Cyberattaque Solimut : la leçon de gestion de crise pour les boîtes de la région

Le 23 août 2026, la mutuelle Solimut Mutuelle de France détecte une intrusion sur ses systèmes. Bilan officiel : les données de plus de 535 000 adhérents potentiellement compromises. Un hacker, lui, revendique 1,2 million de fiches. Solimut est basée à Marseille, pas à Lyon. Mais l'histoire te concerne directement.

Parce que ce n'est pas un cas isolé. C'est la troisième fuite du secteur de l'assurance en quinze jours. Et parce que la gestion de crise de Solimut, avec ses bons réflexes et ses trous, offre une trame précieuse pour toute mutuelle régionale ou PME qui gère des fichiers clients. On décortique.

Ce qui s'est passé chez Solimut

La chronologie est claire. Le dimanche 23 août 2026, les équipes détectent une intrusion informatique. Elles isolent l'attaque et y mettent un terme. Ensuite, elles se mobilisent pour définir et inventorier le périmètre touché. Les services aux adhérents continuent de tourner normalement.

Sur la volumétrie, l'écart est énorme. Solimut revendique 550 000 adhérents. Fin 2025, son périmètre réel : 348 341 personnes protégées en santé et 184 224 en prévoyance. Le hacker, lui, affirme détenir 1 244 445 fiches d'assurés, 770 467 comptes bancaires, plus de 1,38 million de fiches avec NIR et plus de 1,08 million de déclarations de salaires. Point le plus sensible : environ 228 000 dossiers d'identité complets, associant nom, NIR, date de naissance, téléphone, e-mail et IBAN.

Ces chiffres viennent du cybercriminel. Leur authenticité et le nombre réel de personnes uniques restent à confirmer. L'écart s'explique en partie : des données de partenaires ou d'autres organismes seraient présentes dans l'ensemble revendiqué. Sur le mode d'attaque, un compte lié à d'autres opérations évoque une injection SQL ayant permis d'extraire 4 401 062 lignes.

Solimut a aussi exclu des choses, et c'est important. Aucune donnée de santé, de remboursement ou de garantie touchée. Aucun numéro de carte bancaire ni copie de pièce d'identité compromis. Poser ces limites, c'est cadrer le risque et éviter la panique.

Les bons réflexes que Solimut a eus

Trois choses tiennent la route dans cette gestion de crise fuite données.

1. L'isolement immédiat

C'est le réflexe numéro un. On coupe l'accès de l'attaquant avant tout le reste. Solimut a isolé et stoppé l'intrusion rapidement. Ça limite le vol supplémentaire et ça évite que l'attaque se propage à d'autres systèmes. Sans continuité de service perturbée, en plus.

2. La notification au régulateur sectoriel

La mutuelle a notifié l'incident le jour même à l'ACPR, l'Autorité de contrôle prudentiel et de résolution. Réagir vite auprès de ton régulateur, c'est montrer que tu prends la chose au sérieux. Et c'est souvent une obligation.

3. La mise en garde des adhérents

Solimut a invité ses adhérents à la prudence face aux sollicitations par mail ou téléphone d'entités externes. Logique : quand des noms, e-mails et téléphones fuitent, la vague suivante c'est le phishing ciblé. La mutuelle s'est aussi engagée à contacter individuellement les personnes impactées.

Là où la communication a coincé

Tout n'est pas exemplaire. Des observateurs ont pointé une communication jugée creuse. Pas un chiffre précis, un "on reviendra vers vous", et aucun communiqué daté dans l'espace presse au moment des faits. Quand tu laisses ce vide, ce sont les revendications du hacker qui remplissent l'espace médiatique. Et ses chiffres, eux, sont spectaculaires.

Autre point sensible : au moment des premières analyses, la notification à la CNIL n'était qu'annoncée "dans les délais attendus". Donc pas encore faite. Or le délai réglementaire est court. On y revient.

La leçon : la phase d'investigation prend du temps, c'est normal. Mais l'absence de communication factuelle laisse la place au flou. Et le flou nourrit la défiance.

Tes obligations RGPD, dans l'ordre

Si tu gères des données personnelles, ces règles ne sont pas optionnelles.

• 72 heures pour notifier la CNIL. Dès qu'une violation est susceptible d'engendrer un risque pour les personnes, tu notifies dans les 72 heures (article 33 du RGPD). Point mal compris : le compteur démarre à la prise de connaissance, pas à la survenance de l'incident. Et il tourne week-ends et jours fériés compris.
• Une notification incomplète est acceptée. N'attends pas d'avoir toutes les infos pour déclarer. En cas de doute, tu notifies et tu documentes. Une déclaration initiale partielle vaut mieux qu'un retard.
• Informer les personnes concernées si le risque est élevé. C'est l'article 34. Quand des IBAN, NIR et coordonnées fuitent, le risque de fraude est réel. L'information individuelle devient nécessaire.
• Notifier ton régulateur sectoriel. Pour une mutuelle, c'est l'ACPR. Pour d'autres secteurs, ça dépend de ton activité. Solimut a bien joué là-dessus.

Ajoute NIS 2 à l'équation si tu es une entité concernée. La directive alourdit les obligations de sécurité et de notification pour de nombreuses organisations. Sur le sujet, on a détaillé le retard français dans cet article : NIS 2 pas transposée : ce que le retard français fait courir à ta boîte.

Un secteur entier sous pression

Solimut n'est pas seule. Troisième fuite de l'assurance en quinze jours. Avant, la MGP annonçait le 18 août une cyberattaque via un prestataire, touchant potentiellement près de 200 000 personnes et environ 133 000 informations bancaires. Puis Evy. Puis Solimut.

Et le contexte plus large fait froid dans le dos. En début d'année, deux opérateurs de tiers payants se sont fait dérober les données de plus de 33 millions de Français, soit la moitié de la population. En 2022, l'Assurance maladie avait déjà subi une attaque touchant plus de 500 000 personnes.

Le message pour les boîtes d'Auvergne-Rhône-Alpes est simple. Les données de santé et financières sont des cibles de choix. Si tu es une mutuelle à Lyon, un cabinet d'assurance à Grenoble ou une PME qui stocke des fichiers sensibles à Saint-Étienne, tu es dans le viseur. Le rappel des attaques dopées à l'IA est aussi valable ici : Phishing Crédit Agricole dopé à l'IA : la leçon pour les PME lyonnaises.

Ta trame de réaction, étape par étape

Voici une trame concrète, inspirée de ce qui a marché et de ce qui a manqué chez Solimut. À adapter à ta structure.

Heure zéro : contenir

• Isole les systèmes touchés. Coupe les accès de l'attaquant sans tout éteindre au hasard.
• Préserve les traces. Ne détruis rien : les logs serviront à l'enquête et à ta déclaration.
• Active ta cellule de crise. Qui décide quoi doit être défini avant l'incident, pas pendant.

Premières 24 heures : qualifier

• Inventorie le périmètre. Quelles données, combien de personnes, quelle sensibilité.
• Distingue le confirmé du supposé. Ce que tu sais, ce que tu exclus, ce que tu vérifies encore.
• Prépare la notification CNIL. Le compteur des 72 heures tourne déjà.

Sous 72 heures : notifier

• Déclare à la CNIL, même avec une notification incomplète.
• Préviens ton régulateur sectoriel si tu es concerné.
• Si le risque est élevé, prépare l'information des personnes concernées.

Jours suivants : communiquer proprement

• Publie un communiqué daté, dans un espace presse accessible.
• Donne des faits : ce qui est touché, ce qui ne l'est pas, ce que tu fais.
• Alerte les personnes sur le phishing à venir. Explique comment vérifier que c'est bien toi qui les contactes.
• Ne laisse pas le vide s'installer. Un flou prolongé, ce sont les revendications du hacker qui font le titre.

Après : tirer les leçons

• Corrige la faille technique. Une injection SQL, ça se prévient avec des requêtes paramétrées et des audits.
• Revois qui a accès à quoi. Le principe du moindre privilège limite l'ampleur d'une prochaine fuite.
• Chiffre les données sensibles au repos. Ça réduit leur valeur en cas de vol.
• Teste ta cellule de crise avec un exercice. Le jour J n'est pas le moment de découvrir les trous.

Pour aller plus loin sur la partie plan de réaction, on a écrit un guide dédié aux structures régionales : Fuite de données : le plan de réaction concret pour votre PME lyonnaise. Et sur la prévention en amont, notre article RGPD et IA en entreprise : ce que vous pouvez faire, ce que vous ne pouvez pas pose les bases.

Ce que tu retiens

La cyberattaque de la mutuelle Solimut n'est pas une affaire marseillaise lointaine. C'est un cas d'école. Isolement rapide, notification au régulateur, mise en garde des adhérents : les fondamentaux étaient là. Mais la communication trop vague et la notification CNIL laissée en suspens montrent où ça craque le plus souvent.

Trois actions à lancer cette semaine. Vérifie que ta cellule de crise existe et sait qui appelle la CNIL. Cartographie où sont tes données sensibles et qui y accède. Prépare un modèle de communiqué que tu n'auras plus qu'à remplir le jour venu. Le meilleur moment pour t'y mettre, c'est avant l'intrusion.