L'assurance combine trois caractéristiques qui rendent son problème d'authentification particulier : elle traite des données de santé, elle verse de l'argent sur déclaration, et une grande partie de ses accès sont détenus par des tiers qui ne sont pas ses salariés. Un dispositif conçu pour un SI d'entreprise fermé ne couvre donc qu'une fraction du risque réel.
Ce qu'il faut réellement protéger
- Les dossiers de sinistre : données de santé, expertises, pièces justificatives, coordonnées bancaires de règlement.
- Les coordonnées bancaires du bénéficiaire. C'est l'actif le plus directement monétisable : un changement d'IBAN accepté détourne un règlement sans qu'aucun système ne soit compromis.
- Les contrats d'épargne et d'assurance vie : rachat partiel, arbitrage, changement de bénéficiaire. Montants élevés, opérations rares, donc peu de repères pour l'assuré.
- Les extranets de distribution : courtiers, agents généraux, mandataires, comparateurs. Ces comptes donnent accès à des portefeuilles entiers.
- Les outils de gestion utilisés par les délégataires et les plateformes de sous-traitance.
Les contraintes qui font échouer les dispositifs génériques
L'identité vit hors de l'entreprise. Un courtier utilise son propre matériel, sa propre messagerie, ses propres pratiques. L'assureur ne maîtrise ni le poste, ni le niveau de sensibilisation, ni le départ d'un collaborateur du cabinet. Le cycle de vie des comptes partenaires est le point faible structurel du secteur.
La saisonnalité crée des pics. Un épisode climatique majeur déclenche un afflux de déclarations, avec des renforts temporaires et une pression forte sur les délais. Tout contrôle jugé lent est contourné dans ces périodes — précisément celles que la fraude cible.
Les gestionnaires travaillent souvent à distance, sur des dossiers contenant des données de santé, avec des outils multiples et parfois des postes partagés en agence.
L'assuré est peu familier des parcours. Il se connecte rarement, oublie ses identifiants, et accepte volontiers un accompagnement par téléphone — un terrain favorable au faux conseiller.
Le cadre réglementaire applicable
| Texte | Portée pour le secteur | Exigence en matière d'authentification |
|---|---|---|
| DORA — règlement (UE) 2022/2554 | entreprises d'assurance et de réassurance, applicable depuis janvier 2025 | maîtrise documentée du risque numérique, contrôle d'accès, gestion des prestataires tiers |
| RGPD | données de santé, données bancaires | protection renforcée des catégories particulières, minimisation, justification de la biométrie |
| NIS2 — directive (UE) 2022/2555 | entités concernées | mesures de gestion des risques citant l'authentification multifacteur ou continue |
| ISO/IEC 27001 | démarche volontaire | contrôle d'accès et gestion des identités dans le système de management |
| DSP3 / PSR | paiements | encore en processus législatif : à surveiller, pas à appliquer |
DORA mérite une attention particulière : il porte explicitement sur les prestataires tiers. Pour un assureur qui délègue la gestion, l'authentification des délégataires n'est pas un sujet périphérique, c'est un objet de contrôle attendu.
Les parcours sensibles à traiter en priorité
- Changement d'IBAN de règlement. À traiter comme une opération financière à part entière : validation contextualisée, délai de refroidissement, notification sur un canal indépendant.
- Rachat, arbitrage ou changement de bénéficiaire sur un contrat d'épargne. Montants importants, fréquence faible, forte exposition à la manipulation téléphonique.
- Déclaration et règlement de sinistre au-delà d'un seuil, en particulier lorsque les documents fournis sont numériques et facilement synthétisables.
- Connexion d'un partenaire de distribution à l'extranet, avec vérification que le compte correspond toujours à une personne en activité dans le cabinet.
- Accès des gestionnaires aux dossiers de santé, où la traçabilité individuelle est une exigence du RGPD autant qu'un besoin de sécurité.
- Récupération de compte assuré, parcours le plus visé dès que la connexion est renforcée.
Sur ces parcours, la faille n'est presque jamais cryptographique : elle tient au fait qu'une personne légitime valide une opération dont elle ne mesure pas la portée. Le 4ᵉ facteur cognitif traite ce point précis, en exigeant une opération mentale personnelle plutôt qu'un geste d'approbation — ce qui rétablit un temps de réflexion et rend l'approbation non délégable, ni à un fraudeur au téléphone, ni à un automate.
Menaces et conformité : les ressources du secteur
Menaces : hameçonnage en assurance · deepfake vocal · réutilisation d'identifiants · interception en temps réel (AiTM) · fatigue MFA · détournement de session
Conformité : DORA en assurance · DSP3 et assurance
FAQ
Comment sécuriser les accès des courtiers sans les équiper ?
En privilégiant un facteur qui ne dépend pas d'un matériel fourni ni d'un annuaire maîtrisé, et en imposant une revue périodique des comptes partenaires. Un compte de courtier inactif depuis plusieurs mois doit être suspendu par défaut.
Les données de santé imposent-elles la biométrie ?
Non, plutôt l'inverse. Les données biométriques relèvent des catégories particulières du RGPD : ajouter un gabarit centralisé à un dossier de santé augmente le risque au lieu de le réduire. Une biométrie traitée localement, sans stockage central, est préférable.
Quel niveau d'authentification pour un extranet partenaire ?
Au moins équivalent à celui des salariés accédant aux mêmes données, puisque le périmètre consulté est comparable. Dans les faits, c'est souvent le contraire qui est observé.
Faut-il un dispositif différent pour les assurés et pour les gestionnaires ?
Les niveaux d'exigence diffèrent, mais un socle commun simplifie l'exploitation. L'important est de faire porter la preuve sur l'action sensible, quel que soit le profil qui la déclenche.
Aller plus loin : pilier : authentification cognitive · panorama NIS2, DORA, DSP3 et CRA · fraude au faux conseiller · MFA résistante au phishing