Faux mails de l'assurance maladie : comment se protéger du phishing

Ces dernières semaines, des assurés de la Cpam ont reçus des mails frauduleux présentant le logo et la signature de l'organisme sollicitant l'envoi de données personnelles et bancaires. Comment s'en prémunir ?

Photo prise le 23 octobre 2012 à Paris du logo de l'Assurance Maladie devant un batiment de la Caisse primaire d'Assurance Maladie (CPAM).

Crédit : AFP

Je m'abonne à la newsletter « Économie »

C'est la nouvelle arnaque du moment sur Internet. Depuis plusieurs semaines, des mails comportant le logo et la signature de la Caisse primaire d'assurance maladie ont été reçus par des assurés. Leur adresse électronique (contact@assurancemaladie.fr) et leur objet (Ameli Assurance - Demande de modification d'adresse postale) incitent à la confiance, mais méfiance.

L'Assurance maladie a mis elle-même ses assurés en garde contre ces courriels. Pour cause : l'organisme demande aux victimes d'envoyer des coordonnées bancaires et des données personnelles à une adresse de réclamation supposée (reclamation.ameli.direct@gmail.com) au prétexte de valider ou rectifier un changement d'adresse.

"En aucun cas la Cpam ne demande à ses assurés d'adresser des informations de cette nature par courriel", rappelle d'ailleurs l'organisme de santé.

Vraisemblablement une arnaque au phishing

Il y a de fortes chances qu'il s'agisse d'une arnaque au phishing. Contraction des mots "fishing" (pêche en français) et "phreaking" (terme désignant le piratage des lignes électroniques) - le phishing est une technique dite de "hameçonnage" basée sur de faux mails qui visent à collecter les données bancaires ou les mots de passe des clients. À partir de ces documents, les pirates peuvent ensuite se livrer à des usurpations d'identité et à des escroqueries.

Ces faux courriels se présentent souvent comme des courriers envoyés par une source sûre, comme le Trésor public ou les banques. Trompées par l'expéditeur supposé, les victimes fournissent souvent elles-mêmes leurs propres données personnelles. Une autre possibilité consiste à envoyer des SMS ou des mails malveillants en masse qui contiennent un lien permettant d'installer, sans le savoir, un logiciel pirate qui pourra récupérer les données personnelles des personnes ainsi trompées.

Surveiller les mails et leur orthographe

Il s'agit donc de surveiller les mails et leur contenu. Les courriels émanant d'une structure officielle (la banque, EDF, ou la caisse d'allocations familiales par exemple) ne demandent jamais à leurs clients de saisir leurs informations personnelles directement dans un mail mais depuis un site Internet crypté. Dans ce cas, un petit cadenas apparaît systématiquement à gauche de l'URL du site pour garantir la confidentialité des informations.

Par ailleurs, en cas d'information importante, une banque ou un opérateur contactent généralement leurs clients par courrier ou par téléphone. Les mails utilisés dans le cadre des tentatives d'escroqueries font souvent état de situations alarmistes et comportent des fautes d'orthographes ou de syntaxe laissant penser que le message a été rédigé par un logiciel de traduction automatique.

Vérifier les adresses électroniques et les URL des sites internet

Dans certains cas de phishing, les victimes sont redirigées vers un faux-site, qui ressemble comme deux gouttes d'eau au site officiel. Il faut alors vérifier que l'URL est bien la même que celle du site copié.

En général, elle est beaucoup plus longue et compliquée et on peut remarquer que, dans le corps du mail, le texte affiché sous forme de lien ne correspond pas du tout au lien réel, dont l'adresse s'affiche lorsqu'on positionne le curseur dessus.

Dans le cas de l'arnaque aux faux mails de la Cpam, on peut s'apercevoir que l'adresse de réclamation ne correspond pas à celle d'un organisme officiel puisqu'elle se termine en "gmail.com".