Le secteur de l’assurance traverse une période de tension cyber comme il n’en a jamais connue. Les attaques ne visent plus seulement les systèmes internes, mais aussi, et surtout, les prestataires qui composent la chaîne numérique de l’assureur : éditeurs SaaS, hébergeurs cloud, CRM, opérateurs de tiers payant, plateformes marketing, infogérants. À mesure que l’activité se déporte vers le cloud et que les modèles d’affaires s’ouvrent à des partenaires multiples, la surface d’attaque s’étend bien au-delà du périmètre contrôlable. La conséquence est claire : il ne suffit plus de “se sécuriser”, il faut comprendre et maîtriser l’ensemble de ses dépendances technologiques.
Un secteur frappé par des attaques réelles et répétées
Les attaques qui ont frappé le secteur de l’assurance depuis 2021 dessinent une trajectoire claire : d’une cybercriminalité opportuniste vers des offensives structurées, systémiques et industrielles.
L’année 2021 s’est inscrite comme une année noire. La Mutuelle Nationale des Hospitaliers a subi une attaque par ransomware entraînant une paralysie sévère de ses services. Cet épisode a mis en lumière la vulnérabilité opérationnelle des organismes d’assurance face à des attaques capables d’interrompre durablement les chaînes métiers critiques. Dans les années suivantes, des acteurs tels qu’April, AssurOne, Génération, Coverlife ou Verlingue ont à leur tour été touchés, avec des impacts combinant indisponibilité des systèmes, fuites de données et perturbations prolongées de l’activité. MMA, Buchner et d’autres acteurs du courtage ont également été immobilisés par des variants récents de ransomware intégrant des mécanismes d’exfiltration, confirmant la persistance de cette menace.
L’année 2024 a constitué un choc d’ampleur systémique. Les compromissions de Viamedis et d’Almerys, deux opérateurs majeurs de tiers payant, ont conduit à l’exposition des données de trente-trois millions d’assurés. Les informations ont circulé sur des forums clandestins, révélant brutalement le niveau de dépendance du secteur à quelques prestataires critiques et l’effet de concentration des risques au sein de la chaîne assurantielle. En novembre 2024, Direct Assurance a également été victime d’une intrusion exploitant les accès d’un employé, aboutissant à la publication de données comprenant notamment 5 800 IBAN. Ces incidents ont rappelé que la menace repose autant sur des vulnérabilités humaines que sur des failles techniques.
L’année 2025 marque une nouvelle étape dans la maturité et la portée des attaques. En février, l’intrusion chez Harvest, fintech centrale de la gestion patrimoniale en France, a provoqué une fuite de données touchant plusieurs acteurs du secteur. Les attaquants sont passés par une machine virtuelle hébergée chez un fournisseur tiers, contournant les dispositifs de sécurité EDR, XDR et SIEM, avant de chiffrer les systèmes et d’exfiltrer des dizaines de gigaoctets de données internes, professionnelles, RH, financières et techniques. L’éditeur, qui revendique plus de 4 600 clients, a vu l’onde de choc se propager à de nombreux assureurs, dont Maif Solutions Financières, Axa France, Eres ou encore CNP Assurances, qui a dû interrompre la plateforme CNP Alysée développée avec Harvest à destination des gestionnaires de patrimoine indépendants.
Dans le même contexte, en février 2025, la Mutuelle des Motards a été confrontée à la divulgation de plus de 1,3 million de profils issus d’un outil de gestion marketing compromis, exposant adresses, numéros de téléphone et adresses électroniques. Ces attaques ont confirmé la vulnérabilité des briques périphériques, souvent considérées comme non critiques, mais pourtant centrales dans la chaîne de confiance.
Enfin, plus récemment, en novembre 2025, la fuite massive survenue chez Itelis a exposé les données de plus de cinq millions d’assurés de réseaux tels qu’Axa, Malakoff Humanis, APRS ou AG2R. Cet incident a confirmé qu’un opérateur de services partagés pouvait devenir un point de rupture systémique pour l’ensemble du secteur assurantiel.
Une surface d’attaque étendue
Le dénominateur commun de ces incidents est frappant : la plupart ne proviennent plus d’un défaut interne, mais d’un élément de l’écosystème. Un CRM mal configuré, une intégration OAuth détournée, un outil marketing vulnérable, un prestataire cloud compromis, un opérateur de tiers payant ciblé, un logiciel financier exposé, ou encore une simple clé API mal protégée.
Les assureurs doivent désormais gérer un système d’information éclaté : un cœur interne relativement maîtrisé, mais entouré d’une constellation de prestataires essentiels, souvent interconnectés entre eux, et sur lesquels repose la continuité des opérations. La dépendance n’est plus seulement technique : elle devient stratégique.
Les obligations européennes de résilience opérationnelle, souvent évoquées sous l’angle réglementaire, rappellent surtout que la maîtrise du risque ne peut plus se limiter à la gestion interne. Elles imposent d’encadrer contractuellement les prestataires critiques, d’évaluer leur niveau de sécurité, de comprendre les chaînes de dépendance et de prévoir des scénarios de rupture. Les incidents récents démontrent que cette exigence n’est pas une contrainte administrative, mais une condition de survie opérationnelle.
L’impossibilité de tout sécuriser : pourquoi il faut prioriser
Face à cette complexité, beaucoup d’organisations se retrouvent piégées dans une logique d’accumulation : plus de contrôles, plus d’outils, plus de tests, plus d’exigences. Dans un environnement où la surface d’attaque dépasse largement ce que l’entreprise peut maîtriser, cette approche atteint rapidement ses limites.
L’analyse de risque EBIOS RM apporte ici un changement de perspective. Elle s’éloigne de l’idée qu’il faudrait tout sécuriser, tout cartographier, tout prévoir. Elle propose au contraire de concentrer les efforts sur ce qui compte réellement pour l’activité : les événements redoutés qui, s’ils surviennent, altéreraient la continuité des services, la confiance des assurés ou l’intégrité prudentielle.
Dans ce cadre, les incidents sectoriels deviennent des enseignements précieux. La compromission d’un CRM peut aboutir à une fuite de données massives, mais aussi à une fraude ciblée auprès des assurés. La paralysie d’un outil de gestion patrimoniale peut impacter plusieurs banques et mutuelles simultanément. L’attaque d’un opérateur de tiers payant peut bloquer la chaîne de remboursement d’un pays entier. La compromission d’un hébergeur cloud peut toucher tous ses clients en une seule opération. L’approche EBIOS RM permet de traduire ces faits en scénarios plausibles, d’en mesurer l’impact métier et de positionner les priorités de sécurité là où elles seront réellement efficaces.
De la gestion des risques à la maîtrise des dépendances : une évolution structurelle
Pour prendre des décisions éclairées, les dirigeants ont besoin d’une vision claire : quels sont les prestataires réellement critiques, quelles données transitent chez eux, quelles sont leurs vulnérabilités publiques, quels incidents les concernent, quelles alertes doivent remonter automatiquement, quelles tendances leur cyberscore révèle, quels engagements contractuels doivent être revus.
La gestion des tiers devient un processus permanent, alimenté par des données techniques (surveillance de surface d’attaque externe), des données cyber (vulnérabilités, expositions, incidents publics), des données contractuelles et des analyses de scénarios. Les organisations matures adoptent une approche intégrée dans laquelle l’analyse de risque EBIOS RM sert de colonne vertébrale pour prioriser, décider et arbitrer. Certaines externalisent ce pilotage, non pour s’en décharger, mais pour disposer d’une expertise continue capable de surveiller, analyser et challenger les prestataires critiques dans la durée.
Vers une résilience construite sur l’intelligence des interdépendances
Le secteur de l’assurance a toujours eu une capacité d’adaptation élevée. Mais la numérisation, l’externalisation et l’interconnexion ont modifié durablement la nature des risques. La résilience ne repose plus uniquement sur la robustesse des systèmes internes, mais sur la connaissance précise des dépendances, l’anticipation des scénarios critiques et la capacité à réagir à des incidents pouvant toucher plusieurs organisations simultanément.
Les attaques des deux dernières années ne sont pas des anomalies : elles constituent le paysage permanent dans lequel les organismes d’assurance doivent désormais évoluer. Comprendre les menaces, prioriser ce qui importe, intégrer les prestataires dans la démarche de gestion du risque et piloter ce risque tiers de manière continue sont devenus des leviers stratégiques, au même titre que la solvabilité ou la gestion prudentielle.
C’est dans cette capacité à orchestrer l’ensemble de son écosystème que se jouera la résilience de la prochaine décennie, pour un secteur qui porte la confiance de millions d’assurés.
Partager :
