Les contacts professionnels de la FNIM (Fédération Nationale Indépendante des Mutuelles) sont concernés par une fuite de données que la fédération a confirmée. Dans un communiqué publié le 3 septembre 2026, elle indique qu’un incident informatique est survenu le 2 septembre dans l’après-midi, que les accès ont été interrompus dès sa détection et que les déclarations obligatoires auprès des autorités compétentes ont été engagées.
La fédération limite les données touchées à un fichier de facturation fournisseurs - coordonnées professionnelles, références et montants - et à ses propres coordonnées bancaires, et affirme qu’aucun de ses adhérents n’est concerné. Le dépôt diffusé le 2 septembre sur un forum cybercriminel, le jour même de la revendication, relève d’un autre périmètre : trois bases complètes provenant des sites de la fédération et de deux structures associées. Elles réunissent 817 personnes distinctes, en très grande majorité des contacts professionnels du secteur mutualiste, avec leur identité, leur adresse électronique, leur organisation et leur fonction, parfois un numéro de téléphone, ainsi que les messages laissés dans les formulaires de contact. S’y ajoutent les comptes d’administration des trois sites et leurs secrets d’accès, dont les clés du service qui expédie le courrier de ces domaines. Les systèmes en cause sont des sites institutionnels, sans fichier d’adhérents, de santé ni de paiement. La présence de comptes administrateurs et de clés d’envoi rend l’ensemble sensible : elle facilite l’usurpation d’expéditeur et les campagnes de hameçonnage visant des dirigeants de mutuelles. La fédération ne s’est prononcée ni sur ces trois bases, ni sur le nombre de personnes concernées, ni sur le mode opératoire.
Détails techniques :
- Incident daté du 2 septembre 2026 dans l’après-midi par la fédération, accès interrompus dès la détection
- Trois bases complètes diffusées : fnim.fr, comite-opera.org et www.ugm-opera.fr
- 817 personnes distinctes, comptées sur l’adresse électronique
- Altérations de quatre pages d’accueil visibles sur des captures d’archive publiques du 2 septembre 2026, entre 10 h 03 et 10 h 15
- Comptes d’administration des trois sites et clés du service d’envoi de courrier présents dans les bases
Données concernées :
- Nom complet, prénom, nom
- Adresse email
- Numéro de téléphone
- Données professionnelles (organisation, fonction)
- Contenu de messages et champs libres des formulaires de contact
- Identifiant de connexion, identifiant interne
- Mot de passe (haché)
- Clé d’accès ou d’API
- Adresse IP
- Références et montants d’un fichier de facturation fournisseurs et coordonnées bancaires de la fédération, selon son communiqué
Données annoncées non vérifiées :
- La voie d’entrée revendiquée, une exécution de code à distance, repose sur la seule déclaration des auteurs
- Les bases des deux portails de facturation, dont l’altération est revendiquée, ne figurent pas dans le dépôt diffusé
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise