Groupe MGEL
CritiqueConfirméeSanté
Le 12 septembre 2026, un individu utilisant le pseudonyme RedStone a mis en vente sur un forum cybercriminel des bases de données qu'il attribue au Groupe MGEL, mutuelle couvrant notamment un public étudiant sous cette marque et un public plus large sous la marque Mutuelle Vitalité Santé. Il revendique 16 bases et environ 38,8 millions de lignes, dont 603 845 adresses e-mail, 685 676 numéros de téléphone, plus d'1,1 million de noms complets et 450 806 IBAN uniques, ainsi que des dates de naissance, adresses postales, numéros de sécurité sociale, informations sur le médecin traitant et, selon certaines tables, des mots de passe en clair ou hachés.
L'association directe de noms, coordonnées et IBAN dans un même fichier permettrait à un tiers de mener des campagnes de phishing ciblées se faisant passer pour la mutuelle ou une banque, ou de tenter des prélèvements frauduleux.
- Annoncée le
- 12 septembre 2026
- Comptes concernés
- 594 414
- Secteur
- Santé
- Pays
- France
- Origine
- Origine non communiquée
Données exposées
- Adresse e-mail
- Nom et prénom
- Téléphone
- Adresse postale
- Date de naissance
- Données de connexion (IP, journaux)
- Données professionnelles
- Mot de passe (haché)
- Mot de passe (en clair)
- Données bancaires (IBAN, carte)
- Numéro de sécurité sociale
- Données de santé
Vous n’êtes concerné que si vous aviez un compte ou une commande chez cette organisation.
Ce que vous pouvez faire
- Changez ce mot de passe, et surtout partout où vous l’aviez réutilisé : c’est par là que la fuite se propage aux autres comptes.
- Activez la double authentification sur les comptes concernés : un mot de passe volé ne suffit alors plus à entrer.
- Attendez-vous à des tentatives d’hameçonnage citant votre nom et cette entreprise. Un message qui connaît vos coordonnées n’est pas pour autant légitime.
- Surveillez vos relevés. En cas de prélèvement inconnu, faites opposition et demandez le remboursement : l’article L133-18 du code monétaire et financier vous y autorise.
- Ces pièces servent à l’usurpation d’identité, et elles ne se changent pas. Conservez le courrier de notification : il prouve l’origine de la fuite si un compte est ouvert à votre nom.
- Les données de santé sont des données sensibles au sens du RGPD : leur fuite ouvre un droit à réparation, et la CNIL doit être saisie par l’organisme sous 72 h.
- Vous pouvez demander à l’organisme ce qui vous concerne exactement (droit d’accès), et saisir la CNIL si la réponse ne vient pas sous un mois.
Sources
Fiche établie à partir des sources citées, après contrôle de corroboration, puis validée avant publication. Une erreur ou une précision à apporter ? Écrivez-nous, la fiche sera corrigée. Contact