Un email annonce que votre « nouvelle carte Vitale » est prête à être expédiée — il vous suffit de régler quelques euros de prétendus frais de port. Une voix familière, au téléphone, vous alerte sur une activité suspecte de votre compte bancaire. Une vidéo montre une personnalité connue vantant un placement miracle. Trois scénarios différents, un même moteur : l'intelligence artificielle s'invite désormais dans les arnaques en ligne — à des degrés divers selon le canal — et toutes progressent à grande vitesse.
La carte Vitale : la porte d'entrée préférée des escrocs
Des SMS et emails imitant l'Assurance Maladie circulent en masse. Le message annonce une prétendue « nouvelle carte Vitale » prête à être expédiée, ou une « carte Vitale biométrique obligatoire ». Le lien renvoie vers un faux site qui reproduit l'apparence d'ameli.fr. La victime y saisit son numéro de Sécurité sociale et ses coordonnées bancaires pour régler de prétendus frais d'expédition. Une fois ces données captées, elles sont revendues ou utilisées pour des prélèvements frauduleux. Les données de santé figurent parmi les plus convoitées, comme l'a montré la fuite de données du prestataire Cegedim.
Trois rappels simples permettent de couper court à ce type de message. Une carte Vitale n'a pas de date d'expiration : aucun « renouvellement » annuel n'est en cours. L'Assurance Maladie ne demande jamais de coordonnées bancaires par email ou SMS. Le remplacement d'une carte Vitale, en cas de perte ou de vol, est gratuit et se fait depuis le compte ameli.
L'IA fait passer l'arnaque artisanale à l'industriel
Le phishing à la carte Vitale n'a rien de nouveau. Ce qui change, c'est sa qualité. Les emails et SMS produits avec l'aide d'une IA générative ne contiennent souvent plus les fautes d'orthographe et les formulations maladroites qui servaient autrefois de signal d'alerte. Le ton est administratif, le français correct, la mise en page proche du vrai.
Mais la vraie bascule se joue côté audio et vidéo. Selon Surfshark, les pertes mondiales liées aux fraudes par deepfake ont explosé : après 128 millions de dollars cumulés sur la période 2019-2023, elles ont atteint 359 millions pour la seule année 2024, puis 410 millions sur le seul premier semestre 2025 — déjà davantage que l'année précédente entière. La CNIL, qui multiplie aussi les sanctions contre les manquements des plateformes, a pour la première fois qualifié les deepfakes de « menace systémique ».
Le clonage vocal illustre le saut technologique. Là où il fallait, il y a quelques années, plusieurs minutes d'enregistrement pour reproduire une voix de manière convaincante, quelques secondes suffisent désormais : un message vocal partagé sur une messagerie, un extrait de réunion en ligne. Couplé au « spoofing » — l'usurpation du numéro affiché —, le clonage vocal permet aux escrocs de passer pour un conseiller bancaire ou un proche.
Les chiffres d'une bascule numérique
L'enquête du Crédoc, reprise par Cybermalveillance.gouv.fr, donne une mesure du phénomène : 4 Français sur 10 ont été victimes de cybermalveillance en 2025. Contrairement à une intuition répandue, les jeunes y sont plus exposés que les seniors — les moins de 25 ans représentent 59 % des victimes selon le baromètre, devant les actifs de 40 à 59 ans, à environ 35 %.
Côté forces de sécurité, le ministère de l'Intérieur a recensé 453 200 atteintes numériques en 2025, en hausse de 14 % sur un an et de 87 % sur cinq ans. La plateforme Cybermalveillance.gouv.fr a, de son côté, traité plus de 500 000 demandes d'assistance en 2025 (+20 %), avec l'hameçonnage en tête des menaces.
Sur le canal email, le baromètre de l'association Signal Spam recense plus de 6,68 millions de signalements pour le seul premier trimestre 2025 — une volumétrie qui place la France parmi les premiers contributeurs mondiaux aux signalements de spam.
La réponse publique arrive après la vague
Le filtre anti-arnaques, promesse d'Emmanuel Macron en 2022, n'a cessé d'être repoussé — d'abord avant la Coupe du monde de rugby 2023, puis avant les Jeux olympiques 2024. Un projet de décret notifié à la Commission européenne fixe désormais sa mise en service au 1ᵉʳ septembre 2026. Le dispositif fonctionnera par filtrage DNS : un message d'avertissement s'affichera quand un internaute cliquera sur un lien identifié comme frauduleux. La gestion a été confiée à l'Office anti-cybercriminalité (OFAC), rattaché à la police nationale.
La loi du 30 juin 2025 sur le démarchage téléphonique entre en application le 11 août 2026. Elle remplace le système opt-out de Bloctel par un opt-in strict : seuls les consommateurs ayant donné leur accord pourront être démarchés, à peine d'amendes alourdies pour les personnes morales.
Mais ces deux dispositifs arrivent une fois la menace déjà installée, et présentent des angles morts. Un filtre DNS est techniquement contournable. La loi sur le démarchage cible la prospection commerciale, sans traiter spécifiquement les usages malveillants d'IA vocale — appels automatisés, voix clonée, agents conversationnels. Le règlement européen sur l'intelligence artificielle (AI Act), entré en vigueur le 1ᵉʳ août 2024 et pleinement applicable au 2 août 2026, impose des règles de transparence pour les contenus générés par IA, dont l'obligation de signaler un deepfake ; leur application aux usages frauduleux reste à préciser.
Comment se protéger maintenant
En l'absence de bouclier institutionnel pleinement opérationnel, la vigilance individuelle reste la première ligne de défense. Cybermalveillance.gouv.fr recommande de ne jamais communiquer d'informations sensibles par email, SMS ou téléphone non sollicité, de vérifier systématiquement l'adresse de l'expéditeur (le seul domaine officiel de l'Assurance Maladie est ameli.fr) et d'activer l'authentification à deux facteurs partout où c'est possible.
Une règle simple permet de neutraliser la plupart des appels suspects, même quand la voix semble familière et que le numéro affiché est correct : raccrocher, puis rappeler soi-même via le numéro officiel imprimé sur sa carte bancaire ou trouvé sur le site officiel. En cas d'arnaque avérée, la plateforme THESEE permet de porter plainte en ligne, et le dispositif 17Cyber offre une assistance immédiate.
