En assurance, le phishing dispose d'un avantage que peu de secteurs offrent : il existe un prétexte légitime permanent. Un sinistre en cours, une échéance, une expertise à programmer, un remboursement en attente — autant de messages que l'assuré ou le courtier attend réellement. Le leurre n'a pas à créer l'urgence, il lui suffit de s'insérer dans un échange déjà commencé.
Les trois populations visées et ce qu'elles rapportent
L'exposition n'est pas homogène, et les priorités de traitement en découlent directement.
Le réseau de distribution — courtiers, agents généraux, mandataires — constitue la cible la plus rentable. Un compte d'extranet donne accès à un portefeuille entier : contrats, sinistres, pièces justificatives, coordonnées bancaires de règlement. Ces utilisateurs travaillent avec plusieurs assureurs, donc plusieurs portails aux interfaces différentes, ce qui rend une page relais très difficile à distinguer.
Le gestionnaire interne est visé pour ses capacités d'action : validation d'un règlement, modification d'un dossier, accès à des outils de masse. Les leurres reprennent le vocabulaire métier et s'appuient sur les périodes de charge.
L'assuré est enfin visé directement, avec un enjeu particulier : c'est la marque de l'assureur qui est usurpée. Le préjudice de réputation et le devoir d'information qui en découle appartiennent à l'assureur, même quand l'incident se déroule intégralement hors de son système d'information.
Ce que l'attaquant fait de l'accès obtenu
La compromission d'un compte se traduit rarement par une perte immédiate. Elle alimente trois chaînes distinctes, dont la plus coûteuse est aussi la plus lente à se manifester.
La première est la modification de coordonnées bancaires de règlement : l'indemnisation part par le circuit normal, vers le mauvais bénéficiaire. La détection intervient à la réclamation de l'assuré, souvent plusieurs semaines plus tard.
La deuxième est la constitution d'un fichier de prospection frauduleuse. Un attaquant qui connaît le contrat, l'échéance et le sinistre en cours dispose de tout ce qu'il faut pour un appel de faux conseiller crédible, éventuellement renforcé par une voix synthétique.
La troisième est la captation de données sensibles. Les garanties santé et prévoyance impliquent des données de santé, qui relèvent des catégories particulières au sens du RGPD et ne se révoquent pas une fois divulguées.
| Leurre observé | Population visée | Objectif immédiat | Chaîne de préjudice |
|---|---|---|---|
| Migration ou refonte de l'extranet | Courtier, agent | Session sur le portail | Accès au portefeuille |
| Pièce complémentaire pour un sinistre | Assuré, gestionnaire | Identifiants, pièce jointe piégée | Détournement de règlement |
| Convocation d'expertise | Assuré | Identifiants, coordonnées bancaires | Fraude au remboursement |
| Message d'un délégataire de gestion | Gestionnaire interne | Session interne | Actions de masse sur dossiers |
| Avis d'échéance ou de résiliation | Assuré | Paiement frauduleux | Préjudice direct et réputationnel |
Le cadre : DORA et données de santé
Les entreprises d'assurance et de réassurance relèvent du règlement DORA (règlement (UE) 2022/2554), applicable depuis janvier 2025. Deux volets concernent directement ce sujet : la gestion du risque lié aux prestataires tiers de services informatiques, et les obligations de détection, de classification et de notification des incidents. Un extranet distributeur est un point d'entrée dont la gouvernance doit être démontrable, pas seulement contractuelle.
Le RGPD impose de son côté une vigilance particulière sur les données de santé, avec les obligations de notification correspondantes en cas de violation. La difficulté pratique est l'établissement du périmètre : sans journalisation exploitable des consultations, une organisation ne peut ni qualifier l'incident, ni informer les personnes concernées de manière fiable.
Parades adaptées à une distribution intermédiée
L'obstacle n'est pas technique mais contractuel : l'assureur ne maîtrise ni les postes, ni les pratiques de son réseau. Les mesures suivantes en tiennent compte.
- Inscrire la méthode d'authentification dans la convention de distribution. Sans base contractuelle, l'exigence s'arrête au premier refus d'un cabinet.
- Retenir un facteur non rejouable pour l'accès extranet. Un code transmis par SMS ou par courriel est relayé en temps réel par une page relais ; l'OTP par SMS ou par voix est d'ailleurs classé « restricted » par le NIST dans sa publication SP 800-63B.
- Traiter la modification de coordonnées bancaires comme une opération à part entière, avec une validation distincte de la session, un délai de prise d'effet et une notification à l'assuré. Cette mesure seule coupe la chaîne de préjudice la plus fréquente.
- Surveiller l'usage plutôt que l'authentification. Volume de consultations inhabituel, dossiers sans lien avec le portefeuille habituel, exports massifs, activité en dehors des horaires du cabinet : ces signaux existent souvent dans les journaux sans être exploités.
- Choisir une méthode qui ne suppose pas un poste maîtrisé. Une approche passwordless et IDless, avec biométrie traitée localement et QR code dynamique à usage unique ouvrant un canal éphémère chiffré, s'accommode d'un parc hétérogène sans imposer d'agent sur le poste du distributeur.
FAQ
Comment protéger les assurés contre l'usurpation de la marque ?
En réduisant la surface d'imitation : canaux de contact restreints et connus, absence de lien de connexion dans les messages sortants, publication d'une règle claire sur ce que l'assureur ne demandera jamais. Le dépôt et la surveillance des noms de domaine voisins complètent utilement le dispositif.
Le courtier relève-t-il du risque tiers au sens de DORA ?
La relation fonctionne dans les deux sens : il accède au système de l'assureur, et l'assureur dépend de la sécurité d'un poste qu'il ne gouverne pas. C'est le type de dépendance que le règlement demande de recenser et d'encadrer.
Que faire immédiatement après un phishing avéré sur un compte extranet ?
Révoquer les sessions actives avant toute réinitialisation, puis vérifier les facteurs enrôlés, les règles de redirection de messagerie et l'historique des modifications de coordonnées bancaires sur la période concernée.
La sensibilisation du réseau est-elle efficace ?
Elle réduit le taux de réussite des campagnes de masse et accélère les signalements, ce qui est précieux. Elle ne résiste pas à un leurre contextualisé sur un dossier réel : elle doit donc accompagner un changement de facteur, pas s'y substituer.
Aller plus loin : comprendre l'authentification cognitive · MFA résistante au phishing · DORA appliqué à l'assurance · fraude au faux conseiller et deepfake