Afrique du Sud : la fuite chez MIP expose les clients d’une quarantaine d’assureurs, et la rançon payée n’a rien réglé

La cyberattaque a commencé en juin, loin des projecteurs. Elle est devenue en septembre l’une des fuites de données les plus embarrassantes de l’année en Afrique du Sud. Des pirates ont dérobé les informations personnelles de clients d’environ 45 compagnies d’assurance chez MIP Holdings, un prestataire informatique qui fournit des logiciels de gestion de contrats et de relation client aux assureurs, caisses d’assurance maladie, prêteurs et gestionnaires de fonds de pension.

L’affaire concentre plusieurs leçons de la cybersécurité moderne : le risque lié aux prestataires, les systèmes oubliés, les mots de passe réutilisés, et les illusions du paiement de rançon. Elle concerne toutes les entreprises qui confient leurs données à des tiers.

Trois semaines dans un système en fin de vie

Selon les informations publiées par TechCentral, les intrus sont entrés grâce aux identifiants d’un employé qui avaient été réutilisés, puis sont restés environ trois semaines dans une plateforme d’assistance que MIP était en train de mettre hors service. Ce détail est révélateur : les systèmes en cours de retrait sont souvent les moins surveillés, alors qu’ils contiennent encore des données.

Environ 400 000 enregistrements ont été emportés. Ils comprennent des adresses électroniques, des numéros de téléphone, des numéros de contrat associés à des numéros d’identité et, dans un petit nombre de cas, des adresses de domicile. Pour les clients de l’assureur Hollard, les données publiées comprennent des noms, des numéros d’identité, des adresses électroniques et même des prénoms d’enfants. Le directeur général de MIP, Richard Firth, a indiqué que presque tous les clients touchés étaient des assureurs vie.

La rançon payée, les données publiées quand même

MIP a payé une rançon importante, dont le montant n’a pas été révélé, après avoir effectué des vérifications anti-blanchiment sur les comptes destinataires. Les pirates s’étaient engagés à détruire les données. Le 7 septembre, le groupe a pourtant publié sur son site de fuite des données présentées comme celles de clients de Hollard. MIP a retrouvé dans ce matériel des marqueurs le reliant aux données volées en juin.

C’est la démonstration, une fois de plus, qu’une promesse de criminels ne vaut rien. Payer une rançon n’apporte aucune garantie de destruction des données, finance les attaques suivantes, et peut désigner la victime comme une cible disposée à payer. Hollard a d’ailleurs rejeté les accusations de piratage de ses propres systèmes, en pointant la fuite chez MIP.

« Le paiement d’une rançon ne doit être compris ni comme établissant, ni comme réglant la conformité à la loi sur la protection des informations personnelles. »

Information Regulator, l’autorité sud-africaine de protection des données

Qui est responsable ?

La réponse des régulateurs est nette : ce sont les assureurs. Selon la loi sud-africaine sur la protection des informations personnelles (POPIA), la « partie responsable » est celle qui décide pourquoi et comment les données sont traitées. Ici, ce sont les compagnies d’assurance. MIP n’est qu’un « opérateur », qui traite les données pour leur compte et doit les prévenir sans délai en cas d’incident.

L’Information Regulator a confirmé que MIP avait signalé la fuite, comme l’exige l’article 22 de la loi, et qu’il cherchait encore, trois mois après, à établir combien d’assureurs et de clients étaient touchés. L’Autorité prudentielle, rattachée à la Banque centrale, a indiqué avoir appris l’incident à la mi-juin par les assureurs eux-mêmes. Elle ne demande pas aux fournisseurs de lui déclarer directement les incidents, mais les assureurs doivent signaler tout incident important dans les 24 heures, selon une norme commune adoptée en 2024. Pour elle aussi, le paiement d’une rançon ne clôt pas un incident et ne dispense pas les institutions de leurs responsabilités.

L’Afrique du Sud, cible répétée

L’Afrique du Sud est l’un des pays africains les plus visés par les cybercriminels, parce que son économie est très numérisée et que ses entreprises détiennent des données de valeur. Ces dernières années, le pays a connu plusieurs incidents majeurs : l’attaque par rançongiciel contre l’opérateur portuaire et ferroviaire Transnet en 2021, qui avait perturbé les ports, ou encore les fuites de données chez les bureaux de crédit Experian et TransUnion. Chaque fois, des millions de personnes ont vu leurs informations exposées.

La loi POPIA, pleinement en vigueur depuis 2021, prévoit des sanctions : amendes administratives pouvant atteindre 10 millions de rands, et dans les cas les plus graves des poursuites pénales. Mais son application reste progressive, et l’Information Regulator dispose de moyens limités face au nombre d’incidents. L’affaire MIP, par son ampleur et le nombre d’assureurs concernés, sera un test de sa capacité à faire respecter la loi.

Le risque des prestataires

L’affaire MIP illustre un risque que les entreprises sous-estiment souvent : celui de la chaîne d’approvisionnement numérique. Un assureur peut investir massivement dans la sécurité de ses propres systèmes, si un prestataire qui détient une copie de ses données est moins protégé, c’est par lui que les pirates passeront. Un seul fournisseur compromis, et ce sont des dizaines d’entreprises clientes qui se retrouvent exposées.

Certaines entreprises citées ont tenu à préciser leur situation. Guardrisk, filiale du groupe Momentum, a affirmé n’avoir aucune exposition directe à MIP, tout en reconnaissant qu’un de ses partenaires chargés de gérer environ 6 000 contrats d’assurance obsèques avait été touché. Cette précision montre la complexité des chaînes de sous-traitance dans l’assurance : l’assureur, ses partenaires de distribution, leurs prestataires informatiques.

Pour les régulateurs, cette complexité ne dilue pas la responsabilité : chaque assureur doit savoir quels prestataires détiennent les données de ses clients, avec quel niveau de protection, et comment il sera prévenu en cas d’incident. Dans les faits, beaucoup d’entreprises découvrent l’étendue de leur chaîne de sous-traitance au moment où elle cède. L’affaire MIP devrait pousser le secteur à cartographier ces dépendances et à auditer ses fournisseurs critiques, comme il le fait déjà pour ses risques financiers.

Les leçons pour toutes les entreprises

• Interdire la réutilisation des mots de passe et imposer la double authentification, surtout pour les accès des employés et des prestataires.
• Retirer vraiment les systèmes en fin de vie : effacer les données, couper les accès, surveiller jusqu’au bout.
• Exiger des prestataires un niveau de sécurité contrôlé, et des clauses de notification rapide dans les contrats.
• Préparer la réponse à incident à l’avance, y compris la position sur les rançons, pour ne pas décider dans la panique.

Pour les régulateurs sud-africains, l’enquête ne fait que commencer. Elle pourrait déboucher sur des sanctions, mais surtout sur des exigences plus strictes concernant la sélection et le contrôle des prestataires informatiques dans le secteur financier. Pour les centaines de milliers de clients concernés, le risque est immédiat : leurs données peuvent alimenter pendant des mois des tentatives d’escroquerie bien documentées, d’autant plus crédibles qu’elles citeront de vrais numéros de contrat.