Arnaque carte Vitale :
comment l'IA fait évoluer les pièges

Un email annonce que votre carte Vitale 2026 est prête à être expédiée — il vous suffit de régler quelques euros de prétendus frais de port. Une voix familière, au téléphone, vous alerte sur une activité suspecte de votre compte bancaire. Une vidéo montre une personnalité connue vantant un placement miracle. Trois scénarios différents, un même contexte : l'intelligence artificielle s'invite désormais dans les arnaques en ligne — à des degrés divers selon le canal — et toutes trois progressent à grande vitesse.

La carte Vitale : la porte d'entrée préférée des escrocs

Depuis le début de 2026, des SMS et emails imitant l'Assurance Maladie circulent en masse. Le message annonce une prétendue « carte Vitale 2026 » prête à être expédiée, ou une « carte Vitale biométrique obligatoire ». Le lien renvoie vers un faux site qui reproduit l'apparence d'ameli.fr. La victime y saisit son numéro de Sécurité sociale et ses coordonnées bancaires pour régler de prétendus frais d'expédition. Une fois ces données captées, elles sont revendues ou utilisées pour des prélèvements frauduleux.

Trois rappels simples permettent de couper court à ce type de message. Une carte Vitale n'a pas de date d'expiration : aucun « renouvellement 2026 » n'est en cours. L'Assurance Maladie ne demande jamais de coordonnées bancaires par email ou SMS. Le remplacement d'une carte Vitale, en cas de perte ou de vol, est gratuit et se fait depuis le compte ameli.

L'IA fait passer l'arnaque artisanale à l'industriel

Le phishing à la carte Vitale n'a rien de nouveau. Ce qui change en 2026, c'est sa qualité. Les emails et SMS produits avec l'aide d'une IA générative ne contiennent souvent plus les fautes d'orthographe et les formulations maladroites qui servaient autrefois de signal d'alerte. Le ton est administratif, le français correct, la mise en page proche du vrai.

Mais la vraie bascule se joue côté audio et vidéo. Selon une étude de Surfshark, les pertes mondiales liées aux fraudes par deepfake ont atteint 863 millions de dollars en 2025, contre 110 millions cumulés sur la période 2019-2023 — soit près de huit fois plus en deux ans. La CNIL a, pour la première fois, qualifié les deepfakes de « menace systémique » dans une communication publiée le 3 février 2026.

Le clonage vocal illustre le saut technologique. Là où il fallait il y a quelques années plusieurs minutes d'enregistrement pour reproduire une voix de manière convaincante, quelques secondes suffisent désormais : un message vocal partagé sur une messagerie, un extrait de réunion en ligne. Couplé au « spoofing » — l'usurpation du numéro affiché —, le clonage vocal permet aux escrocs de passer pour un conseiller bancaire ou un proche.

Les chiffres d'une bascule numérique

L'enquête 2025 du Crédoc, reprise par Cybermalveillance.gouv.fr en février 2026, donne une mesure du phénomène : 4 Français sur 10 ont été victimes de cybermalveillance en 2025. Contrairement à une intuition courante, les jeunes y sont plus exposés que les seniors — les moins de 25 ans représentent 59 % des victimes selon le baromètre, devant les actifs de 40 à 59 ans, à environ 35 %.

Côté forces de sécurité, le ministère de l'Intérieur a recensé 453 200 atteintes numériques en 2025, en hausse de 14 % sur un an et de 87 % sur cinq ans. La plateforme Cybermalveillance.gouv.fr a, de son côté, traité 504 810 demandes d'assistance en 2025 (+20 %), avec l'hameçonnage en tête des menaces.

Sur le canal email, le baromètre 2025 de l'association Signal Spam recense plus de 6,68 millions de signalements pour le seul premier trimestre 2025 — une volumétrie qui place la France parmi les premiers contributeurs mondiaux aux signalements de spam.

La réponse publique arrive après la vague

Le filtre anti-arnaques, promesse d'Emmanuel Macron en 2022, n'a cessé d'être repoussé — d'abord avant la Coupe du monde de rugby 2023, puis avant les Jeux olympiques 2024. Un projet de décret notifié à la Commission européenne fixe désormais sa mise en service au 1ᵉʳ septembre 2026. Le dispositif fonctionnera par filtrage DNS : un message d'avertissement s'affichera quand un internaute cliquera sur un lien identifié comme frauduleux. La gestion a été confiée à l'Office anti-cybercriminalité (OFAC).

La loi n° 2025-594 du 30 juin 2025 sur le démarchage téléphonique entre en application le 11 août 2026. Elle remplace le système opt-out de Bloctel par un opt-in strict : seuls les consommateurs ayant donné leur accord pourront être démarchés, à peine d'amendes pouvant atteindre 375 000 euros pour les personnes morales.

Mais ces deux dispositifs arrivent après la vague, et présentent des angles morts. Un filtre DNS est techniquement contournable. La loi sur le démarchage cible la prospection commerciale, sans traiter spécifiquement les usages malveillants d'IA vocale — appels automatisés, voix clonée, agents conversationnels. Le règlement européen sur l'intelligence artificielle (AI Act), entré en vigueur le 1ᵉʳ août 2024 et pleinement applicable au 2 août 2026, prévoit des règles de transparence pour les contenus générés par IA — leur application aux deepfakes frauduleux reste à préciser.

Comment se protéger maintenant

En l'absence de bouclier institutionnel pleinement opérationnel, la vigilance individuelle reste la première ligne de défense. Cybermalveillance.gouv.fr recommande de ne jamais communiquer d'informations sensibles par email, SMS ou téléphone non sollicité, de vérifier systématiquement l'adresse de l'expéditeur (le seul domaine officiel de l'Assurance Maladie est ameli.fr) et d'activer l'authentification à deux facteurs partout où c'est possible.

Une règle simple permet de neutraliser la plupart des appels suspects, même quand la voix semble familière et que le numéro affiché est correct : raccrocher, puis rappeler soi-même via le numéro officiel imprimé sur sa carte bancaire ou trouvé sur le site officiel. En cas d'arnaque avérée, la plateforme THESEE permet de porter plainte en ligne, et le dispositif 17Cyber offre une assistance immédiate.