Le 23 octobre 2026, un vendeur a publié sur un forum cybercriminel une annonce présentée comme une extraction de données du réseau ADMR, acteur majeur de l’aide à domicile : 4 541 053 lignes réunies dans une archive de 1,81 Go. Au 3 novembre, cette fuite de données ADMR reste une revendication. Aucune communication publique de l’Union nationale ADMR ne confirme une intrusion, et l’origine des fichiers (application interne, prestataire ou autre source) n’est pas établie.
Ce que contiennent les échantillons de la fuite de données ADMR
Pour appuyer son annonce, le vendeur a diffusé gratuitement un extrait d’environ 12 800 enregistrements. Le site Cyberattaque.org l’a analysé : dates et lieux de naissance, nationalité, composition du foyer, identifiants internes, et 4 835 numéros distincts présentés comme des numéros de sécurité sociale. Quelque 844 fiches portent des commentaires d’intervention rédigés en texte libre, avec des besoins de soins, des éléments de santé ou de handicap, parfois l’emplacement d’une clé ou un code de porte. Plusieurs centaines d’enregistrements concernent des mineurs.
Dans une mise à jour du 25 octobre, FrenchBreaches fait état de plus de 1,4 million de NIR revendiqués sur l’ensemble du fichier. Le nombre de lignes ne dit rien du nombre de personnes : doublons, fiches multiples pour un même bénéficiaire, historique de plus de dix ans. Le réseau indique servir environ 720 000 clients. Le mode opératoire diffère aussi selon les sources, entre une faille d’exécution de code à distance et une collecte automatisée sur le site. Aucun de ces éléments n’est vérifié à ce jour.
Fuites Infos rappelle qu’une autre revendication, visant cette fois quelque 9 700 comptes internes du réseau, avait circulé le 1er octobre 2026. Aucun lien entre les deux n’a été démontré.
Le NIR et les notes de terrain, un risque à part
Associé à un nom, une date de naissance et des informations de santé, le NIR facilite l’usurpation d’identité, la fraude aux prestations et des hameçonnages très convaincants : un faux appel au sujet d’un plan d’aide ou d’une prise en charge passe facilement auprès d’une personne âgée isolée. Les bénéficiaires de l’aide à domicile cumulent souvent ces fragilités.
Le code d’accès à un logement ajoute un risque physique, rare dans les fuites que l’on voit passer chaque mois. Quant aux notes sur la dépendance ou les soins, ce sont des données de santé au sens de l’article 9 du RGPD. Si l’exposition est confirmée, le risque élevé pour les personnes ne fera guère de doute, et l’information individuelle prévue à l’article 34 s’ajoutera alors à la notification à la CNIL.
Ce que doit vérifier une structure du médico-social
Dans un réseau fédéré, chaque association locale est souvent responsable de traitement pour ses bénéficiaires, alors que l’outil métier est fourni par la tête de réseau ou par un éditeur. Mieux vaut avoir tranché cette répartition avant tout incident : le jour où le délai de 72 heures court, personne n’a le temps d’en débattre. Que votre structure soit ou non visée par cette affaire, plusieurs points méritent une vérification rapide.
- Ouvrir une fiche dans le registre des violations dès qu’une revendication vise votre réseau ou votre éditeur, même sans confirmation. L’article 33 impose de documenter toute violation, et le délai de notification part du moment où l’organisme en a connaissance.
- Questionner par écrit la tête de réseau ou l’éditeur : périmètre, structures concernées, ancienneté des données, journaux d’accès examinés. Le contrat de sous-traitance (article 28) doit prévoir cette assistance et un délai de remontée des incidents.
- Relire les zones de commentaire libre. Un code de porte n’a pas sa place dans une note visible par tous les intervenants ; un champ dédié à accès restreint, ou une gestion des clés hors application, réduit l’exposition.
- Contrôler les durées de conservation. Des dossiers de plus de dix ans encore présents dans une base de production signalent une purge qui n’a jamais été appliquée.
- S’assurer que l’hébergement des dossiers de suivi médico-social est confié à un hébergeur certifié HDS lorsque les données sont stockées chez un prestataire.
- Préparer un message aux bénéficiaires et à leurs aidants : ne jamais donner son numéro de sécurité sociale par téléphone, se méfier des appels qui se réclament de l’association ou d’une caisse, faire changer un code d’accès en cas de doute.
Si la fuite est confirmée, la notification à la CNIL revient à chaque responsable de traitement concerné. La prudence vaut dans les deux sens pour la communication : rien ne doit être confirmé avant vérification, et le risque ne doit pas être minimisé. Un communiqué qui expose ce que l’on sait, ce que l’on ignore et les mesures prises rassure davantage qu’un silence de plusieurs semaines.
Les intervenants à domicile, relais auprès des personnes
Les aides à domicile voient les bénéficiaires plusieurs fois par semaine. Ce sont souvent elles qui entendront parler d’un appel suspect ou d’un courrier étrange. Encore faut-il qu’elles aient reçu une consigne claire sur la conduite à tenir et sur la personne à prévenir dans la structure.
Dans les établissements sanitaires et médico-sociaux que j’accompagne, je retrouve souvent des logiciels métier où les commentaires libres mélangent état de santé, consignes pratiques et détails de vie privée. Une revendication de ce type donne une bonne raison de relire ces champs, de les structurer et de supprimer ce qui n’a plus d’utilité.
DPO FRANCE, réseau national de DPO indépendants, accompagne les structures du sanitaire et du médico-social dans la gestion d’une violation, de la qualification du risque jusqu’à la notification et à l’information des personnes. Le logiciel DPO SUITE tient le registre des violations, les fiches des sous-traitants et les preuves des diligences accomplies, pour répondre vite lorsqu’un prestataire est mis en cause.
