Deux précautions ouvrent ce sujet. D'abord, le paquet DSP3 / PSR est encore en discussion au niveau européen et n'est pas applicable : rien de ce qui suit ne décrit une obligation. Ensuite, une entreprise d'assurance n'entre pas mécaniquement dans le champ des services de paiement — le périmètre applicable dépend des activités réellement exercées et doit être confirmé avec vos conseils. Cela dit, un assureur manipule des flux financiers sortants qui présentent exactement le profil de risque visé par les discussions en cours : des versements déclenchés par une déclaration du bénéficiaire. La logique générale du sujet est exposée dans DSP3 : ce qui se prépare pour l'authentification ; cette page reste sur le terrain métier.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Le rattachement d'une activité d'assurance au cadre des services de paiement, comme la portée du paquet en discussion, relève d'une analyse propre à chaque organisme.
Les opérations où l'argent change de direction
Un assureur encaisse et décaisse. Les deux sens n'ont pas le même profil de risque, et la cartographie utile ne suit pas l'organigramme mais le flux.
| Opération | Sens du flux | Scénario de manipulation observé | Ce qui rendrait la preuve solide |
|---|---|---|---|
| Changement de coordonnées bancaires | Redirige tous les décaissements à venir | Prise de contrôle de l'espace assuré, ou demande transmise par courriel usurpé | Validation contextualisée affichant le nouveau RIB, dans un canal distinct du courriel |
| Versement d'une indemnisation | Sortie ponctuelle, parfois importante | Détournement du dossier au moment du règlement | Rattachement de la validation au dossier, au bénéficiaire et au moyen de règlement |
| Mise en place ou modification d'un prélèvement | Entrée récurrente, souvent peu surveillée | Modification silencieuse conduisant à un impayé et à une résiliation | Trace du canal et de la personne à l'origine de la demande |
| Rachat sur un contrat d'épargne | Sortie importante, souvent unique | Manipulation de l'assuré par un faux conseiller | Preuve d'un geste délibéré, difficile à obtenir par téléphone |
| Souscription ou résiliation à distance | Ouvre ou ferme la relation | Usurpation lors de l'enrôlement initial | Qualité de la vérification à l'entrée, conservée et opposable |
Ce tableau met en évidence une asymétrie : les contrôles historiques de l'assurance se sont construits autour de la sinistralité et de la déclaration, pas autour du moment où le compte destinataire est désigné. C'est pourtant là que se situe le point de bascule.
Changement de RIB : le point à traiter en priorité
Le changement de coordonnées bancaires est, dans le secteur, le scénario de fraude le plus rentable pour un attaquant. Il ne déclenche pas de mouvement immédiat, ce qui le rend discret, et il redirige silencieusement l'ensemble des versements ultérieurs. Il arrive par plusieurs voies : l'espace assuré, un courriel adressé au gestionnaire, un appel au service client, un courtier, un formulaire papier numérisé.
Trois faiblesses reviennent régulièrement. La première est l'hétérogénéité : le même changement n'exige pas la même preuve selon le canal emprunté, et l'attaquant emprunte évidemment le plus faible. La deuxième est l'absence de confirmation sur un canal indépendant de celui qui a porté la demande — un courriel de confirmation envoyé à une adresse elle-même compromise ne confirme rien. La troisième est l'affichage : lorsqu'une validation est demandée, elle mentionne rarement le nouveau RIB de manière lisible, ce qui prive l'assuré manipulé de sa dernière chance de détecter l'anomalie.
La correction ne suppose aucune anticipation réglementaire. Elle consiste à définir un niveau de preuve unique pour cette opération, quel que soit le canal d'entrée, et à rendre l'opération visible au moment où elle est approuvée. Autrement dit : traiter la désignation d'un compte destinataire comme une transaction sensible à part entière, et non comme une mise à jour de fiche client.
Réseaux de distribution et gestion déléguée
La particularité de l'assurance tient à la longueur de sa chaîne. Courtiers, agents généraux, mandataires, plateformes de gestion déléguée, experts et réparateurs interviennent dans des dossiers qui aboutissent à un versement. Beaucoup d'entre eux disposent d'un accès aux outils de l'assureur, souvent avec des droits larges et une gestion des habilitations dépendant d'une structure tierce.
Deux angles morts en découlent. Le premier est le compte partagé au sein d'un cabinet ou d'une agence, qui rend impossible l'imputation d'une action à une personne. Le second est la sortie de collaborateur chez un partenaire, rarement répercutée en temps utile sur les accès. Dans les deux cas, la question n'est pas celle de la robustesse du facteur mais celle de l'individualisation des comptes et de la fraîcheur des habilitations — préalable indispensable à toute preuve d'intention.
Épargne, rachats et articulation avec la lutte antifraude métier
Sur les contrats d'épargne, l'enjeu change d'échelle : une opération de rachat porte souvent sur des montants sans commune mesure avec la sinistralité courante, et l'assuré n'en réalise qu'un très petit nombre dans sa vie. Il n'a donc aucune habitude du parcours, ce qui le rend particulièrement vulnérable à un accompagnement téléphonique frauduleux. La synthèse vocale a rendu ce scénario plus accessible, comme le décrit le deepfake vocal appliqué à l'assurance.
Les directions fraude des assureurs disposent déjà de dispositifs solides, mais tournés vers la fraude à la déclaration : sinistre exagéré, fausse déclaration, réseau organisé. La fraude à l'identité et à la redirection de flux relève d'une autre logique et d'autres signaux. Les rapprocher — mêmes comités, mêmes indicateurs sur les dossiers contestés — coûte peu et révèle souvent des scénarios que ni l'une ni l'autre des équipes ne voyait entièrement.
Sur le plan technique, la direction de travail rejoint celle des autres secteurs financiers : faire porter la preuve sur un acte délibéré et contextualisé plutôt que sur la détention d'un secret transmissible. C'est l'objet du quatrième facteur « je sais faire » de l'authentification cognitive, conçu pour attester d'une intention humaine consciente au moment de l'opération.
FAQ
L'assurance est-elle concernée par le paquet en discussion ?
Cela dépend des activités exercées et de leur qualification, et cette analyse doit être conduite avec vos conseils. Une entreprise d'assurance n'est pas automatiquement prestataire de services de paiement. En revanche, les scénarios de fraude visés par les discussions se retrouvent tels quels dans les parcours d'indemnisation et de changement de RIB.
Par quoi commencer si les moyens sont limités ?
Par le changement de coordonnées bancaires, traité comme une opération unique quel que soit le canal d'entrée. C'est le chantier au meilleur rapport entre effort consenti et perte évitée, et il ne dépend d'aucune évolution réglementaire.
Comment traiter les accès des courtiers et des agents ?
En cessant d'accepter les comptes partagés sur les fonctions qui touchent aux flux financiers, et en contractualisant la remontée des départs de collaborateurs chez les partenaires. Sans comptes individualisés, aucune preuve d'intention n'est exploitable en cas de litige.
Faut-il renforcer l'authentification sur la déclaration de sinistre ?
La déclaration engage moins directement un flux financier que la désignation du compte destinataire. Concentrer l'effort sur le moment du règlement et sur la modification des coordonnées bancaires donne généralement un meilleur résultat qu'un durcissement uniforme de l'espace assuré.
Aller plus loin : DORA appliqué à l'assurance · phishing dans le secteur de l'assurance