vous ne constatez pas de prélèvement frauduleux répété. La surveillance de vos relevés et le droit de contestation protègent mieux, et sans friction.
Mes données de santé ont-elles fuité ?
Selon la MGP, non. La mutuelle indique qu'aucune donnée de santé, aucune coordonnée de carte bancaire, aucune copie de pièce d'identité et aucun mot de passe ne figurent parmi les données compromises. Les données concernées sont des identités, des coordonnées de contact et des IBAN.
Comment reconnaître un appel qui exploite la fuite MGP ?
Pas à son exactitude : un escroc qui dispose du fichier citera votre nom, votre mutuelle et votre IBAN sans se tromper. Le signal est dans la demande. Ni la MGP ni votre banque ne vous demanderont par téléphone un code reçu par SMS, vos identifiants, un virement vers un compte dit sécurisé, ou l'installation d'un logiciel.
Pour aller plus loin
Egidio — Laboratoire des menaces, « Fuite MGP : votre IBAN a circulé, que faire », egidio.app/laboratoire/fuite-mgp-que-faire/. Licence CC BY 4.0.
Réutilisation libre, y compris commerciale, avec attribution. Conditions de réutilisation.