Mon compte ameli a été piraté : que faire

Un compte ameli n'est pas un simple espace de consultation. On y modifie ses coordonnées bancaires, son adresse postale, son adresse électronique et son numéro de téléphone ; on y déclare un médecin traitant ; on y télécharge une attestation de droits, document qui porte votre nom et votre numéro de sécurité sociale ; et on y lit l'historique de vos remboursements, de vos arrêts de travail et de vos éventuelles affections de longue durée.

Chacune de ces rubriques est donc à vérifier, une par une, dès que l'accès est récupéré. La fiche F34010 de service-public.gouv.fr le dit explicitement pour tous les comptes en ligne : il arrive que la personne qui a pris la main modifie les données personnelles pour conserver l'accès. Une adresse électronique changée, et vous ne recevez plus aucune notification — le compte reste détourné sans que rien ne vous alerte.

Notez par écrit, pour chaque rubrique, ce que vous trouvez et à quelle date vous l'avez constaté. Cette liste est la première pièce de votre dossier, et c'est aussi ce qui vous permettra de vérifier plus tard que tout a bien été rétabli.

Changez le mot de passe depuis le site officiel, jamais depuis un lien reçu par message : la fiche F34010 indique l'adresse exacte à utiliser pour un compte ameli. Si l'accès vous est refusé, c'est le signe que les identifiants ou l'adresse de récupération ont été modifiés : il faut alors passer par votre caisse d'Assurance Maladie.

Occupez-vous ensuite de votre messagerie, et dans cet ordre-là. Si la boîte mail qui reçoit les notifications ameli est elle aussi compromise, réinitialiser le mot de passe du compte ameli revient à le rendre à qui l'a pris : le lien de réinitialisation arrive dans une boîte qui n'est plus la vôtre.

Enfin, rétablissez les données modifiées et demandez confirmation écrite du rétablissement. Un compte remis en état sans trace écrite, c'est un dossier qui repose sur votre parole.

Le motif le plus fréquent d'une prise de contrôle n'est pas la curiosité : c'est le changement de relevé d'identité bancaire, qui redirige vers un autre compte les remboursements que vous attendiez. Ce détournement est silencieux, puisque vous ne voyez pas arriver un virement que vous n'attendiez pas à une date précise.

Demandez donc à votre caisse, par écrit : la date exacte à laquelle les coordonnées bancaires ont été modifiées ; le relevé d'identité bancaire qui a été enregistré à votre place ; et la liste des remboursements versés depuis cette date, avec leurs montants et leurs destinataires.

Ces trois éléments ne sont pas de la curiosité administrative. Sans eux, vous ne pouvez ni chiffrer le préjudice, ni l'établir dans votre plainte, ni demander quoi que ce soit : vous en êtes réduit à affirmer qu'il s'est passé quelque chose. Avec eux, le dossier existe.

L'article 323-1 du Code pénal punit de trois ans d'emprisonnement et de 100 000 euros d'amende le fait d'accéder ou de se maintenir frauduleusement dans tout ou partie d'un système de traitement automatisé de données. Le même article porte la peine à cinq ans et 150 000 euros lorsqu'il en est résulté la suppression ou la modification de données contenues dans le système.

L'article 323-3 du même code vise directement la modification : introduire frauduleusement des données dans un système de traitement automatisé, ou extraire, détenir, reproduire, transmettre, supprimer ou modifier frauduleusement celles qu'il contient, est puni de cinq ans d'emprisonnement et de 150 000 euros d'amende. Un changement de coordonnées bancaires entre dans cette définition.

Si des remboursements ont été détournés, l'article 313-1 du Code pénal définit l'escroquerie comme le fait de tromper une personne physique ou morale, notamment par l'emploi de manœuvres frauduleuses, et de la déterminer ainsi à remettre des fonds, à son préjudice ou au préjudice d'un tiers ; la peine est de cinq ans d'emprisonnement et 375 000 euros d'amende. Et l'usage de vos données d'identification relève par ailleurs de l'article 226-4-1, qui punit l'usurpation d'identité d'un an d'emprisonnement et 15 000 euros d'amende.

Une précision pour éviter un contresens répandu : les articles 323-1 et 323-3 prévoient des peines aggravées lorsque le système visé est mis en œuvre par l'État. Une caisse d'Assurance Maladie n'est pas l'État au sens de ces textes, et nous n'affirmons donc pas que cette aggravation s'applique — c'est au juge de qualifier.

C'est la partie que l'on ne peut pas réparer. Un compte ameli donne accès à l'historique des remboursements, donc à la nature et à la fréquence des soins, aux arrêts de travail et, le cas échéant, aux affections de longue durée. Ces informations relèvent des données de santé, et rien ne les fait oublier à qui les a lues.

La mesure réaliste n'est donc pas la réparation, c'est la vigilance sur ce qui peut en découler : sollicitations ciblées qui s'appuient sur une pathologie connue, démarches auprès de votre mutuelle, soins facturés à votre nom. Le relevé de vos remboursements est l'endroit où cela se verrait.

Si vous avez des raisons de penser que la fuite vient de l'organisme lui-même et non de vos propres identifiants, la CNIL est l'autorité compétente pour en être informée. Notre guide sur le signalement à la CNIL décrit la démarche.

Ce sont deux problèmes distincts, qui appellent des démarches différentes. Un compte ameli piraté, c'est un accès en ligne détourné : les enjeux sont les coordonnées bancaires, les données personnelles et les données de santé.

Une carte Vitale ou un numéro de sécurité sociale utilisé par un tiers, c'est autre chose : des soins reçus par quelqu'un d'autre apparaissent sur vos décomptes, et votre dossier médical peut s'en trouver pollué — ce qui, à la différence du reste, a des conséquences sur votre santé.

Les deux peuvent très bien coexister, et le relevé de remboursements est le document qui permet de le voir. Notre guide consacré à l'usurpation de la carte Vitale traite le second cas.

Le service public 17Cyber aide à identifier précisément la situation dans laquelle vous êtes — hameçonnage, piratage de compte, message frauduleux — et oriente vers les démarches correspondantes. C'est un bon point de départ quand on ne sait pas par quel bout prendre les choses.

Si tout a commencé par un message, signalez-le : service-public.gouv.fr rappelle que les adresses officielles de l'Assurance Maladie se terminent par assurance-maladie.fr ou ameli.fr, qu'un courriel de l'organisme ne comporte jamais de pièce jointe, et que l'Assurance Maladie ne demande ni numéro fiscal ni identifiants de connexion.

Attention toutefois : un signalement ne vaut pas plainte. Le signalement informe les services d'enquête ; la plainte ouvre une procédure et vous donne un récépissé, qui est la pièce que les organismes vous réclameront ensuite. Déposez-la avec vos preuves : captures d'écran, courriels reçus, liste des modifications constatées et leurs dates.

Conservez les captures d'écran des rubriques modifiées, les courriels de notification reçus — y compris ceux qui annonçaient les changements que vous n'avez pas faits, ils datent les faits —, vos échanges avec la caisse et le récépissé de plainte.

Gardez aussi les réponses écrites de la caisse sur la date du changement de coordonnées bancaires et sur les versements effectués. C'est le document qui chiffre le préjudice, et il est plus difficile à obtenir six mois après.

Averida ne garantit aucune issue : le traitement relève des organismes destinataires. L'outil produit les courriers dans les formes, rappelle les délais et conserve les preuves d'envoi.