Mon compte Ameli ou impots.gouv a été piraté : que faire ?

↑ Ce conseil fait partie du guide : Comptes en ligne piratés

Mon compte Ameli a été piraté et mon RIB a été changé, que faire ?

Changez d'abord le mot de passe de la boîte mail rattachée au compte, puis celui de l'espace lui-même. Remettez votre RIB, contrôlez l'adresse postale et le numéro de téléphone, signalez la fraude à l'organisme, et portez plainte. L'opposition bancaire ne sert à rien ici : l'argent n'est pas parti de votre compte.

1. Mot de passe de la boîte mail d'abord.
2. Mot de passe de l'espace ensuite.
3. Remettre le bon RIB, capture d'écran à l'appui.
4. Vérifier adresse, téléphone, mail de contact.
5. Signaler à l'organisme, puis porter plainte.

Comment on s'en aperçoit : trois signaux, jamais une alerte

Aucun organisme ne vous appelle pour vous dire que votre espace a été pris. La découverte se fait toujours par un détail, et le plus souvent avec quelques jours de retard.

• Un remboursement qui n'arrive pas. Le plus fréquent. Une consultation, une ordonnance, un relevé de l'Assurance Maladie qui indique « payé » alors que rien n'apparaît sur le compte bancaire. Un remboursement de soins tombe d'ordinaire en quelques jours : passé une semaine sans rien, on va regarder les coordonnées bancaires enregistrées.
• Un mail de confirmation que vous n'avez pas provoqué. Le libellé est presque toujours le même : « Vos coordonnées bancaires ont bien été modifiées », « Votre adresse de messagerie a été mise à jour ». Ce mail est une chance : il est daté, gardez-le, il servira de preuve.
• Un mot de passe qui ne fonctionne plus. Le plus net des trois. Si la personne a changé le mot de passe et l'adresse mail de contact, vous êtes dehors et il faudra passer par l'organisme, pas par le formulaire d'oubli.

Le même scénario se joue sur quatre espaces : ameli.fr (remboursements de soins), impots.gouv.fr (remboursement d'impôt, compte de prélèvement), caf.fr (allocations) et France Travail (indemnisation). Le mécanisme ne varie pas : on entre avec un mot de passe obtenu ailleurs, on ouvre la rubrique des coordonnées bancaires, on remplace l'IBAN par celui d'un compte de passage, et on attend le prochain versement.

Reprendre la main sur l'espace, dans l'ordre

L'ordre n'est pas décoratif. Changer le mot de passe de l'espace avant celui de la boîte mail, c'est laisser à la personne la possibilité de relancer un « mot de passe oublié » et de récupérer le lien dans votre messagerie. La boîte mail commande tout le reste.

1. Sécurisez la boîte mail rattachée au compte. Nouveau mot de passe, unique, puis déconnexion de toutes les sessions et vérification des règles de transfert automatique. Si vous ne savez pas où ça se règle, le guide du compte en ligne piraté détaille l'opération service par service.
2. Reprenez l'espace. Adresse tapée à la main, jamais un lien reçu par mail. Si le mot de passe fonctionne encore, changez-le. S'il ne fonctionne plus, n'insistez pas sur le formulaire d'oubli : appelez l'organisme, expliquez que l'adresse de contact a été modifiée, et demandez le blocage du compte. Pour l'Assurance Maladie, le 3646 fait ça très bien.
3. Remettez votre RIB — et vérifiez-le une seconde fois le lendemain. C'est le contrôle que personne ne fait : tant que la boîte mail n'est pas propre, une modification peut être rejouée.
4. Activez la double authentification si l'espace la propose. Les services publics l'ont ajoutée progressivement ; quand elle existe, elle suffit à rendre le mot de passe volé inutilisable. La fiche double authentification : comment ça marche explique quoi choisir entre le SMS et l'application.
5. Notez tout : dates, heures, captures. Le mail de confirmation du changement, l'écran des coordonnées bancaires, le relevé qui montre le versement absent. Vous les redemanderez trois fois : à l'organisme, au commissariat, à l'assurance.

Ce qu'il faut vérifier au-delà du RIB

Le RIB est ce qui se voit. Ce n'est pas le plus grave. Un espace administratif contient de quoi reconstituer une identité complète : nom, date de naissance, adresse, numéro de sécurité sociale ou numéro fiscal, situation familiale, parfois les revenus. C'est un dossier prêt à l'emploi pour ouvrir un crédit ou un abonnement ailleurs.

• L'adresse postale. Modifiée, elle fait partir ailleurs l'attestation de droits, la carte Vitale en cas de renouvellement, les courriers de l'administration. C'est le réglage le plus souvent touché après le RIB, et presque jamais vérifié.
• L'adresse mail et le numéro de téléphone de contact. Tant qu'ils ne sont pas les vôtres, le compte reste récupérable par l'autre.
• Les documents téléchargés. Sur impots.gouv.fr, un avis d'imposition téléchargé est une pièce justificative acceptée à peu près partout : bailleurs, organismes de crédit, opérateurs.
• Les demandes en cours. Une demande de carte Vitale, un changement de médecin traitant, une déclaration de changement de situation : tout ce qui a été soumis depuis l'espace doit être relu.

Si ces informations ont servi ailleurs — un crédit ouvert à votre nom, un abonnement téléphonique souscrit —, vous changez de sujet et la fiche usurpation d'identité : les démarches dans l'ordre prend le relais : le droit d'accès au fichier de la Banque de France y est expliqué, et c'est lui qui dit ce qui a été ouvert en votre nom.

L'effet domino FranceConnect

C'est le point que les articles sur le sujet ne traitent pas, et c'est le plus important. FranceConnect permet d'entrer sur un service public avec les identifiants d'un autre : impots.gouv.fr, ameli, l'Identité Numérique La Poste. Pratique pour vous, pratique pour l'autre. Un espace impots.gouv.fr pris, ce n'est pas un compte : c'est un passe.

Concrètement, avec un seul mot de passe, la personne peut ouvrir votre espace Assurance Maladie, votre espace CAF, votre compte France Travail, votre dossier à l'ANTS. Elle n'a pas besoin de connaître les mots de passe de ces services : elle n'en a jamais eu besoin.

Donc, une fois le compte d'origine repris, faites le tour :

1. Ouvrez franceconnect.gouv.fr et consultez l'historique des connexions : il liste les services auxquels votre identité a servi à se connecter, avec les dates. Une ligne que vous ne reconnaissez pas désigne exactement l'espace à aller vérifier.
2. Allez voir chacun de ces espaces et contrôlez-y les mêmes quatre points : RIB, adresse, mail, téléphone.
3. Changez le mot de passe du fournisseur d'identité — celui avec lequel on se connecte — et pas seulement celui du service où vous avez vu le dégât.

Signaler la fraude, dans le bon ordre

Il y a une hiérarchie, et une erreur classique. L'erreur : appeler sa banque pour faire opposition. Ça ne sert à rien. Rien n'a été prélevé sur votre compte : un versement qui vous était destiné a simplement été envoyé ailleurs. Votre banque n'a rien à bloquer, et Perceval ne s'applique pas non plus — ce téléservice traite la fraude à la carte bancaire, pas le détournement d'un virement de l'administration.

Ce qui sert, dans l'ordre :

1. L'organisme concerné, le jour même. Assurance Maladie : le 3646, ou la rubrique de signalement de fraude de votre compte ameli. Impôts : la messagerie sécurisée de l'espace particulier, ou le numéro figurant sur votre avis d'imposition. CAF et France Travail : la rubrique contact de leur site. Demandez explicitement que le versement détourné soit tracé et que le dossier passe au service antifraude.
2. La plainte. Commissariat, gendarmerie, ou plainte en ligne. Elle qualifie les faits — accès frauduleux à un système de traitement automatisé de données, escroquerie — et elle est souvent réclamée par l'organisme avant de rouvrir le dossier. La fiche porter plainte après un piratage dit quoi apporter pour ne pas y retourner deux fois.
3. 17Cyber et cybermalveillance.gouv.fr. Gratuit, en ligne, en quelques minutes : ça oriente et ça laisse une trace datée.
4. Pharos (internet-signalement.gouv.fr) si le point de départ est un faux site ou un faux message : c'est ce signalement-là qui fait fermer la page.

Si tout est parti d'un SMS ou d'un mail, gardez-le : c'est la pièce qui explique l'intrusion. Les deux campagnes les plus actives sont décrites dans faux SMS Ameli ou CAF et faux mail des impôts.

L'argent parti : ce qui se passe vraiment

Il faut le dire franchement : personne ne peut vous garantir un remboursement immédiat, et les pages qui l'affirment se trompent. Voici ce qu'on observe réellement.

Le versement est parti vers un compte de passage — souvent ouvert en ligne avec une identité volée, parfois le compte d'une personne recrutée comme « mule » sans qu'elle mesure ce qu'elle fait. L'argent y reste rarement longtemps. L'organisme, lui, considère qu'il a payé : la somme est sortie de ses caisses.

À partir de là, deux choses se jouent en parallèle. L'organisme ouvre une enquête interne pour établir que le changement de coordonnées n'était pas de votre fait — c'est là que servent le mail de confirmation daté, la capture de l'IBAN et le récépissé de plainte. Et il tente de récupérer les fonds auprès de la banque destinataire, ce qui aboutit quand le compte n'a pas encore été vidé. Dans les dossiers dont on me parle, ça se compte en semaines, pas en jours, et le versement est réémis une fois la fraude établie. Relancez par écrit, gardez chaque numéro de dossier.

Un mot sur l'assurance : beaucoup de contrats habitation incluent une garantie « protection juridique » ou une assistance en cas de fraude en ligne. Regardez vos conditions générales avant de payer quoi que ce soit à qui que ce soit — et écartez les « hackers » qui promettent de récupérer un compte : c'est l'arnaque qui vise les victimes une seconde fois.

Par où ils sont entrés, et comment fermer

Dans la quasi-totalité des cas qu'on me raconte, il n'y a eu ni faille ni exploit : le mot de passe était connu. Trois chemins, par ordre de fréquence.

• Une fuite ailleurs, réutilisée ici. Le même mot de passe sur un site marchand piraté et sur l'espace administratif. Les couples adresse mail + mot de passe issus des fuites sont rejoués automatiquement sur des centaines de sites. Vérifiez votre adresse en deux minutes : savoir si mon adresse mail a fuité.
• Un faux SMS ou un faux mail. « Votre remboursement est en attente, mettez à jour vos coordonnées » : la page copiée récupère les identifiants, et la connexion réelle suit dans la foulée. C'est le mode d'entrée le plus rapide, parce que la victime livre elle-même le mot de passe.
• Une boîte mail déjà prise. Le plus discret : on ne connaît pas le mot de passe de l'espace, on le réinitialise depuis la messagerie, et on efface le mail. D'où la règle rappelée plus haut : la boîte mail d'abord, toujours.

Ce qui ferme durablement la porte tient en trois lignes : un mot de passe différent sur chaque espace administratif, la double authentification partout où elle est proposée, et l'habitude de ne jamais ouvrir un espace public depuis un lien reçu — on tape l'adresse, ou on passe par un favori. Prenez dix minutes une fois, et vérifiez le RIB affiché sur chacun de vos quatre espaces : c'est le contrôle le plus rentable de l'année.

Si vous préférez que quelqu'un le fasse avec vous, un échange de quinze minutes au téléphone suffit à fixer l'ordre des opérations, et il est gratuit. Pour passer en revue les quatre espaces, la boîte mail et les mots de passe à quatre mains, l'assistance à distance démarre à 19 € la demi-heure ; le détail est sur la page tarifs.

Questions fréquentes

Mon RIB a été changé sur Ameli, dois-je faire opposition à ma banque ?

Non. Rien n'a été débité de votre compte : un versement qui vous revenait a été envoyé sur un autre compte. Votre banque n'a rien à bloquer, et Perceval ne s'applique pas puisqu'il ne traite que la fraude à la carte bancaire. C'est l'organisme payeur qu'il faut alerter, le jour même.

Vais-je être remboursé du versement détourné ?

Dans la plupart des cas oui, mais pas immédiatement. L'organisme doit établir que le changement de coordonnées bancaires n'était pas de votre fait, puis réémettre le versement. Le mail de confirmation daté, la capture de l'IBAN frauduleux et le récépissé de plainte accélèrent nettement le dossier.

Je n'arrive plus du tout à me connecter à mon espace, que faire ?

N'insistez pas sur le formulaire de mot de passe oublié si l'adresse mail de contact a été modifiée : le lien partira chez l'autre. Appelez l'organisme, demandez le blocage du compte et sa réinitialisation. Pour l'Assurance Maladie, c'est le 3646 ou un rendez-vous en accueil, pièce d'identité en main.

Faut-il aussi vérifier mes autres comptes administratifs ?

Oui, systématiquement. FranceConnect permet d'entrer sur un service public avec les identifiants d'un autre : un espace impôts pris ouvre l'Assurance Maladie, la CAF et France Travail. Consultez l'historique de connexion sur franceconnect.gouv.fr, puis contrôlez le RIB de chaque espace.

Dois-je changer mon numéro de sécurité sociale ou mon numéro fiscal ?

Ce n'est pas possible, et ce n'est pas le problème. Ces numéros ne sont pas des secrets : ils figurent sur votre carte Vitale et sur votre avis d'imposition. Ce qui protège le compte, c'est le mot de passe et la double authentification, pas la confidentialité de l'identifiant.

Combien de temps faut-il garder les preuves ?

Jusqu'à la clôture complète du dossier, et au moins un an. Gardez les mails de confirmation, les captures d'écran, le récépissé de plainte et les numéros de dossier de l'organisme. Une fraude administrative ressort parfois des mois plus tard, sous la forme d'un indu réclamé ou d'un crédit inconnu.

Sources

• Cybermalveillance.gouv.fr — Piratage de compte en ligne (la marche à suivre officielle et le signalement).
• Cybermalveillance.gouv.fr — Usurpation d'identité (quand les données de l'espace servent ailleurs).
• FranceConnect (les fournisseurs d'identité et l'historique de connexion).
• 17Cyber (l'assistance en ligne des forces de l'ordre, gratuite).

À lire aussi : un code de vérification reçu sans l'avoir demandé · mot de passe volé ou fuité · le guide compte piraté.