Dans l'assurance, le détournement de session est redoutable pour une raison propre au secteur : une large partie des accès n'appartient pas à l'assureur. Courtiers, agents généraux, délégataires de gestion, experts et réparateurs agréés se connectent quotidiennement à des extranets, avec des sessions longues, depuis des postes que l'assureur ne gère pas et ne peut pas auditer.
Ce qu'un jeton volé permet de faire dans une compagnie
Une session capturée après une authentification réussie donne accès aux fonctions du profil détourné, sans nouvelle vérification. Trois usages ressortent.
Modifier une coordonnée bancaire de remboursement. C'est le geste le plus rentable et le plus discret. Un changement de RIB sur un dossier d'indemnisation en cours détourne le versement sans créer de contrat fictif ni déclencher d'alerte de souscription.
Consulter des données particulièrement sensibles. Prévoyance, santé collective, arrêts de travail : ces portefeuilles contiennent des informations de santé, catégorie particulière au sens du RGPD. Une consultation massive depuis un compte partenaire légitime ne ressemble à rien d'anormal si aucun seuil n'est surveillé.
Préparer une fraude au sinistre. L'accès permet de connaître les garanties, les franchises, les plafonds et l'historique du client. La déclaration frauduleuse construite ensuite est calibrée pour passer les contrôles.
Les chemins d'accès au jeton, propres au secteur
| Chemin | Contexte assurantiel | Difficulté de détection |
|---|---|---|
| Poste d'un cabinet de courtage compromis | Parc non géré par l'assureur, outillage hétérogène | Élevée : l'assureur ne voit que l'usage |
| Extension de navigateur d'un délégataire | Outils métier multiples, extensions de confort | Élevée |
| Relais d'authentification sur l'extranet | Portail public, identité connue des courtiers | Moyenne |
| Session partenaire non expirée | Sessions longues pour éviter les reconnexions | Faible si la durée est mesurée |
| Compte mutualisé de cabinet | Un identifiant pour plusieurs collaborateurs | Très élevée : aucune imputabilité |
La dernière ligne mérite un traitement à part. Le compte partagé au sein d'un cabinet reste courant pour des raisons pratiques. Il rend impossible toute analyse comportementale : la session semble toujours utilisée par « quelqu'un d'autre », ce qui est effectivement le cas.
Le cadre applicable : DORA au premier rang
Les entreprises d'assurance et de réassurance figurent parmi les entités financières couvertes par le règlement DORA ((UE) 2022/2554), applicable depuis janvier 2025. Trois exigences touchent directement ce sujet :
- la gestion des risques liés aux prestataires tiers, qui vise précisément les chaînes de délégation décrites plus haut ;
- la détection et la notification des incidents majeurs liés aux technologies de l'information ;
- les tests de résilience opérationnelle numérique, qui doivent inclure des scénarios réalistes.
S'y ajoute le RGPD, avec une exigence renforcée sur les données de santé et une obligation de notification en cas de violation. La directive NIS2 peut également s'appliquer selon la nature et la taille de l'entité. Enfin, lorsque des flux de paiement sont concernés, la DSP2 impose un lien dynamique entre l'authentification, le montant et le bénéficiaire — exigence qu'une session détournée ne satisfait par définition pas.
Parades réalistes dans une chaîne de distribution
Le levier n'est pas de reprendre le contrôle des postes des partenaires : c'est irréaliste. Il est de réduire ce qu'une session volée permet.
- Distinguer consultation et action. Consulter un dossier et modifier un RIB de remboursement ne doivent pas relever du même niveau de preuve. Une validation d'intention au moment du changement de coordonnées neutralise le scénario de détournement de versement, même avec une session valide.
- Plafonner la durée des sessions partenaires et exiger une réauthentification pour accéder aux portefeuilles contenant des données de santé.
- Éliminer les comptes partagés de cabinet. Chaque personne physique doit disposer d'un identifiant propre : c'est la condition de toute imputabilité et de toute détection.
- Surveiller la volumétrie de consultation par compte partenaire. Un courtier qui ouvre en une heure plus de dossiers qu'en un mois est un signal fort, indépendant de la validité de la session.
- Contractualiser la révocation. Le contrat de délégation doit prévoir la suspension immédiate des accès sur soupçon, et un délai de notification d'incident compatible avec vos obligations DORA.
- Comparer le contexte d'émission et le contexte d'usage du jeton : changement d'adresse, de client, de fuseau horaire au sein d'une même session.
Ces mesures partagent une logique : puisque l'authentification d'entrée peut être traversée, il faut que les actes à conséquence financière exigent une preuve fraîche. C'est le principe de l'authentification cognitive, qui rattache la validation à l'opération plutôt qu'à la session.
FAQ
Comment détecter un détournement sur un compte courtier ?
En surveillant l'usage plutôt que la connexion : volumétrie de consultation, horaires atypiques, enchaînement consultation puis modification de coordonnées bancaires, ou usage simultané du même compte depuis deux contextes réseau incompatibles.
Que faire immédiatement après un soupçon ?
Révoquer les sessions actives du compte partenaire, geler les modifications de coordonnées bancaires réalisées dans la fenêtre suspecte, notifier le cabinet concerné et vérifier les dossiers consultés. Le changement de mot de passe ne ferme pas une session déjà ouverte.
Faut-il imposer la MFA à tous les partenaires distributeurs ?
Sur les fonctions sensibles, oui, et c'est généralement acceptable commercialement si le parcours reste fluide. La question du niveau importe plus que celle du principe : un facteur transmissible n'empêche ni le relais ni le vol de session.
Les données de santé imposent-elles des mesures spécifiques ?
Le RGPD exige des mesures adaptées au risque, ce qui justifie une réauthentification pour accéder aux portefeuilles concernés et une traçabilité fine des consultations, exploitable en cas d'investigation.
Aller plus loin : le 4ᵉ facteur cognitif · vol de session : mécanismes et détection · DORA dans l'assurance · authentification transactionnelle