Un email annonce que votre « nouvelle carte Vitale » est prête à être expédiée : il suffit de régler quelques euros de prétendus frais de port. Une voix familière, au téléphone, vous alerte sur une activité suspecte de votre compte. Un troisième message cite votre adresse et votre identifiant fiscal, tous les deux exacts.
Ces trois pièges n'ont pas le même ressort, et un seul suppose une machine. Ce qui a changé cet été est ailleurs : un message peut désormais contenir des informations vraies sur vous, et être entièrement faux.
La fausse nouvelle carte Vitale, un leurre très actif
Des SMS et des courriels imitant l'Assurance Maladie circulent en masse. Le message annonce une prétendue « nouvelle carte Vitale » prête à être expédiée, ou une « carte Vitale biométrique obligatoire ». Le lien renvoie vers un faux site qui reproduit l'apparence d'ameli.fr. La victime y saisit son numéro de Sécurité sociale et ses coordonnées bancaires pour régler de prétendus frais d'expédition. Une fois captées, ces données sont revendues ou utilisées pour des prélèvements frauduleux. Les données de santé figurent parmi les plus convoitées, comme l'a montré la fuite de données du prestataire Cegedim.
Trois rappels suffisent à écarter ce type de message. Une carte Vitale n'a pas de date d'expiration imposant un renouvellement : aucune campagne de remplacement n'est en cours. L'Assurance Maladie ne demande jamais de coordonnées bancaires par courriel ou par SMS. Et le remplacement d'une carte perdue, volée ou abîmée est gratuit, depuis le compte ameli.
En revanche, un réflexe très répandu ne protège plus : examiner l'expéditeur. Un nom et une adresse d'envoi s'imitent. La seule vérification qui tienne consiste à quitter le message et à ouvrir soi-même l'application ou à taper ameli.fr dans son navigateur.
Les vols de l'été ont donné aux escrocs des morceaux de vérité
Le 14 août, l'administration fiscale a confirmé des accès illégitimes à son système d'information ; sa page, actualisée depuis, situe ces accès en juin, juillet et août 2026. Les investigations ont établi la consultation ou l'extraction possible de données concernant 678 000 particuliers et professionnels : numéro fiscal, état civil, coordonnées postales, téléphoniques et électroniques. Les espaces personnels, eux, n'ont pas été compromis, et les mots de passe n'ont pas été dérobés.
Ce détail compte moins qu'il n'y paraît. Pour écrire un message crédible, le mot de passe importe peu : quelques informations exactes suffisent. L'administration prévient d'ailleurs elle-même que ces données peuvent servir à rendre plus convaincants un hameçonnage ou un appel de faux conseiller bancaire. Elle contacte depuis le 17 août chaque personne concernée, par courriel ou par courrier — un moment que les escrocs guettent, puisqu'il leur suffit d'imiter cette alerte-là.
Une intrusion distincte a visé l'Éducation nationale dans la nuit du 25 juillet, rendue publique le 31. Elle a touché le système consacré à la formation des personnels, après l'usurpation d'un compte professionnel. Les données d'identité et professionnelles de tous les agents ayant travaillé dans une académie depuis 2001 s'y trouvaient ; pour une partie d'entre eux, une adresse postale, un numéro de téléphone et un numéro de Sécurité sociale ont pu être accessibles. Le ministère indique que ni coordonnées bancaires, ni mots de passe, ni données d'élèves ne figuraient dans cet environnement. Les auteurs présumés revendiquent depuis un vol beaucoup plus large, élèves compris : cette ampleur-là reste une revendication, que les expertises n'ont pas établie.
Ces affaires ne signifient pas qu'un fraudeur détient le dossier complet de chaque Français. Elles périment en revanche un raisonnement que nous faisions tous : « il connaît mon adresse, donc il travaille vraiment pour ma banque ». Nous avons détaillé ailleurs ce qu'un fraudeur peut faire d'un numéro fiscal volé et les démarches à faire après une fuite.
Ce que l'intelligence artificielle change, et ce qu'elle ne change pas
Il serait commode d'attribuer la poussée des escroqueries à une seule technologie. Un faux site ameli se fabrique sans intelligence artificielle. L'usurpation du numéro affiché sur le téléphone, ce qu'on appelle le « spoofing », n'en demande pas davantage. Les faux centres d'appels existaient bien avant les modèles génératifs.
Ce que ces outils changent, c'est le coût et la peine : écrire un français correct, traduire, adapter un même message à des milliers de profils, produire une image, imiter une voix. La CNIL relève que les hypertrucages deviennent plus réalistes et plus accessibles, et qu'ils servent notamment à la fraude et à l'usurpation d'identité. Un court extrait vocal publié en ligne peut suffire à fournir de la matière à certains outils de clonage de voix. Couplé au numéro usurpé, le procédé permet de passer pour un conseiller bancaire ou pour un proche.
Le vieux conseil « je reconnais sa voix » ou « le numéro de la banque s'affiche » a donc perdu une partie de sa valeur. Mais ce n'est pas une technologie qui explique la poussée : c'est un assemblage. Données volées revendues, kits d'hameçonnage prêts à l'emploi, faux sites en série, usurpation de numéro, centres d'appels, et maintenant outils génératifs.
Ce que disent les chiffres
Une enquête du Crédoc permet de sortir des seuls dossiers déposés. Parmi les internautes de 15 ans et plus, 73 % ont été confrontés à au moins une des situations étudiées au cours de l'année écoulée, et 39 % déclarent en avoir été victimes.
La proportion monte à 59 % chez les 15-24 ans, contre 35 % chez les 40-59 ans. Contrairement à une intuition répandue, la familiarité avec le numérique ne protège pas : elle expose davantage, parce qu'elle multiplie les usages.
Du côté des forces de sécurité, le ministère de l'Intérieur a enregistré 453 200 crimes et délits liés au numérique en 2025, en hausse de 14 % sur un an. Le chiffre recouvre des infractions très diverses, des atteintes aux biens comme aux personnes : il ne se lit pas comme un décompte d'arnaques en ligne.
Enfin, Cybermalveillance.gouv.fr a traité 504 000 demandes d'assistance en 2025, soit 20 % de plus qu'en 2024. L'hameçonnage y arrive en tête, tous publics confondus, et les demandes liées aux violations de données ont plus que doublé.
Trois réponses publiques, trois problèmes différents
La première est en vigueur depuis le 11 août. Un professionnel ne peut plus, en principe, démarcher un consommateur par téléphone sans avoir recueilli son accord au préalable. La logique s'inverse : il fallait demander à ne pas être appelé, via Bloctel, qui disparaît ; c'est désormais au professionnel de prouver le consentement. Des exceptions demeurent, notamment l'appel lié à un contrat en cours et les abonnements à la presse.
Deux précisions comptent ici. Les créneaux autorisés — du lundi au vendredi, hors jours fériés, de 10 à 13 heures puis de 14 à 20 heures, quatre sollicitations au maximum sur trente jours — ne datent pas de cet été : ils existaient déjà, et le décret du 23 juillet porte sur le recueil et le retrait du consentement. Surtout, cette réforme encadre les professionnels qui respectent le droit. Un escroc qui se fait passer pour votre banque était déjà hors la loi : la règle nouvelle ne dresse aucune barrière technique devant son appel. Elle change autre chose : un appel commercial non sollicité devient, sauf exception, anormal par défaut.
La deuxième réponse vient de Bruxelles. Depuis le 2 août, les obligations de transparence du règlement européen sur l'intelligence artificielle s'appliquent. Elles visent explicitement les hypertrucages d'image, de son et de vidéo, qui doivent être signalés comme tels, et imposent que les contenus produits par une machine portent une marque lisible par une autre machine. Sa limite face à la fraude est évidente : une règle de transparence s'adresse à ceux qui respectent la loi. L'escroc qui clone une voix pour soutirer de l'argent n'a aucune intention d'étiqueter son montage.
Le troisième dispositif se fait attendre. Le filtre national de cybersécurité, promis depuis 2022, vise les faux sites qui imitent un service existant. Le mécanisme figure déjà dans la loi : lorsqu'une adresse frauduleuse est identifiée, les navigateurs affichent d'abord un avertissement pendant sept jours ; si le problème persiste, l'autorité peut demander aux fournisseurs d'accès à internet ou aux services de résolution de noms de domaine d'empêcher l'accès au site, pour une durée pouvant aller jusqu'à trois mois. L'adresse peut figurer sur une liste publique, et l'Office anti-cybercriminalité est désigné pour tenir le dispositif.
Mais le décret d'application manque toujours. Notifié à la Commission européenne en mars, il a reçu d'elle un avis circonstancié le 10 juin, qui a repoussé au 9 juillet la date à partir de laquelle la France pouvait l'adopter. L'entrée en vigueur visée au 1er septembre n'a pas eu lieu : aucun texte n'était publié au 9 septembre 2026. Même en fonctionnant, ce filtre ne couvrira pas tout. Il vise des sites ; il n'arrêtera ni une voix clonée au téléphone, ni un faux proche dans une messagerie.
Le réflexe qui résiste à presque tous les scénarios
Devant un message plausible, la question n'est plus « est-ce qu'il sait des choses sur moi ? ». Elle est : est-ce moi qui ai ouvert ce canal ?
Un SMS se présente comme venant de l'Assurance Maladie : ne cliquez pas, ouvrez vous-même votre compte ameli. Un interlocuteur dit appeler de votre banque : raccrochez, puis composez vous-même le numéro imprimé au dos de votre carte. Un proche réclame de l'argent par téléphone ou par messagerie : rappelez-le par un autre moyen, ou posez-lui une question dont la réponse ne se trouve pas sur ses réseaux sociaux. Et ne validez jamais, à la demande d'un appel entrant, une opération bancaire que vous n'avez pas lancée vous-même.
Ce geste a quelque chose de rudimentaire, et c'est sa force. Il ne cherche pas à deviner si la voix a été fabriquée, si le texte a été écrit par une machine ou si le numéro a été usurpé. Il retire simplement à l'escroc le chemin qu'il contrôle.
Si vous avez déjà cliqué ou payé
Pour un message suspect ou un doute, 17Cyber donne un diagnostic et des conseils gratuits en ligne, à toute heure, avec un relais possible vers la police ou la gendarmerie.
Si vous avez communiqué vos coordonnées bancaires, appelez d'abord votre banque pour faire opposition. Ensuite seulement, Perceval permet de signaler une fraude à la carte bancaire dans les cas qu'il prévoit.
Pour certaines escroqueries commises sur internet, THESEE permet de signaler les faits ou de porter plainte en ligne ; selon l'affaire, un dépôt de plainte au commissariat ou en gendarmerie reste parfois nécessaire. Les deux services ne font pas la même chose : l'un traite la carte bancaire, l'autre l'escroquerie.
Enfin, si un mot de passe a été saisi sur un faux site, changez-le immédiatement sur le vrai service, ainsi que partout où vous l'aviez réutilisé, et activez l'authentification à deux facteurs quand elle est proposée.
À savoir
L'état des trois dispositifs a été vérifié le 9 septembre 2026, textes en main. Les chiffres de victimes et de plaintes sont ceux des enquêtes et bilans cités, arrêtés à 2025 ; ceux de l'année en cours ne sont pas publiés. L'enquête du Crédoc porte sur les internautes de 15 ans et plus, pas sur l'ensemble de la population. Le décompte du ministère de l'Intérieur regroupe des infractions de natures très différentes. L'ampleur du vol de données visant l'Éducation nationale reste, pour sa partie la plus large, une revendication non établie.
