Ce sont les entreprises clientes d'e-Benefits Prévoyance, et non leurs salariés nommément, qui apparaissent dans les données revendiquées le 12 juillet 2026 sur un forum cybercriminel. Le lot porterait sur environ 6 419 contrats collectifs de prévoyance et de santé, rattachés à plus d'un millier de sociétés. Éditée par la société ADDING, du groupe Diot-Siaci, la plateforme française sert aux entreprises à gérer ces contrats.
Ce que contiendrait le catalogue d'e-Benefits Prévoyance
D'après l'annonce, chaque contrat serait accompagné des numéros SIREN ou SIRET de l'entreprise souscriptrice, du numéro et du libellé du contrat, qui précise les catégories de personnel couvertes, ainsi que de références internes à la plateforme. Il s'agirait d'informations professionnelles sur les entreprises, sans données personnelles nominatives de salariés. L'éditeur n'a pas confirmé officiellement ces éléments à ce stade.
Un piratage présumé via un défaut de contrôle d'accès sur le portail
Toujours selon l'annonce, un défaut de contrôle d'accès sur l'interface de programmation du portail aurait permis d'extraire l'ensemble du catalogue : les informations d'un contrat seraient accessibles à partir de sa seule référence, sans vérification des droits de la personne qui les demande. L'acteur à l'origine de la publication est déjà connu pour d'autres diffusions.
Sans nom ni coordonnées de salariés, l'exposition reste limitée pour les particuliers. Pour les entreprises, savoir qui est assuré, via quelle plateforme et pour quelles catégories de personnel fournit une base crédible à des démarchages ou à des messages frauduleux se présentant comme le gestionnaire du contrat, par exemple pour réclamer une régularisation de cotisation.
Détails techniques :
- Défaut de contrôle d'accès de type IDOR annoncé sur l'API du portail
- Environ 6 419 contrats collectifs rattachés à plus d'un millier de sociétés
- Par contrat : numéros SIREN/SIRET, numéro et libellé de contrat, identifiants internes
- Aucune donnée personnelle nominative de salarié annoncée
Données concernées :
- SIRET et SIREN des entreprises clientes
- Identifiant interne
- Données professionnelles (numéros et libellés de contrats, catégories de personnel couvertes)
- Champs libres
Mentions :
Statut Fuites Infos : Revendiquée