Numéro de sécurité sociale dans une fuite : quels risques et que faire ?

Votre numéro de sécurité sociale a fuité ? Pas de panique. Ce numéro seul ne permet pas de vider votre compte bancaire. Mais il rend les arnaques beaucoup plus crédibles. Cet article explique les vrais risques, les pièges les plus courants et les gestes utiles.

Pour comprendre le contexte général, lisez d'abord notre guide sur ce qu'est une fuite de données.

Qu'est-ce que le numéro de sécurité sociale (NIR) ?

En France, le numéro de sécurité sociale s'appelle officiellement le NIR (numéro d'inscription au répertoire). Il compte 13 chiffres, suivis d'une clé de contrôle de 2 chiffres. Soit 15 chiffres en tout.

Ce numéro n'est pas choisi au hasard. Il contient des informations sur vous, selon la fiche officielle de justice.fr :

Position	Ce qu'elle indique
1er chiffre	Le sexe (1 pour homme, 2 pour femme)
2e et 3e chiffres	L'année de naissance
4e et 5e chiffres	Le mois de naissance
6e au 10e chiffre	Le lieu de naissance (département et commune, ou pays)
11e au 13e chiffre	Un numéro d'ordre
2 derniers chiffres	La clé de contrôle

Autrement dit, quelqu'un qui lit votre NIR connaît déjà votre sexe, votre mois et votre année de naissance. Il connaît aussi votre lieu de naissance.

La CNIL (Commission nationale de l'informatique et des libertés) le qualifie de donnée « particulièrement sensible ». Son usage est strictement encadré par un décret. Seuls certains organismes ont le droit de l'utiliser, pour des missions précises.

Comment mon numéro de sécurité sociale a-t-il pu fuiter ?

Votre NIR est stocké par de nombreux acteurs : caisses d'assurance maladie, mutuelles, employeurs, hôpitaux, organismes de tiers payant. Quand l'un d'eux est piraté, votre numéro peut se retrouver en vente.

L'exemple le plus marquant reste l'attaque contre Viamedis et Almerys, fin janvier 2024. Ces deux sociétés gèrent le tiers payant (l'avance des frais de santé) pour des mutuelles. Selon la CNIL, plus de 33 millions de personnes étaient concernées.

Les données exposées comprenaient l'état civil, la date de naissance, le numéro de sécurité sociale et le nom de la complémentaire santé. Les données bancaires et médicales n'étaient pas concernées, d'après la CNIL.

Pour retrouver d'autres incidents, consultez notre base des fuites recherchable et notre dossier sur les plus grandes fuites de données en France.

Quels sont les vrais risques si mon numéro de sécurité sociale a fuité ?

Soyons clairs : un escroc ne peut pas se faire rembourser vos soins avec votre seul NIR. Il ne peut pas non plus ouvrir un compte bancaire avec ce seul numéro.

Le vrai danger est ailleurs. Il tient en un mot : crédibilité.

Des arnaques plus convaincantes

Un fraudeur qui connaît votre NIR, votre nom et votre mutuelle peut se faire passer pour un organisme officiel. Il vous appelle ou vous écrit en citant des informations exactes. Vous baissez la garde. C'est ce qu'on appelle l'ingénierie sociale (manipuler une personne pour obtenir ce qu'on veut).

La CNIL l'a souligné après l'affaire Viamedis-Almerys. Même sans coordonnées, ces données peuvent être croisées avec d'autres fuites. Un e-mail ou un numéro de téléphone volé ailleurs complète alors le puzzle.

L'usurpation d'identité

Combiné à une copie de pièce d'identité ou à un justificatif de domicile, votre NIR peut servir à monter un faux dossier. Le risque augmente quand plusieurs fuites se cumulent. Notre guide sur l'usurpation d'identité détaille les démarches si cela vous arrive.

Les risques en résumé

Risque	Probabilité	Pourquoi
Faux e-mails ou SMS « Ameli »	Élevée	Le NIR rend le message crédible
Faux appels de mutuelle ou de CPAM	Moyenne	L'escroc cite vos vraies données
Usurpation d'identité	Faible à moyenne	Nécessite d'autres documents
Accès direct à vos remboursements	Faible	Le compte ameli demande aussi un mot de passe

Quelles arnaques à la carte Vitale et à Ameli faut-il connaître ?

Les arnaques qui utilisent le nom de l'Assurance Maladie sont très fréquentes. Elles prennent souvent la forme d'un hameçonnage (en anglais phishing), c'est-à-dire un faux message qui imite un organisme connu.

Voici les scénarios les plus courants :

• Le faux renouvellement de carte Vitale. Un SMS vous annonce que votre carte expire. Il vous invite à payer quelques euros de « frais d'envoi ». Le but : voler votre carte bancaire.
• Le faux remboursement en attente. Un e-mail vous promet un remboursement. Il suffit de « confirmer vos coordonnées bancaires ».
• La fausse mise à jour de dossier. On vous demande de vérifier vos informations sur un site qui ressemble à ameli.fr.
• Le faux conseiller au téléphone. Une personne se présente comme agent de la CPAM. Elle cite votre NIR pour gagner votre confiance.

Sur son forum officiel des assurés, l'Assurance Maladie rappelle une règle simple. Elle ne demande jamais par e-mail ou SMS vos informations médicales, votre numéro de sécurité sociale ou vos coordonnées bancaires. Ces échanges se font uniquement dans l'espace sécurisé du compte ameli.

Pour apprendre à repérer ces pièges, lisez notre guide pour reconnaître les arnaques au phishing après une fuite et notre définition de l'hameçonnage.

Que faire si mon numéro de sécurité sociale a fuité ?

Vous ne pouvez pas faire « opposition » à un numéro de sécurité sociale comme à une carte bancaire. Ce numéro vous suit toute votre vie. L'objectif est donc de limiter son exploitation.

Suivez ces étapes dans l'ordre :

1. Lisez le message de l'organisme piraté. Il doit préciser quelles données ont fuité. Gardez-le précieusement.
2. Vérifiez votre compte ameli. Connectez-vous en tapant vous-même l'adresse ameli.fr. Ne passez jamais par un lien reçu.
3. Changez votre mot de passe ameli s'il est faible ou utilisé ailleurs. Notre guide mots de passe et double authentification vous aide.
4. Surveillez vos relevés de remboursement. Repérez tout soin que vous n'avez pas reçu.
5. Surveillez vos comptes bancaires, comme le recommande la CNIL.
6. Méfiez-vous de tout contact non sollicité qui parle de remboursement, de mutuelle ou de carte Vitale.
7. En cas de doute, appelez vous-même le 36 46, le numéro de l'Assurance Maladie. N'utilisez jamais le numéro donné dans un message suspect.

Pour une méthode complète, consultez notre fiche que faire après une fuite de données.

Tableau de réaction rapide

Situation	Que faire	Délai
Vous apprenez que votre NIR a fuité	Lire l'avis de l'organisme, vérifier votre compte ameli	Dans la journée
Vous recevez un SMS « carte Vitale »	Ne pas cliquer, signaler au 33700	Immédiatement
Vous avez donné votre carte bancaire sur un faux site	Faire opposition auprès de votre banque	Immédiatement
Vous voyez un remboursement inconnu	Contacter votre CPAM via le compte ameli ou le 36 46	Dès que possible
Quelqu'un utilise votre identité	Porter plainte	Dès que possible

Si vous avez communiqué vos coordonnées bancaires, lisez aussi notre article sur la carte bancaire piratée.

Que faire si ma carte Vitale est perdue ou volée ?

Une carte Vitale physique volée pose un autre problème que la simple fuite du numéro. D'après les réponses officielles du forum ameli, vous avez deux options :

1. En ligne : connectez-vous à votre compte ameli, rubrique « Mes démarches ». Déclarez la perte ou le vol.
2. Par téléphone : appelez le 36 46.

La carte est ensuite invalidée. Vous pouvez commander une nouvelle carte. En attendant, imprimez une attestation de droits depuis votre compte ameli.

Faut-il porter plainte quand son numéro de sécurité sociale a fuité ?

Une simple fuite ne justifie pas toujours une plainte. En revanche, déposez plainte dès qu'une utilisation frauduleuse apparaît. Par exemple un crédit ouvert à votre nom ou un faux remboursement.

L'usurpation d'identité est un délit puni par l'article 226-4-1 du Code pénal. La peine peut aller jusqu'à un an de prison et 15 000 € d'amende, selon justice.fr.

Notre guide porter plainte après une fuite de données explique les démarches pas à pas. Vous pouvez aussi être orienté via la plateforme officielle 17Cyber.

Enfin, le RGPD vous donne des droits face à l'organisme qui a laissé fuiter vos données. Découvrez-les dans notre article sur vos droits RGPD après une fuite.

Belgique : que faire si mon numéro de registre national a fuité ?

En Belgique, l'équivalent du NIR est le numéro de registre national. Il sert aussi d'identifiant pour la sécurité sociale. On le trouve au dos de la carte d'identité électronique (eID).

Comment est composé le numéro de registre national ?

Selon les instructions officielles du Registre national, il compte 11 chiffres :

• 6 chiffres pour la date de naissance (année, mois, jour) ;
• 3 chiffres de numéro d'ordre : impair pour les hommes, pair pour les femmes ;
• 2 chiffres de contrôle, calculés à partir des 9 premiers.

Comme en France, ce numéro révèle donc votre date de naissance et votre sexe.

Les risques en Belgique

Les risques sont similaires : faux messages d'administrations, faux appels de mutualité, tentatives d'usurpation d'identité. Le numéro de registre national ajoute de la crédibilité à l'escroc.

Pour un panorama des incidents belges, consultez notre dossier sur les fuites de données en Belgique.

Vérifier qui a consulté vos données avec Mon DOSSIER

La Belgique offre un outil utile : Mon DOSSIER. Cette application du SPF Intérieur vous permet de consulter vos données au Registre national.

Selon la page officielle du Registre national, elle vous montre aussi les organismes qui ont consulté vos données au cours des six derniers mois.

Pour l'utiliser :

1. Installez un lecteur de carte et son logiciel, disponible sur eid.belgium.be.
2. Insérez votre carte d'identité électronique dans le lecteur.
3. Rendez-vous sur mondossier.rrn.fgov.be.
4. Tapez votre code PIN.

Une consultation qui vous semble anormale ? Signalez-la à votre commune ou à l'organisme concerné.

Signaler un message suspect et porter plainte en Belgique

• Message suspect : transférez-le à suspect@safeonweb.be, l'adresse indiquée par le Centre pour la cybersécurité Belgique. Pour un SMS, la police indique qu'une capture d'écran suffit.
• Usurpation d'identité : déposez plainte auprès de votre police locale.
• Problème avec l'organisme responsable de la fuite : vous pouvez saisir l'Autorité de protection des données (APD).

Questions fréquentes

Peut-on changer son numéro de sécurité sociale après une fuite ?

Non, en pratique. Le NIR est construit à partir de votre état civil : sexe, date et lieu de naissance. Il vous suit toute votre vie. La protection passe donc par la vigilance face aux arnaques, pas par un changement de numéro.

Un escroc peut-il se faire rembourser des soins avec mon numéro ?

Pas avec le seul numéro. Les remboursements passent par la carte Vitale, les professionnels de santé et votre compte ameli. Surveillez quand même vos relevés de remboursement. Signalez tout soin inconnu à votre CPAM.

Comment savoir si mon numéro de sécurité sociale a fuité ?

L'organisme piraté doit en principe vous prévenir. Dans l'affaire Viamedis-Almerys, la CNIL a précisé qu'elle ne pouvait pas dire qui était concerné : c'est aux mutuelles d'informer leurs assurés. Notre guide pour vérifier si vos données ont fuité liste les autres méthodes.

Ameli peut-elle me demander mes coordonnées bancaires par SMS ?

Non. L'Assurance Maladie rappelle qu'elle ne demande jamais vos coordonnées bancaires, votre NIR ou vos données médicales par e-mail ou SMS. Ces échanges passent par l'espace sécurisé du compte ameli. Un message contraire est une arnaque.

Que faire si j'ai cliqué sur un faux lien Ameli ?

Si vous n'avez rien saisi, fermez la page et supprimez le message. Si vous avez donné votre carte bancaire, faites opposition immédiatement auprès de votre banque. Si vous avez donné votre mot de passe ameli, changez-le tout de suite.

Mon numéro de registre national belge a fuité : est-ce grave ?

Ce numéro révèle votre date de naissance et votre sexe. Il rend les arnaques plus crédibles. Vérifiez les consultations de vos données sur Mon DOSSIER. Transférez tout message suspect à suspect@safeonweb.be.

Faut-il porter plainte si mon NIR apparaît dans une fuite ?

Ce n'est pas obligatoire si rien d'anormal ne se produit. Déposez plainte dès qu'une utilisation frauduleuse apparaît, comme un crédit ou un abonnement à votre nom. Gardez toutes les preuves : messages, courriers, relevés.