Anatomie d'une arnaque : le faux remboursement Ameli

« Vous avez un remboursement en attente. » Peu de phrases déclenchent aussi sûrement un clic : l’expéditeur semble être l’Assurance Maladie, le montant est plausible, et l’argent irait dans votre poche — pas l’inverse. C’est précisément ce qui fait du faux remboursement Ameli l’un des hameçonnages les plus constants du paysage français, au point que Cybermalveillance.gouv.fr lui consacre une page d’alerte tenue à jour depuis fin 2021. Deuxième volet de notre série Anatomie d’une arnaque, après le faux avis de livraison Chronopost.

Comme pour les transporteurs, l’Assurance Maladie est ici victime d’usurpation : sa marque, ses couleurs et sa crédibilité sont détournées pour voler des données. L’organisme publie de longue date ses règles de contact — et c’est sur ces règles publiques, sourcées et datées, que s’appuie toute cette dissection.

À retenir

• Le scénario dominant : un message annonce un remboursement en attente ou une nouvelle carte Vitale, et renvoie vers un formulaire qui collecte identité, données de compte, puis carte bancaire (Cybermalveillance.gouv.fr, page publiée le 02/12/2021, mise à jour le 10/06/2026).
• La règle officielle : « L’Assurance Maladie ne vous demandera jamais par mail de communiquer des informations médicales, personnelles (mots de passe…) ou bancaires » (même source).
• Les SMS légitimes proviennent d’un seul numéro, le 38 663 ; et « l’Assurance Maladie ne facture jamais de frais de livraison » pour une carte Vitale (ameli.fr, mis à jour le 19/01/2026).
• Les campagnes sont crédibilisées par les fuites de données de santé — dont Viamedis/Almerys, 33 millions d’assurés exposés — qui fournissent noms, NIR et coordonnées exactes.
• L’hameçonnage est la première menace signalée en France, en hausse de 70 % sur un an (Cybermalveillance.gouv.fr, rapport d’activité 2025).

À quoi ressemble l’arnaque

Le déroulé type, tel que documenté par Cybermalveillance.gouv.fr et l’Assurance Maladie, comporte deux grandes variantes sur un même squelette.

Variante « remboursement ». Un email ou un SMS aux couleurs d’ameli annonce qu’un remboursement vous attend, mais qu’un problème — coordonnées à confirmer, numéro de téléphone erroné, dossier incomplet — empêche son versement. Le lien mène vers une imitation du site ou du formulaire ameli. La collecte se fait par paliers, du plus anodin au plus sensible : identité et date de naissance, puis coordonnées et parfois numéro de sécurité sociale, puis identifiants du compte, et enfin la carte bancaire — présentée comme nécessaire pour « recevoir » le versement. Ce dernier pas est l’absurdité centrale du scénario : une carte bancaire sert à payer, jamais à être crédité d’un remboursement de l’Assurance Maladie.

Variante « carte Vitale ». Le message annonce qu’une carte Vitale de nouvelle génération est disponible, que la vôtre expire, ou qu’une « mise à jour » s’impose. Le formulaire collecte les mêmes données, et le paiement se déguise en « frais d’expédition » de quelques euros. La réponse officielle tient en une phrase de la page ameli.fr : l’Assurance Maladie « ne facture jamais de frais de livraison ».

L’après. Les données saisies ont plusieurs vies : débits frauduleux sur la carte, tentative de connexion au compte ameli, et surtout revente ou réutilisation pour des attaques ciblées — l’appel d’un « conseiller » qui connaît votre NIR et votre mutuelle est autrement plus convaincant. Cette mécanique d’aval, où chaque fuite nourrit l’arnaque suivante, est celle que nous avons documentée dans l’autopsie des faux conseillers bancaires.

Les signaux d’alerte, un par un

1. Une demande de données que l’organisme s’est engagé à ne jamais faire. C’est le test le plus fiable : mots de passe, informations médicales, coordonnées bancaires — jamais par email, dit la règle publique. Ajoutez la version ameli.fr : « L’Assurance Maladie ne vous demandera jamais vos identifiants de connexion au compte ameli, notamment votre mot de passe. » Toute exception à ces règles est, par définition, une fraude.
2. Un paiement pour recevoir de l’argent ou une carte. Remboursement conditionné à une carte bancaire, carte Vitale contre « frais de livraison » : le sens du flux d’argent est inversé. Un organisme qui vous doit de l’argent n’a pas besoin de votre numéro de carte — il a déjà votre RIB.
3. Un expéditeur hors des canaux officiels. Les emails légitimes de l’Assurance Maladie proviennent de ses domaines (notamment info.ameli.fr) ; les SMS, du seul 38 663. Un nom d’affichage « Ameli » ne prouve rien : seul compte le domaine réel, visible dans l’adresse complète — et, pour un email douteux, dans les en-têtes techniques, que notre analyseur d’en-têtes email décode gratuitement.
4. Un lien vers un domaine qui n’est pas ameli.fr. Le compte assuré vit sur assure.ameli.fr. Les faux sites vivent ailleurs — domaines exotiques, assemblages contenant « ameli » ou « assurance-maladie » dans un sous-domaine ou un chemin. La lecture d’URL est détaillée dans notre guide reconnaître un email frauduleux.
5. L’urgence et l’aubaine combinées. « Votre remboursement expire sous 48 h » : un versement de l’Assurance Maladie n’expire pas comme un code promo. La date limite n’existe que pour vous faire agir avant de vérifier.
6. Une personnalisation qui semble prouver l’authenticité. Votre nom, votre département, parfois des données exactes issues des fuites de santé : depuis Viamedis/Almerys et Alan/Almerys, ces informations circulent. L’exactitude des détails ne valide plus un message — elle doit même renforcer la prudence.

Que faire si vous avez cliqué

• Carte bancaire saisie : opposition immédiate, surveillance des relevés, contestation écrite de tout débit non autorisé, signalement sur Perceval, dépôt de plainte.
• Identifiants ameli saisis : changez le mot de passe sans délai en passant par le site officiel (tapé à la main), vérifiez que l’email, le téléphone et le RIB enregistrés sur le compte n’ont pas été modifiés, et prévenez votre CPAM via la messagerie du compte ou le 3646.
• Numéro de sécurité sociale communiqué : redoublez de vigilance dans les mois qui suivent — le NIR sert à crédibiliser d’autres escroqueries (faux conseillers, fausses mutuelles) plus qu’à un détournement direct.
• Dans tous les cas : SMS au 33700, email à Signal Spam, preuves conservées, accompagnement via Cybermalveillance.gouv.fr et son dispositif 17Cyber.

Le protocole complet, ordonné et adapté à chaque situation, est dans notre guide que faire en cas de phishing.

Pourquoi ça marche

Le faux remboursement inverse le levier habituel du phishing : au lieu de la peur, l’aubaine. Personne ne se méfie d’un gain — le cerveau traite la bonne nouvelle comme une récompense à sécuriser vite, pas comme un risque à évaluer. S’y ajoute la légitimité particulière de l’Assurance Maladie : un organisme auquel chacun est affilié, dont chacun attend réellement des remboursements plusieurs fois par an. Le prétexte est donc plausible en permanence, comme le colis du premier volet — mais avec un vernis institutionnel supplémentaire.

Enfin, la matière première : les fuites. Quand le formulaire pré-affiche votre département ou que le message cite votre nom complet, la vigilance tombe — c’est pourtant le signe de campagnes industrialisées, nourries par des données volées. La fenêtre de décision, elle, reste la même que pour tous les hameçonnages : moins de 60 secondes en médiane entre l’ouverture et la saisie (Verizon DBIR 2024 — voir nos statistiques du phishing en France). La parade est un réflexe unique, valable pour toute la série : jamais d’accès au compte via le lien d’un message — toujours par l’adresse officielle ou l’application.

Questions fréquentes

Comment reconnaître un faux mail Ameli ?

Par la demande : identifiants, données médicales ou bancaires ne sont jamais demandés par email (règle publique de l’Assurance Maladie, rappelée par Cybermalveillance.gouv.fr). Vérifiez le domaine réel de l’expéditeur et connectez-vous uniquement en tapant vous-même l’adresse du compte ameli.

L’Assurance Maladie envoie-t-elle des SMS ?

Oui, depuis un seul numéro : le 38 663 (ameli.fr, 19/01/2026). Tout autre expéditeur est frauduleux — et même depuis le bon numéro, ne cliquez pas : connectez-vous par vous-même.

La nouvelle carte Vitale est-elle payante ?

Non : « L’Assurance Maladie ne facture jamais de frais de livraison. » Toute demande de carte bancaire pour recevoir ou renouveler une carte Vitale est une arnaque.

J’ai saisi mes informations sur un faux site, que faire ?

Opposition bancaire si la carte a été saisie ; changement immédiat du mot de passe ameli et vérification du compte s’il s’agit des identifiants ; signalement au 33700 et à Signal Spam ; plainte et accompagnement via Cybermalveillance.gouv.fr. Détail complet : que faire en cas de phishing.

Pourquoi les escrocs connaissent-ils mes informations exactes ?

À cause des fuites de données de santé (Viamedis/Almerys : 33 millions d’assurés ; Alan/Almerys en 2026). Des détails exacts ne prouvent pas qu’un message est légitime.

Un remboursement inattendu peut-il être légitime ?

Oui, mais il ne demande aucune action : il arrive automatiquement sur le RIB déjà enregistré et figure dans « Mes paiements » du compte ameli. S’il faut « valider », « confirmer » ou payer quoi que ce soit, c’est une fraude.

---

Sources (consultées le 08/09/2026) :

• Cybermalveillance.gouv.fr, « L’hameçonnage aux couleurs de l’Assurance Maladie / ameli », publié le 02/12/2021, mis à jour le 10/06/2026 : cybermalveillance.gouv.fr
• Assurance Maladie, « Se protéger des courriers, appels, e-mails et SMS frauduleux », mis à jour le 19/01/2026 : ameli.fr
• Assurance Maladie, communiqué de presse « L’Assurance Maladie appelle à la prudence face aux tentatives de hameçonnage », 7 avril 2022 : assurance-maladie.ameli.fr
• Cybermalveillance.gouv.fr, rapport d’activité 2025, 26 mars 2026 : cybermalveillance.gouv.fr
• Verizon, Data Breach Investigations Report 2024, synthèse : verizon.com