En assurance, le push bombing trouve sa cible la plus rentable hors des murs de l'assureur : dans le réseau de distribution. Un compte de courtier, d'agent général ou de délégataire de gestion ouvre sur un portefeuille entier de dossiers, et ces utilisateurs ne relèvent d'aucune politique interne de poste de travail. L'attaquant qui détient leur identifiant n'a plus qu'à obtenir une approbation.
Ce que l'attaquant récupère derrière un accès distributeur
Le périmètre accessible depuis un extranet est souvent plus large que ne l'imagine l'assureur.
- Les dossiers de sinistre en cours, avec pièces justificatives, expertises et échanges. Ils contiennent des identités complètes, des adresses et parfois des éléments médicaux.
- Les coordonnées bancaires de règlement, dont la modification transforme une indemnisation légitime en détournement propre, sans intrusion visible dans le système comptable.
- Les données de santé liées aux garanties prévoyance et complémentaire santé, qui relèvent des catégories particulières au sens du RGPD.
- Le portefeuille clients lui-même, matière première d'une campagne de fraude au faux conseiller très crédible, puisque l'appelant connaît le contrat, l'échéance et le sinistre en cours.
Ce dernier point mérite attention : la compromission d'un compte distributeur produit rarement une perte immédiate. Elle produit un stock d'informations qui alimente des fraudes ultérieures, plus difficiles à rattacher à l'incident d'origine.
Pourquoi la distribution intermédiée facilite l'attaque
La mécanique du push bombing suppose que la victime finisse par valider sans réfléchir. Le modèle distributif de l'assurance rassemble les conditions.
Un courtier travaille avec plusieurs assureurs, donc plusieurs extranets, donc plusieurs authentifications par jour, avec des interfaces différentes. La normalité est déjà confuse : une demande d'approbation inattendue s'y fond sans effort. Les structures sont petites, souvent sans service informatique dédié ni point de signalement identifié. Enfin, les pics d'activité liés aux événements climatiques ou aux échéances annuelles créent des périodes où personne n'a le temps de douter d'une sollicitation technique.
La variante observable la plus efficace consiste à faire précéder la rafale d'un courriel plausible annonçant une « migration de l'extranet », puis à appeler pour accompagner la validation. Le consentement obtenu est sincère, ce qui rend la détection par le comportement de l'utilisateur illusoire.
| Population | Exposition dominante | Ce qui manque le plus souvent | Priorité de traitement |
|---|---|---|---|
| Courtier, agent général | Extranet multi-assureurs, approbations fréquentes | Point de signalement, MFA non rejouable | Haute |
| Délégataire de gestion | Accès étendu aux dossiers et aux règlements | Revue régulière des habilitations | Haute |
| Gestionnaire sinistres interne | Volume de dossiers, actions de masse | Validation liée à l'opération | Moyenne à haute |
| Expert ou prestataire terrain | Mobilité, terminaux personnels | Enrôlement et révocation formalisés | Moyenne |
| Assuré | Espace client, montants encadrés | Sensibilisation au faux conseiller | Selon les parcours |
Le cadre applicable : DORA et données sensibles
Les entreprises d'assurance et de réassurance entrent dans le champ du règlement DORA (règlement (UE) 2022/2554), applicable depuis janvier 2025. Deux exigences y pèsent directement sur ce scénario : la gestion du risque lié aux prestataires tiers de services informatiques, et la capacité à détecter, notifier et documenter les incidents. Un extranet distributeur est un point d'entrée dont la gouvernance doit être démontrable, pas seulement contractuelle.
Le RGPD ajoute une contrainte de fond : les garanties santé et prévoyance impliquent des données de santé, avec les obligations renforcées qui s'y attachent. Une approbation obtenue par lassitude peut donc produire une violation de données à caractère personnel qualifiée, avec les délais de notification correspondants.
Parades adaptées à un réseau que l'on ne maîtrise pas
L'obstacle réel n'est pas technique, il est contractuel et humain : l'assureur ne gère pas les postes de ses distributeurs. Les mesures suivantes en tiennent compte.
- Exiger une méthode non rejouable pour l'accès extranet, et l'inscrire dans la convention de distribution plutôt que dans une recommandation. Sans base contractuelle, le déploiement s'arrête au premier refus.
- Retirer la notification push simple des comptes disposant d'un accès multi-dossiers, et la remplacer par un facteur qui exige un acte volontaire au moment de l'accès.
- Traiter la modification de coordonnées bancaires comme une opération sensible, soumise à une validation d'intention distincte de la session, avec délai de prise d'effet et notification à l'assuré.
- Fournir un canal de signalement immédiat aux distributeurs, avec une règle simple et répétée : aucune sollicitation d'approbation n'émane jamais de l'assureur par téléphone.
- Choisir une authentification qui ne suppose pas un poste maîtrisé. Une approche passwordless et IDless, avec un QR code dynamique à usage unique ouvrant un canal éphémère chiffré et une biométrie traitée localement, s'accommode d'un parc hétérogène sans imposer d'agent sur le poste du courtier.
FAQ
Un extranet distributeur relève-t-il vraiment du risque tiers ?
Oui, dans les deux sens. Le distributeur est un tiers qui accède au système de l'assureur, et l'assureur dépend de la sécurité d'un poste qu'il ne gouverne pas. C'est exactement le type de dépendance que DORA demande de recenser et d'encadrer.
Faut-il supprimer complètement la notification push ?
Pas nécessairement pour les usages à faible enjeu. Elle devient en revanche inadaptée dès qu'un compte permet de consulter un portefeuille ou de modifier un règlement, car son point faible est précisément l'approbation d'habitude.
Comment détecter une compromission d'un compte courtier ?
Par le comportement d'accès plutôt que par l'authentification : volume de consultations inhabituel, dossiers sans lien avec le portefeuille habituel, exports massifs, consultations en dehors des horaires du cabinet. Ces signaux existent souvent dans les journaux, sans être exploités.
Que change une modification d'IBAN dans le déroulé de la fraude ?
Elle déplace le gain de l'attaquant vers un flux légitime. Le règlement part du processus normal, vers le mauvais bénéficiaire, ce qui retarde la détection jusqu'à la réclamation de l'assuré. D'où l'intérêt d'une validation dédiée à cette opération précise.
Aller plus loin : le 4e facteur, principe général · MFA fatigue : la mécanique complète · DORA appliqué à l'assurance · fraude au faux conseiller et deepfake