Piratage de la Mutuelle Générale de Prévoyance : 133 000 IBAN volés et ce qu’il faut faire maintenant

Si vous êtes adhérent à la Mutuelle Générale de Prévoyance, vous avez reçu un courrier ces derniers jours, ou il est en route. Il vous annonce que vos données ont été volées, et parmi elles, quelque chose que les fuites de cet été n’avaient pas encore touché : votre IBAN. Ils sont environ 133 000 dans le lot, pour près de 200 000 adhérents concernés.

Le réflexe qu’on vous répète depuis juin, changer votre mot de passe, ne vous protège de rien ici. Aucun mot de passe ne figure dans ce qui est parti. Ce qui est parti, c’est votre relevé d’identité bancaire, et ça appelle une réaction complètement différente. Je vais vous expliquer ce qu’un escroc peut réellement faire avec un IBAN, ce qu’il ne peut pas faire, et les trois gestes qui comptent.

Ce qui s’est passé, et pourquoi votre mutuelle n’a rien vu venir

L’affaire commence le 7 août 2026 sur un forum cybercriminel. Un vendeur y met en ligne deux tables de données présentées comme provenant de la Mutuelle Générale de Prévoyance. Le site spécialisé FrenchBreaches repère la publication le lendemain. La mutuelle, elle, n’est informée que le 10 août, et commence à prévenir ses adhérents individuellement à partir du 17 août. Une plainte contre X a été déposée et une enquête judiciaire ouverte.

Le point qui mérite qu’on s’y arrête, c’est l’origine. Les pirates ne sont pas entrés par la porte de la mutuelle. Ils ont compromis un de ses prestataires techniques, ce qui leur a ensuite ouvert un accès non autorisé aux données. Sur les quelque 480 000 adhérents que revendique la mutuelle, environ 200 000 se retrouvent dans le fichier.

Concrètement : vous pouviez avoir le mot de passe le plus solide du monde et la double authentification partout, ça n’aurait rien changé. Votre RIB dormait chez un sous-traitant dont vous ignoriez l’existence. C’est le schéma de presque toutes les grosses fuites françaises de 2026, et celui contre lequel un particulier ne peut rien.

Attention : ce n’est pas La Mutuelle Générale

Petite mise au point, parce que la confusion est facile et que je l’ai vue circuler. La Mutuelle Générale de Prévoyance et La Mutuelle Générale sont deux organismes différents. Seule la première est touchée.

Sortez votre carte de mutuelle et lisez le nom en entier. S’il n’y a pas « de Prévoyance » à la fin, vous n’êtes pas dans ce fichier. Et le critère qui tranche définitivement : la mutuelle notifie individuellement les adhérents concernés. Pas de courrier, pas de concerné.

Ce qui est parti, et ce qui est resté

Voilà l’inventaire tel qu’il ressort du lot mis en vente : nom et prénom, date de naissance, adresse postale complète, ville et code postal, numéro de téléphone, adresse e-mail pour une partie des dossiers, identifiants internes, nom du titulaire du compte bancaire et IBAN. Le vendeur revendique 198 127 noms uniques, 133 018 IBAN, 45 771 numéros de téléphone et 24 489 adresses e-mail.

Ces chiffres viennent du pirate, pas d’un décompte officiel, et je les prends donc avec des pincettes. Ils donnent l’ordre de grandeur, et la mutuelle ne les a pas démentis. Regardez maintenant ce qui n’y est pas. La mutuelle est explicite : « aucune donnée de santé et aucune information relative aux prestations, aux remboursements ou aux garanties n’est concernée ». Pas de copie de pièce d’identité non plus, contrairement à la fuite de 250 000 pièces d’identité françaises du printemps. Pas de numéro de carte bancaire. Et aucun mot de passe dans l’inventaire publié.

C’est pour ça que le conseil réflexe « changez vos mots de passe » tombe à côté. Il n’y a rien à changer. Gardez cette énergie pour la suite, elle va servir.

Non, un IBAN ne permet pas de vider votre compte

Soyons clairs, parce que c’est là que la panique s’installe pour rien. Un IBAN, c’est une adresse. Il identifie votre compte, il ne l’autorise pas. Personne ne peut se connecter à votre banque avec, ni faire un virement depuis votre compte, et vous le donnez déjà à votre employeur, à votre bailleur et à votre opérateur sans que ça pose problème.

Le risque réel porte un nom : le prélèvement SEPA sur mandat fictif. Un escroc fabrique un faux mandat à votre nom, prélève une somme modeste, et compte sur le fait que vous ne lisez pas vos relevés en détail. C’est exactement l’usage auquel servent les IBAN récupérés dans les fuites de données, et la Banque de France le dit noir sur blanc.

Bonne nouvelle : la loi vous couvre bien mieux que vous ne le croyez. Pour une opération que vous n’avez pas autorisée, vous avez 13 mois à compter du débit pour la signaler à votre banque, et celle-ci doit vous rembourser au plus tard à la fin du premier jour ouvrable suivant votre signalement, frais compris. Pour un prélèvement que vous aviez autorisé mais dont le montant vous paraît abusif, le délai tombe à 8 semaines.

La mauvaise nouvelle tient en une phrase : ce filet ne se déclenche que si vous voyez le prélèvement. Passé 13 mois, la porte est fermée. Un prélèvement frauduleux de 14,90 euros par mois pendant deux ans, personne ne vous le remboursera si vous ne l’avez jamais ouvert.

Les trois gestes qui vous protègent vraiment

Premier réflexe : reprenez vos relevés des douze derniers mois, ligne par ligne. Pas en diagonale. Vous cherchez des libellés que vous ne reconnaissez pas, et surtout des petits montants réguliers, parce que c’est la signature de ce type de fraude. Dans la foulée, activez les notifications de mouvement dans l’application de votre banque. C’est gratuit, ça prend deux minutes, et ça transforme une découverte au bout de six mois en découverte le jour même.

Deuxième chose, et c’est celle que personne ne fait : demandez à votre banque la liste des créanciers autorisés à prélever votre compte. La plupart des banques l’affichent désormais dans l’espace client. Vous allez probablement y trouver des mandats oubliés depuis des années. Faites le ménage.

Et le geste vraiment efficace : posez une liste blanche ou une liste noire. Ce sont deux dispositifs officiels que votre banque a l’obligation d’appliquer. La liste noire bloque les prélèvements d’un créancier précis. La liste blanche va beaucoup plus loin : seuls les créanciers que vous avez nommément désignés peuvent prélever, tout le reste est refusé automatiquement. C’est la protection la plus solide contre un IBAN qui traîne dans la nature, et la Banque de France la recommande explicitement dans ce cas de figure. Envoyez votre demande par lettre recommandée et gardez une copie datée.

Une question revient toujours à ce stade : faut-il changer de RIB ? Mon avis est non, sauf si vous constatez déjà des prélèvements frauduleux. Changer de numéro de compte casse tous vos mandats en cours, du salaire à l’électricité, et vous mobilisera pendant des semaines pour un risque que la liste blanche neutralise en un courrier. Gardez cette option pour le jour où elle devient nécessaire.

Le vrai piège des prochaines semaines : le faux courrier de la mutuelle

Voilà ce qui m’inquiète le plus. La mutuelle notifie ses adhérents en ce moment même : des centaines de milliers de personnes attendent donc un message officiel qui leur parle de leurs données bancaires. Aucune couverture ne pouvait être plus confortable pour un escroc.

Mettez-vous à sa place trente secondes. Il a votre nom, votre date de naissance, votre adresse complète, votre téléphone et le nom de votre mutuelle. Il vous appelle, récite tout ça pour prouver sa légitimité, et vous explique qu’il faut « sécuriser votre dossier ». J’ai déjà décrit ce mécanisme après la fuite de la CNIL avec ces faux emails qui promettaient d’effacer vos données, et au téléphone avec les arnaques à la voix clonée par intelligence artificielle. Le scénario ne change jamais, seul le prétexte est renouvelé.

Et il y a plus vicieux que le faux courrier de la mutuelle : le faux conseiller bancaire. Avec votre IBAN sous les yeux, un escroc peut vous réciter les derniers chiffres de votre compte, annoncer un « prélèvement suspect en cours » et vous demander de le bloquer en validant une opération dans votre application. Le piège est là : cette validation, c’est vous qui la donnez. L’opération devient autorisée, et le remboursement automatique ne s’applique plus. Les ressorts sont ceux du hameçonnage classique, avec un scénario taillé sur mesure. Sachez qu’un vrai conseiller ne vous demandera jamais de valider une opération que vous n’avez pas lancée, ni de vous faire dicter un code reçu par SMS.

La règle qui vous sauve tient en une ligne : aucune notification légitime ne vous demandera votre RIB, une pièce d’identité, un code reçu par SMS ou vos identifiants bancaires. Votre mutuelle a déjà votre RIB, c’est même tout le problème. Si on vous le redemande, c’est un escroc. Vous raccrochez, vous cherchez le numéro officiel de votre mutuelle vous-même, et vous rappelez.

Et si vous croisez une tentative, signalez-la sur cybermalveillance.gouv.fr. La fuite en elle-même n’ouvre pas de recours automatique, mais un usage frauduleux de vos données, si.

Ce que je ferais à votre place

Ne touchez pas à vos mots de passe, aucun n’a fuité. Épluchez vos relevés sur douze mois et activez les notifications de mouvement de votre banque.

Demandez une liste blanche à votre banque, par lettre recommandée. C’est le seul geste qui rend votre IBAN volé inutilisable, et il est gratuit.

Traitez tout message qui évoque cette fuite comme suspect, y compris ceux qui semblent venir de la mutuelle. Vous rappelez toujours par un numéro que vous avez trouvé vous-même.

Ma reco si je ne devais en garder qu’une : arrêtez de traiter chaque fuite comme un incident isolé. En trois mois, j’ai couvert ici le piratage des impôts, celui de l’Éducation nationale, celui de la CAF et celui de Bloctel et celui de SFR Fibre. Chacune a livré une pièce du puzzle : votre identité ici, votre numéro là, votre situation fiscale ailleurs, et maintenant vos coordonnées bancaires. Bout à bout, quelqu’un dispose sur vous d’un dossier plus complet que celui de n’importe lequel de ces organismes pris séparément. Réagir fuite par fuite ne mène nulle part. Verrouillez une fois pour toutes ce qui peut l’être, et la liste blanche est en haut de la liste.

Cela pourrait aussi vous intéresser

Piratage de la CAF : vos données sont-elles concernées et que faire ? Piratage de la Protection Civile : qui est concerné et ce que les pirates peuvent faire de vos données Piratage de SFR Fibre : 2,1 millions de clients concernés, comment savoir si vous en êtes et quoi faire Prix des cartes graphiques : pourquoi ça grimpe et faut-il acheter maintenant ?