Ce courrier de l'Assurance maladie est un faux : il cache un piège redoutable
Attention si vous trouvez un courrier de l'Assurance maladie dans votre boîte aux lettres en ce moment ! Il s'agit d'une nouvelle technique des escrocs pour vous arnaquer à l'aide d'un piège très bien fait.
À l'heure où les arnaques par Internet et par téléphone se multiplient, suscitant une méfiance croissante des usagers, les escrocs n’hésitent pas à utiliser des moyens plus traditionnels pour mieux tromper leurs victimes. Or, depuis août dernier, de nombreux bénéficiaires ont trouvé des courriers semblant provenir de l'Assurance maladie dans leur boite aux lettres, obligeant la police nationale à tirer la sonnette d'alarme dans une alerte publiée sur X il y a quelques jours.
La missive est tout ce qu'il y a de plus crédible, puisqu'on y retrouve le logo, les codes visuels et la formulation de l'Assurance maladie. Le message les invite à effectuer une certaine démarche afin de "renforcer la protection de [leur] compte Ameli", dans le but de garantir que seuls les titulaires légitimes puissent accéder à leurs droits et à leurs prestations.
Le ton du courrier est sérieux et pressant. La personne ne dispose généralement que d'un court délai pour effectuer la procédure, sous peine de voir son compte Ameli bloqué et ses droits et remboursements suspendus. Parfois, il y a même une mise en garde, rappelant que, pour des raisons de sécurité, il ne faut "jamais communiquer [ses] identifiants ou mots de passe à des tiers, ni cliquer sur des liens non vérifiés reçus par e-mail ou SMS". Mais le danger vient d'ailleurs…
Car, pour réaliser la procédure, les bénéficiaires sont invités à scanner "QR code officiel d'accès sécurisé". Or, une fois le fameux motif scanné, ils atterrissent sur un site piégé qui n'a rien à voir avec l'Assurance maladie et qui s'occupe de dérober leurs identifiants, dont leur précieux numéro de sécurité sociale. Une fois en leur possession, les pirates n'ont plus qu'à se connecter à leurs comptes pour détourner les remboursements et s'en mettre plein les poches.
Ces arnaques, que l'on appelle quishing – une variante du phishing, mais via un QR code –, sont particulièrement efficaces car elles s'appuient sur un objet tangible pour inspirer confiance et contourner notre vigilance. Alors que nous avons, pour la plupart, intégré le réflexe de ne pas cliquer sur un lien douteux reçu par mail ou SMS, nous restons bien plus enclins à scanner machinalement un QR code présent sur un support physique.
Il existe heureusement des signes pour repérer ce genre d'arnaques. Ainsi, la police nationale souligne que "l'enveloppe n'est pas affranchie" et ne comporte pas le nom de la cible – mais ce n'est pas pour autant qu'il faut baisser ses défenses s'il y est, car il est assez simple de trouver ce type d'informations sur le Dark Web, surtout avec toutes les fuites de données qu'il y a eu dernièrement. En cas de courrier suspect, mieux vaut contacter directement l'organisme concerné – comme la CPAM – plutôt que de céder au réflexe du scan.
La police rappelle également qu'un "QR code ne sert jamais à réaliser une transaction ou une démarche", car son "rôle est simplement de vous rediriger vers une information". Le mieux est de ne jamais scanner un QR code sans raison valable, quel que soit le support sur lequel il apparaît. Mais attention, tous les messages de l'Assurance maladie ne sont pas frauduleux pour autant ! L'organisme devrait d'ailleurs commencer à envoyer prochainement de nombreux mails aux bénéficiaires pour leur demander de vérifier leurs remboursements, lorsque un ou plusieurs paiements ont été effectués en son nom.