Votre relevé de remboursements affiche des soins que vous n’avez jamais reçus, votre RIB a été remplacé par celui d’un inconnu et vos prochains remboursements partent ailleurs : le scénario du compte Ameli piraté suit presque toujours le même schéma. Un message frauduleux imitant l’Assurance Maladie vous a conduit vers une fausse page de connexion, vos identifiants ont été captés, puis le fraudeur a modifié vos coordonnées bancaires dans votre espace personnel pour détourner les versements. L’opération prend quelques minutes et la victime la découvre souvent plusieurs semaines plus tard, au moment de consulter ses décomptes ou de constater l’absence d’un remboursement attendu.
La difficulté tient à ce que trois problèmes s’entremêlent. Le premier est technique : il faut reprendre le contrôle du compte et empêcher de nouveaux détournements. Le deuxième est administratif : des soins fictifs figurent à votre nom et la caisse peut vous réclamer des sommes au titre de l’indu, alors que vous n’avez rien perçu. Le troisième est juridique : vos données d’identification et vos données de santé ont circulé, une usurpation d’identité et une escroquerie ont été commises, et chacune appelle ses propres démarches. Cet article décrit la méthode complète, dans l’ordre utile : sécuriser et prouver, régler le litige avec la caisse, puis faire sanctionner les auteurs et obtenir réparation.
I. Reprendre le contrôle du compte et protéger les remboursements
A. Sécuriser l’accès, figer les preuves et couper les versements au fraudeur
La première heure compte double : chaque action du fraudeur depuis votre compte laisse une trace, mais chaque minute écoulée peut aussi voir partir un nouveau remboursement vers son RIB. Commencez par tenter de changer immédiatement votre mot de passe depuis la page d’accueil du compte Ameli, puis vérifiez le RIB enregistré et l’adresse électronique associée. Si l’adresse a été modifiée, la réinitialisation par courriel devient impossible : il faut alors passer par FranceConnect ou contacter directement votre caisse. L’aide officielle de FranceConnect prévoit le cas de l’usurpation d’identité et invite à signaler l’usurpation constatée en précisant les services auxquels l’accès frauduleux a été obtenu.
En parallèle, figez les preuves avant qu’elles ne disparaissent. Réalisez des captures d’écran datées de tout ce qui est anormal : RIB inconnu, adresse électronique modifiée, relevés mentionnant des soins inconnus, messages et courriels frauduleux reçus avec leurs en-têtes. Conservez le SMS ou le courriel d’hameçonnage d’origine sans cliquer de nouveau sur son lien. Ces pièces serviront à la fois pour la caisse, pour la plainte et, le cas échéant, pour la Commission nationale de l’informatique et des libertés. Le réflexe utile consiste ensuite à suivre le guide officiel en cas de piratage de compte publié par le dispositif public Cybermalveillance, qui détaille la sécurisation des accès et le dépôt de plainte en ligne via la plateforme THESEE. L’Assurance Maladie rappelle de son côté qu’elle ne demande jamais d’informations personnelles comme le mot de passe ou le numéro de compte bancaire sur un site non sécurisé et qu’un message qui en réclame est par définition frauduleux.
Pour comprendre comment le fraudeur est entré, relisez le message d’origine avec un œil neuf. Les faux SMS imitent les codes d’envoi de l’Assurance Maladie, annoncent une carte Vitale à renouveler, un remboursement en attente ou un document à valider, et renvoient vers une adresse qui ressemble à ameli.fr sans l’être. Les faux courriels reprennent les logos et exigent une « vérification de vos coordonnées bancaires » sous menace de suspension des droits. Retenez le principe officiel : l’Assurance Maladie ne réclame jamais vos identifiants ni vos coordonnées bancaires par message, et toute page qui les exige hors de votre navigation habituelle doit être fermée puis signalée sur la plateforme officielle de signalement des contenus illicites. Transférez le SMS frauduleux au numéro de signalement 33700 géré par les opérateurs, ce qui contribue à faire bloquer l’expéditeur et protège d’autres assurés.
Si vous êtes totalement bloqué hors de votre compte parce que l’adresse électronique et le mot de passe ont été changés, deux voies restent ouvertes. La première consiste à créer un nouveau lien via FranceConnect avec un compte fiscal, retraite ou identité numérique encore sous votre contrôle, puis à corriger depuis l’intérieur les coordonnées usurpées. La seconde consiste à écrire à votre caisse avec une copie de votre pièce d’identité pour demander la réinitialisation manuelle des accès et le gel de tout changement de RIB pendant l’enquête interne. Dans les deux cas, demandez une confirmation écrite de la date de prise en compte de votre signalement : cette date fera foi pour distinguer les remboursements versés avant votre alerte de ceux versés après, et pèsera dans l’appréciation de vos diligences comme dans celles de l’organisme.
Sur le plan bancaire, prévenez votre banque si vos coordonnées ont circulé et surveillez vos relevés : le fraudeur qui a accédé à votre compte Ameli connaît votre identité complète et parfois votre RIB. Si des prélèvements inconnus apparaissent, faites opposition auprès de votre établissement selon sa procédure. Enfin, si vous êtes salarié et que des arrêts de travail ou des indemnités journalières sont en jeu, informez votre employeur du piratage afin d’éviter toute incompréhension sur des décomptes incohérents. En Île-de-France, les assurés parisiens relèvent de la CPAM de Paris, dont l’accueil sur rendez-vous permet de signaler la fraude au guichet avec vos pièces ; ailleurs dans la région, chaque CPAM départementale dispose d’une adresse dédiée au signalement des fraudes, accessible depuis votre compte une fois celui-ci récupéré.
B. Régler le litige avec la caisse : soins fictifs, indu réclamé et accès au dossier
Une fois le compte récupéré, le litige administratif commence. Demandez par écrit à votre caisse la liste complète des actes remboursés sur la période du piratage et contestez chaque soin que vous n’avez pas reçu, en distinguant ce que vous reconnaissez de ce que vous réfutez. Toute personne peut en effet obtenir communication des informations de santé la concernant : « Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels de santé » (article L1111-7 du code de la santé publique), avec une communication due au plus tard dans les huit jours suivant la demande, délai porté à deux mois lorsque les informations datent de plus de cinq ans. Ce droit d’accès permet d’obtenir les décomptes détaillés et de repérer les professionnels de santé dont le nom a été utilisé à votre insu.
Le point le plus délicat concerne l’indu. Lorsqu’une prestation a été versée à tort, « l’organisme chargé de la gestion d’un régime obligatoire ou volontaire d’assurance maladie ou d’accidents du travail et de maladies professionnelles récupère l’indu correspondant auprès de l’assuré » (article L133-4-1 du code de la sécurité sociale). En contrepartie des frais de gestion engagés lorsque le versement indu résulte d’une fraude de l’assuré, le même texte prévoit que « l’organisme d’assurance maladie recouvre auprès de ce dernier une indemnité équivalant à 10 % des sommes réclamées au titre des remboursements intervenus à tort ». Vérifiez donc avec soin à qui l’indu est imputé : si la caisse vous réclame des sommes détournées vers le compte du fraudeur, contestez par écrit en joignant vos preuves de piratage et demandez que la fraude d’un tiers soit expressément écartée de votre dossier, afin que ni le principal ni la majoration ne restent à votre charge. Conservez toute notification d’indu et répondez dans les formes qu’elle indique, car la contestation d’une décision de caisse relève ensuite du pôle social du tribunal judiciaire, après le recours préalable obligatoire devant la commission de recours amiable.
Lorsque la caisse vous adresse une notification d’indu, lisez-la comme un acte de procédure et non comme une simple facture. Relevez le montant exact, la période concernée, les actes litigieux et la voie de recours indiquée avec son destinataire. Formez le recours préalable obligatoire devant la commission de recours amiable dans les formes et à l’adresse indiquées par la notification, en exposant que les versements ont profité à un tiers fraudeur et en joignant vos captures, votre dépôt de plainte et la confirmation de votre signalement. Ce n’est qu’après la décision de cette commission, expresse ou implicite, que le pôle social du tribunal judiciaire peut être saisi. Devant le juge, la charge de la démonstration se partage : la caisse établit l’existence des versements, et vous établissez par vos pièces que vous n’en êtes ni le bénéficiaire ni l’auteur, le RIB destinataire inconnu et les connexions frauduleuses constituant vos meilleurs arguments.
Un cas particulier mérite une vigilance accrue : celui où la caisse, constatant des incohérences, vous soupçonne vous-même d’avoir participé à la fraude. Ne laissez jamais une telle suspicion sans réponse écrite. Rappelez les faits, produisez votre plainte et vos signalements, et demandez à être entendu avant toute qualification. Les fraudeurs choisissent précisément des assurés sans histoire pour que les flux passent inaperçus ; votre plainte rapide, vos captures datées et l’absence de tout lien avec le compte destinataire démontrent votre bonne foi. Si une pénalité financière ou une majoration est envisagée, exigez que la décision expose les faits qui vous sont personnellement reprochés, distincts de ceux du tiers fraudeur, car seule votre propre fraude pourrait justifier une sanction à votre encontre.
Parallèlement, vérifiez que le tiers fraudeur n’a pas utilisé votre identité auprès d’autres organismes : un RIB modifié sur Ameli s’accompagne fréquemment d’un dossier CAF ou d’un espace FranceConnect compromis. Si des soins à votre nom ont été facturés par un professionnel de santé que vous ne connaissez pas, signalez-le aussi à la caisse, qui dispose de ses propres leviers de contrôle contre les facturations fictives. Les lecteurs confrontés à la variante la plus répandue de l’hameçonnage santé, celle du SMS imitant le renouvellement de la carte Vitale, trouveront la méthode de contestation détaillée dans notre analyse de l’arnaque à la carte Vitale par SMS et des soins facturés à votre nom.
II. Faire sanctionner les auteurs et obtenir réparation du préjudice
A. Porter plainte pour usurpation d’identité et escroquerie
Le détournement de vos remboursements caractérise au moins deux infractions pénales. D’abord l’usurpation d’identité numérique : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne » (article 226-4-1 du code pénal). Ensuite l’escroquerie, puisque le fraudeur a trompé la caisse pour obtenir des versements : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque » (article 313-1 du code pénal), punie de cinq ans d’emprisonnement et de 375 000 euros d’amende.
Déposez plainte en joignant l’ensemble du dossier : captures du compte, RIB frauduleux, relevés des soins contestés, message d’hameçonnage, récépissé du signalement à la caisse et relevés bancaires. Le dépôt peut se faire au commissariat ou à la gendarmerie, ou en ligne via la plateforme THESEE pour les escroqueries sur internet, avec un rendez-vous ultérieur pour signer le procès-verbal. À Paris et en petite couronne, les commissariats centraux d’arrondissement reçoivent ces plaintes quotidiennement et les faits commis depuis un ordinateur situé en Île-de-France relèvent des parquets franciliens ; indiquez précisément les dates de connexion frauduleuse et le montant total détourné, car ces éléments conditionnent la qualification et l’orientation de l’enquête. Demandez que votre constitution de partie civile soit actée afin de réclamer au procès pénal le remboursement des sommes restées à votre charge et la réparation de vos préjudices moral et financier.
Préparez le dépôt de plainte comme un dossier et non comme une simple déclaration. Classez vos pièces dans l’ordre chronologique : message frauduleux d’origine, captures du compte montrant le RIB inconnu, relevés des soins contestés avec le montant total détourné calculé ligne par ligne, récépissés de signalement à la caisse et à la banque, et le cas échéant récépissé du signalement 33700. Chiffrez le préjudice financier au centime près et listez les démarches entreprises avec leurs dates, car le procès-verbal reprendra ces éléments et l’enquêteur s’appuiera dessus pour qualifier les faits et orienter les réquisitions vers les opérateurs et les établissements bancaires. Si vous déposez en ligne via THESEE, conservez le récépissé et présentez-vous ensuite au rendez-vous proposé pour signer et compléter : une plainte en ligne non signée reste un signalement et n’ouvre pas les mêmes droits procéduraux qu’une plainte régulière.
Pensez également aux infractions voisines que l’enquête pourra relever. L’accès frauduleux à votre compte relève des atteintes aux systèmes de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal), et « Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende ». La collecte de vos identifiants par la fausse page de connexion caractérise en outre la collecte frauduleuse de données : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-18 du code pénal). L’usage de vos données d’identification pour ouvrir des droits ou commander des prestations peut enfin caractériser des faux et usages de faux. Agissez sans attendre, même si la loi laisse un délai pour poursuivre : « L’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise » (article 8 du code de procédure pénale), et mieux vaut déposer plainte pendant que les traces techniques subsistent chez les opérateurs. Mentionnez au procès-verbal tout usage secondaire que vous avez constaté : compte bancaire modifié ailleurs, crédit demandé à votre nom, courrier détourné. Chaque usage ouvre une ligne d’enquête et consolide la démonstration d’une usurpation systématique plutôt que d’un incident isolé, ce qui pèse dans l’appréciation du préjudice moral et dans la peine encourue par les auteurs.
Si l’enquête identifie un professionnel de santé complice des facturations fictives, l’action publique pourra s’étendre à ces faits et votre préjudice s’en trouvera aggravé : des soins inscrits à tort dans votre dossier médical personnel peuvent fausser votre suivi et doivent être rectifiés. Conservez à ce titre toute correspondance avec la caisse reconnaissant la fraude d’un tiers, car elle établira devant le tribunal que les actes litigieux ne reflètent pas votre état de santé.
B. Protéger vos données de santé et obtenir réparation sur le fondement du RGPD
Les données détournées lors d’un piratage Ameli sont des données de santé, catégorie protégée par le secret : « Toute personne prise en charge par un professionnel de santé » ou un organisme concourant aux soins « a droit au respect de sa vie privée et du secret des informations la concernant » (article L1110-4 du code de la santé publique). Exercez vos droits directement : droit d’accès et de rectification pour faire corriger les soins fictifs, droit à l’effacement des données inexactes, droit à la limitation pendant l’instruction de votre contestation. Adressez ces demandes par écrit au délégué à la protection des données de votre caisse, dont les coordonnées figurent dans sa politique de confidentialité, et conservez la preuve de l’envoi.
Si la caisse ne répond pas ou maintient des données fausses, saisissez la CNIL par une plainte documentée. La Commission peut contrôler l’organisme, vérifier ses mesures de sécurité et, lorsque la violation provient de l’organisme lui-même, celui-ci doit notifier l’incident à la CNIL dans les meilleurs délais et au plus tard sous 72 heures, selon les règles de notification des violations publiées par la Commission. La procédure complète de notification et les droits des personnes concernées sont détaillées par la CNIL et permettent de comprendre ce que l’organisme aurait dû faire dès la découverte du détournement.
Sur le terrain indemnitaire, le règlement européen ouvre un droit propre à réparation : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », tels sont les termes de l’article 82, paragraphe 1, du règlement (UE) 2016/679 rappelés par la Cour de cassation dans un arrêt du 24 juin 2026 (chambre sociale, pourvoi n° 24-22.792). La chambre sociale y juge que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » et casse l’arrêt qui avait alloué 5 000 euros de dommages-intérêts sans vérifier que la violation constatée avait causé un dommage, reprenant la solution de la Cour de justice du 4 mai 2023 (CJUE, C-300/21, Österreichische Post) selon laquelle « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ». Concrètement, chiffrez votre préjudice au lieu de l’affirmer : remboursements non perçus, avances de frais exposées, temps consacré aux démarches, frais bancaires, et trouble moral documenté par vos échanges avec la caisse. Cette exigence de preuve distingue les dossiers qui aboutissent : une violation établie mais sans dommage démontré n’ouvre pas droit à indemnité, tandis qu’un dossier chiffré et piécé par des captures, des courriers et des relevés permet au juge d’évaluer la réparation.
Pour structurer votre demande d’indemnisation sur le fondement européen, distinguez trois chefs de préjudice et documentez chacun. Le préjudice matériel regroupe les remboursements détournés restés à votre charge, les frais bancaires et postaux, les avances de soins exposées pendant la période où vos droits étaient perturbés, et les pertes de revenus liées au temps consacré aux démarches lorsqu’elles sont établies. Le préjudice moral recouvre l’inquiétude née de la circulation de vos données de santé, la crainte d’une réutilisation de votre identité et le temps passé à prouver votre bonne foi auprès de la caisse. Le préjudice lié aux données elles-mêmes suppose de démontrer l’inexactitude persistante de votre dossier et les refus ou retards de rectification opposés à vos demandes écrites. Joignez à chaque chef les pièces correspondantes : relevés, factures, courriers avec accusés de réception, et journal daté de vos démarches.
Enfin, anticipez la durée et organisez le suivi. Notez les références de chaque dossier : numéro de signalement à la caisse, numéro de plainte, numéro de plainte CNIL, numéro de recours amiable. Relancez par écrit à échéance régulière et conservez chaque réponse. En cas de déménagement entre Paris et un autre département francilien pendant la procédure, signalez le changement d’adresse à chacun de ces interlocuteurs, car les notifications d’indu et les convocations suivent l’adresse connue de l’organisme. Un dossier tenu avec cette rigueur se défend seul devant la commission de recours amiable, devant le pôle social et devant le juge pénal sur les intérêts civils, et il constitue la meilleure réponse à l’exigence de preuve du dommage posée par la Cour de cassation.
Conclusion
Un compte Ameli piraté se traite comme trois dossiers menés de front : récupérer l’accès et couper les versements au fraudeur, contester pied à pied l’indu et les soins fictifs auprès de la caisse, puis faire sanctionner l’usurpation et l’escroquerie tout en exerçant vos droits sur vos données de santé. La rapidité des premières heures conditionne l’étendue du détournement, la qualité des preuves conditionne l’issue du litige avec la caisse, et le chiffrage précis du dommage conditionne l’indemnisation sur le fondement du règlement européen. Conservez chaque pièce, écrivez à chaque étape et ne laissez aucune somme imputée à tort s’installer dans votre dossier d’assuré.