Mon numéro de sécurité sociale a été piraté : ce qu'on peut vraiment en faire

↑ Ce conseil fait partie du guide : démarches, recours, remboursement

Mon numéro de sécurité sociale est piraté : que faire ?

Vérifiez vos remboursements, pas votre numéro. Il ne se change jamais : l'Assurance Maladie l'attribue à la naissance et le garde à vie. Seul, il n'ouvre aucun compte et ne déclenche aucun virement. Il sert surtout à rendre crédible un faux conseiller. Ouvrez votre compte ameli, changez le mot de passe, prévenez votre mutuelle.

1. Ouvrez votre compte ameli, rubrique « Mes paiements ».
2. Changez le mot de passe et vérifiez le RIB.
3. Prévenez votre mutuelle et lisez ses décomptes.
4. Signalez la fuite sur cybermalveillance.gouv.fr.
5. Déposez plainte si des soins inconnus apparaissent.

Les treize chiffres ne sont pas un secret

C'est la première chose à comprendre, et elle change tout le reste : un numéro de sécurité sociale n'est pas un mot de passe, c'est un identifiant. Son nom administratif le dit sans détour : c'est un numéro d'immatriculation, celui qui vous rattache à toute la protection sociale — maladie, retraite, famille, chômage. L'INSEE l'attribue à la naissance et il ne dépend pas de votre caisse : il reste le même que vous releviez du régime général, de la MSA ou d'un régime spécial, et il suit vos droits jusque chez votre complémentaire santé. Il se lit partout : sur chacune de vos fiches de paie, sur les décomptes de votre mutuelle, sur une feuille de soins, dans le dossier de votre employeur, chez votre caisse de retraite. Il a circulé cent fois avant la fuite qui vous inquiète aujourd'hui.

Mieux vaut le savoir : dix de ces treize chiffres se devinent quand on connaît votre état civil. Le NIR est construit selon une règle publique, et la clé qui le suit n'est qu'un calcul sur les treize précédents.

Ce que chaque chiffre dit de vous

Position	Ce qu'il indique	Se devine ?
1er chiffre	le sexe à l'état civil (1 ou 2)	oui
chiffres 2 et 3	l'année de naissance	oui
chiffres 4 et 5	le mois de naissance	oui
chiffres 6 à 10	le département et la commune de naissance	oui
chiffres 11 à 13	le numéro d'ordre au registre d'état civil	non
les 2 derniers	la clé de contrôle, calculée sur les 13 autres	elle se calcule

Conclusion pratique : ce numéro ne se protège pas comme un secret. Ce qui se protège, c'est ce qu'on lui associe : le mot de passe de votre espace ameli, le compte bancaire enregistré dedans, et votre réflexe quand le téléphone sonne.

Ce qu'un escroc peut en faire, et ce qu'il ne peut pas

Ce qu'un numéro seul ne permet pas. Il n'ouvre pas votre espace ameli : l'accès demande un mot de passe, et la création du compte passe par un code que la caisse primaire envoie elle-même, ou par FranceConnect. Il ne touche pas à votre compte bancaire, n'affiche aucun remboursement, ne donne accès à aucune donnée médicale, et ne suffit pas à souscrire un crédit : un prêteur exige une pièce d'identité et des justificatifs de revenus.

Ce qu'il permet vraiment. Un seul usage, mais il est redoutable : rendre crédible un hameçonnage. Quelqu'un qui vous appelle en récitant votre nom, votre date de naissance et vos treize chiffres passe pour votre caisse primaire d'assurance maladie, et c'est là qu'il réclame le RIB ou le code reçu par SMS. Ajouté à une pièce d'identité volée, il peut aussi servir à monter un dossier à votre nom : c'est le terrain de l'usurpation d'identité. Enfin, il peut servir à se faire soigner sous votre identité — une fraude qui laisse une trace, et c'est elle qu'on va regarder.

Vérifier que personne ne s'en est servi : quatre rubriques

Un usage frauduleux qui rapporte laisse une trace comptable. Tout se regarde depuis votre espace assuré sur ameli.fr, gratuitement, en dix minutes, rubrique par rubrique.

1. « Mes paiements ». Chaque ligne porte une date, un professionnel de santé et un montant. Vous cherchez l'acte que vous n'avez pas eu : une consultation un jour où vous travailliez, un praticien à 300 km, une pharmacie inconnue. C'est le seul indice fiable d'une fraude à la carte Vitale.
2. « Mes informations personnelles ». Trois lignes s'y lisent d'un coup d'œil. Le compte bancaire qui reçoit vos remboursements : c'est celui que les escrocs changent en priorité, et le mode opératoire est dans la fiche sur un compte Ameli ou impots.gouv piraté. Votre médecin traitant déclaré : un praticien que vous n'avez jamais vu à cette place signale une déclaration faite en votre nom. Votre complémentaire santé enfin, avec l'état de la télétransmission : si le lien a sauté ou pointe vers un organisme inconnu, vos décomptes partent ailleurs.
3. « Ma carte Vitale ». La rubrique donne l'état de votre carte et permet d'en déclarer la perte. Si elle annonce une carte en fabrication que vous n'avez pas demandée, appelez le 3646 le jour même.
4. Les décomptes de votre mutuelle. La part complémentaire ne figure pas sur ameli : elle se lit dans votre espace chez l'organisme lui-même — souvent celui qui a fuité. Quand la télétransmission fonctionne, ces décomptes tombent sans que vous envoyiez quoi que ce soit ; s'ils cessent d'arriver, c'est que le lien a été coupé.

Un mot sur un document qu'on envoie sans y penser : l'attestation de droits, le PDF téléchargeable depuis « Mes démarches ». Il porte votre numéro d'immatriculation en clair, à côté de votre état civil. Il se transmet à un employeur ou à une mutuelle — jamais à un bailleur ni à un « service de vérification ».

Changez au passage le mot de passe, et cherchez un journal des connexions : la méthode pour lire ces traces est dans la fiche savoir qui a piraté son compte. Si une ligne vous échappe, le 3646 répond du lundi au vendredi de 8 h 30 à 17 h 30 ; la messagerie de votre espace laisse, elle, une trace écrite et datée, ce qui vaut mieux pour un litige.

Peut-on obtenir un nouveau numéro ? Non

C'est la première question posée sur le forum de l'Assurance Maladie, et la réponse est franche : cette immatriculation est attribuée à la naissance et reste valable à vie, quel que soit le régime dont vous relevez. Elle ne change ni après une usurpation, ni après un dépôt de plainte : aucune démarche n'existe pour en demander une autre.

Deux nuances font croire le contraire. Une carte Vitale se fait refaire, mais la carte neuve porte le même numéro : on remplace le support, pas l'identifiant. Et les personnes nées à l'étranger reçoivent d'abord un numéro provisoire, remplacé par un numéro définitif une fois l'état civil vérifié : une régularisation, pas une mesure de sécurité.

Le faux conseiller de la CPAM : ce qu'il dit

Les messages qui suivent une fuite reposent sur les deux mêmes prétextes, les deux seuls qui justifient de vous demander quelque chose : un remboursement en attente, et une carte Vitale à mettre à jour. Mot pour mot : « votre carte Vitale arrive à expiration », « votre nouvelle carte est prête, confirmez votre adresse », « un remboursement est en attente, vérifiez vos coordonnées bancaires ».

Trois repères suffisent à trancher, et ils ne demandent aucune compétence technique :

• Une carte Vitale ne se périme pas. Elle se met à jour gratuitement en pharmacie, jamais par un lien reçu par SMS.
• Un remboursement ne se « débloque » pas. Il tombe seul sur le compte bancaire déjà connu de votre caisse. Personne n'a besoin de votre RIB pour vous verser un argent que vous recevez déjà.
• Un appel entrant ne se vérifie pas au téléphone. On raccroche, on rappelle le 3646 soi-même. Un escroc, lui, essaie de vous garder en ligne.

Les libellés exacts sont dans la fiche sur les faux SMS Ameli et CAF. Le même scénario joué par un prétendu banquier est décrit dans la fiche sur le faux conseiller bancaire ; et si un RIB vous est transmis, les vérifications gratuites sont dans la fiche reconnaître un faux RIB.

Les démarches qui servent vraiment

Quatre, pas plus, et chacune a un destinataire précis.

1. Votre caisse primaire d'assurance maladie, dès qu'un remboursement inconnu apparaît. C'est elle qui bloque, qui annule un changement de situation enregistré à tort et qui ouvre une enquête sur l'usage frauduleux — et non la Caisse nationale de l'assurance maladie, qui pilote le réseau mais ne traite aucun dossier d'assuré. Écrivez par la messagerie de votre espace ameli, ou appelez le 3646 ; si le litige s'installe, doublez-le d'une réclamation par courrier à votre caisse primaire, dont l'adresse figure sur vos décomptes.
2. La plainte, au commissariat ou à la gendarmerie, quand votre identité a servi : soins facturés, dossier ouvert à votre nom, courrier d'un organisme inconnu. L'Assurance Maladie le recommande elle-même, et le récépissé vous servira partout ensuite ; le détail est dans le guide sur porter plainte et signaler un piratage.
3. Le signalement sur cybermalveillance.gouv.fr, ou par 17Cyber : gratuit, utile même sans préjudice, parce qu'il documente une campagne en cours.
4. La réclamation à la CNIL, quand l'organisme qui a laissé fuir vos données ne vous a rien dit. Il doit notifier la violation à la CNIL sous 72 heures et informer les personnes concernées dans les meilleurs délais quand le risque est élevé. La réclamation se dépose en ligne ou par courrier.

Cette même fuite donne la mesure exacte du risque. Elle portait sur plus de 33 millions de personnes, et les données parties étaient l'état civil, la date de naissance, le numéro de sécurité sociale, le nom de l'assureur et les garanties du contrat. Elle ne contenait ni coordonnées bancaires, ni données médicales, ni remboursements, ni adresse postale, ni téléphone, ni e-mail. De quoi paraître crédible au téléphone — et rien pour prélever un centime.

Si une ligne de remboursement vous échappe, une assistance à distance de trente minutes suffit à regarder ensemble le compte bancaire enregistré et les connexions ; les tarifs sont affichés, et vous pouvez aussi décrire votre situation par écrit.

Ce qui ne sert à rien

• Réclamer un nouveau numéro. Il n'existe pas de procédure, et insister fait perdre les jours où il fallait regarder ses remboursements.
• Commander une carte Vitale « par précaution » depuis « Ma carte Vitale ». La neuve porte le même numéro : on la refait si elle est perdue, volée ou illisible, pas parce qu'un fichier a fuité ailleurs.
• Supprimer son compte ameli. C'est l'inverse du bon geste : votre espace est justement l'endroit où se lisent les remboursements et où se vérifie le compte bancaire. Fermé, il ne protège rien.
• Payer une « surveillance d'identité ». Ces services recopient des alertes gratuites. Aucun prestataire ne fait retirer un numéro d'un fichier volé, le mien pas davantage.
• Passer un antivirus en urgence. La fuite vient du fichier d'un organisme, pas de votre ordinateur. Autre sujet, à traiter seulement si la machine se comporte bizarrement.
• Chercher ses treize chiffres sur un site de fuites. Ces services comparent des adresses de messagerie et des mots de passe, pas des numéros : une réponse rassurante n'y prouve rien. Pour faire retirer des informations personnelles qui circulent vraiment, voyez la fiche supprimer ses données personnelles sur Internet.

Questions fréquentes

Peut-on changer de numéro de sécurité sociale après une usurpation ?

Non. Cette immatriculation est attribuée à la naissance et vaut à vie : aucune démarche n'en donne une autre, même avec une plainte. Ce qui se change, c'est le mot de passe de votre espace ameli et le compte bancaire enregistré dedans.

Que peut faire quelqu'un avec seulement mon numéro de sécurité sociale ?

Presque rien de direct : il n'ouvre pas votre espace ameli, ne touche pas à votre compte bancaire et ne donne accès à aucune donnée médicale. Son usage réel est de rendre crédible un appel qui, lui, réclamera un RIB ou un code.

Comment savoir si mon numéro a été utilisé ?

Ouvrez « Mes paiements » dans votre espace ameli et lisez les remboursements ligne à ligne. Vérifiez ensuite « Mes informations personnelles » : compte bancaire, médecin traitant, complémentaire santé. Puis les décomptes de votre mutuelle.

Mon numéro figure sur mes fiches de paie : est-ce normal ?

Oui. L'employeur l'utilise pour la paie et les cotisations ; il figure donc sur le bulletin, comme sur votre attestation de droits. C'est pourquoi il ne se traite pas comme un secret : il circule légalement dans la sphère santé, social et travail, du régime général aux régimes spéciaux.

Un site marchand me demande mon numéro de sécurité sociale : dois-je le donner ?

Non. Hors organismes de protection sociale, professionnels de santé, mutuelles et employeurs, personne n'a le droit de l'enregistrer : c'est encadré par décret. Sur un site de vente ou de livraison, la demande est frauduleuse.

Dois-je porter plainte si aucun remboursement suspect n'apparaît ?

Ce n'est pas indispensable. Un signalement gratuit sur cybermalveillance.gouv.fr suffit tant qu'il n'y a pas de préjudice. La plainte devient utile dès qu'un acte a été facturé ou qu'un dossier a été ouvert à votre nom.

Combien de temps l'organisme a-t-il pour me prévenir d'une fuite ?

Il doit notifier la violation à la CNIL sous 72 heures et informer les personnes concernées quand le risque est élevé. Passé ce délai sans nouvelle, la réclamation est gratuite, en ligne ou par courrier.

Sources

• INSEE — numéro d'inscription au répertoire (NIR) (composition des 13 chiffres).
• CNIL — qui peut me demander mon numéro de sécurité sociale ?
• CNIL — le décret « cadre NIR » (usages autorisés dans la sphère santé, social et travail).
• CNIL — violation de données de deux opérateurs de tiers payant (données concernées, information des assurés).
• Assurance Maladie — usurpation du numéro de sécurité sociale (prévenir la caisse, déposer plainte).
• ameli.fr — adresses et contacts (le 3646 et la messagerie).
• Cybermalveillance.gouv.fr (signalement et diagnostic en ligne).

À lire aussi : le RIB changé sur un compte Ameli ou impots.gouv · les démarches en cas d'usurpation d'identité · les faux SMS Ameli et CAF.