Ce n’est pas la première fois que le site Web de la Caisse d’assurance maladie est victime d’une campagne frauduleuse sur Internet. Mais cette fois la méthode employée et surtout la qualité des faux courriels reçus par des internautes français sont suffisamment inquiétantes pour que la police nationale émette, lundi 22 mai, un bulletin d’alerte sur son compte Twitter.

Cette nouvelle vague, qui a débuté en début de mois, s’apparente à celle qui avait touché la France à la mi-janvier. Le principe est toujours le même : un e-mail ayant pour objet « REMBOURSEMENT : DOSSIER AML-591783021 » ou « assure.ameli.fr : remboursement de 89,00 euros » et semblant provenir du site Ameli.fr. Ces e-mails renvoient sur un faux site, qui incite l’internaute à rentrer ses coordonnées et autres informations personnelles.

Dans ce courriel il est expliqué que l’assuré est éligible à un remboursement dont le montant varie suivant le message. Le texte reproduit à l’identique un courrier légitime de la Caisse d’assurance-maladie, il est donc exempt de fautes d’orthographe qui permettaient auparavant de détecter une tentative frauduleuse.

Exemple de courriel de phishing (« hameçonnage ») concernant le site Ameli.fr. | D.R.

La Caisse d’assurance-maladie met en garde sur son site et donne quelques éléments permettant de se protéger. Deux éléments permettent de reconnaître les faux courriels : l’absence du nom de l’assuré dans le corps du message, et le fait que les liens contenus dans le message ne renvoient pas vers le site Ameli.fr, comme le montre la barre d’adresse dans la capture d’écran ci-dessous.

Formulaire de saisie pirate identique à celui du site officiel Ameli.fr à un détail près : la demande du mot de passe de messagerie. | D.R.

Enfin, il est à noter qu’il est plus difficile de vérifier la légitimité de ces liens lorsque l’on effectue une consultation sur son téléphone mobile. Il est donc conseillé de ne faire ces démarches que sur un ordinateur, lui-même protégé par un antivirus à jour. Dans tous les cas, il est recommandé de signaler de tels messages sur le site Signal Spam.

Exemple de message de tentative de phishing (« hameçonnage ») reçu sur téléphone mobile. La vérification des liens en est plus difficile. Il est donc recommandé de vérifier sur un ordinateur. | D.R.