Des données personnelles de clients de la Macif ont été exposées après une intrusion visant Qwertys, l’entreprise qui exploite la plateforme commerciale du programme Macif Avantages. L’assureur a confirmé l’incident dans un courriel adressé aux personnes concernées, dont Cyberattaque.org a obtenu une copie. L’accès non autorisé aurait porté sur des informations utilisées dans le cadre du service de bons d’achat.
Un incident chez le prestataire du programme
Macif Avantages permet à des sociétaires et à certains adhérents de bénéficier de réductions auprès d’enseignes, notamment par l’achat de cartes-cadeaux à tarif réduit. La plateforme est éditée et exploitée par Qwertys au moyen de sa solution Reduc Factory. L’entreprise, basée à Paris, se spécialise dans les programmes d’avantages et de fidélisation proposés notamment à des banques et à des compagnies d’assurance.
Dans cette organisation, M.A&S, la société chargée du programme Macif Avantages, est présentée comme le responsable du traitement, c’est-à-dire l’entité qui définit l’usage des données personnelles. Qwertys intervient comme sous-traitant, un prestataire qui traite ces informations pour le compte de cette entité. L’incident s’est donc produit dans l’environnement d’un partenaire utilisé pour fournir le service, et non dans les systèmes d’assurance décrits dans la notification.
Quelles informations sont concernées ?
Selon les éléments communiqués par la Macif, un tiers non autorisé a pu accéder à plusieurs catégories de données relatives aux bénéficiaires du service. Les informations citées sont les suivantes :
- nom et prénom ;
- adresse postale ;
- adresse électronique ;
- date de naissance.
L’assureur précise en revanche que les coordonnées bancaires, les identifiants de connexion et les contrats d’assurance ne sont pas concernés par l’exposition signalée. Cette distinction limite la portée connue de l’incident, qui touche le service d’avantages et de bons d’achat plutôt que les données liées aux contrats d’assurance de la Macif.
Des circonstances encore incomplètement documentées
La notification ne précise pas à quelle date l’intrusion s’est produite. Le nombre exact de clients concernés n’est pas indiqué non plus, pas davantage que la méthode employée par le cybercriminel pour obtenir l’accès. Ces trois éléments — le calendrier, le périmètre précis et le procédé utilisé — restent donc inconnus dans les informations rendues publiques par la Macif et rapportées par Cyberattaque.org.
| Élément | État des informations |
|---|---|
| Organisation visée | Qwertys, prestataire de Macif Avantages |
| Données exposées | Identité, adresses et dates de naissance |
| Données exclues selon la Macif | Données bancaires, identifiants et contrats d’assurance |
| Nombre de personnes touchées | Non communiqué |
| Date et méthode de l’intrusion | Non précisées |
Un risque lié à la réutilisation des données
Les informations exposées ne permettent pas, d’après la notification rapportée, de se connecter au compte d’un utilisateur ni d’accéder directement à ses contrats d’assurance. Elles constituent néanmoins un ensemble de données personnelles suffisamment détaillé pour identifier des bénéficiaires du programme. Leur association peut faciliter des sollicitations frauduleuses se présentant comme liées à la Macif, à Macif Avantages ou à un partenaire commercial, même si aucun usage ultérieur de ces données n’est mentionné dans les informations disponibles.
La Macif indique ainsi avoir informé les clients concernés de l’incident chez Qwertys. À ce stade, l’assureur ne fournit pas publiquement le volume de personnes touchées, la chronologie exacte de la compromission ni les mesures techniques prises par le prestataire. Les faits établis se limitent à l’accès d’un tiers non autorisé à des données du service de bons d’achat, tandis que les informations bancaires, les identifiants de connexion et les contrats d’assurance sont annoncés comme épargnés.
