Un courriel qui intrigue avant de piéger

Tout commence par un objet volontairement vague : « Un montant vous est destiné. » La formulation intrigue sans annoncer directement un remboursement ni réclamer d'argent. Elle crée une attente et pousse le destinataire à ouvrir le message pour comprendre de quoi il s'agit. Une fois ouvert, le courriel reprend les principaux codes graphiques de l'Assurance Maladie : logo, couleurs bleu et blanc, référence à un espace personnel et présentation administrative qui lui donnent l'apparence d'une communication institutionnelle.

Le texte évoque un « montant rattaché à votre dossier », un « traitement » et un « accord enregistré ». Le destinataire est placé face à une procédure présentée comme presque terminée — il ne lui resterait qu'une formalité à accomplir. Le bouton « Enregistrer mon accord » participe de cette mécanique : il paraît moins suspect qu'une injonction comme « Recevoir mon remboursement ». La victime pense confirmer une opération administrative, non initier une transaction sensible.

Le montant de 49,99 € est choisi avec soin : assez important pour attirer l'attention, tout en restant compatible, dans l'esprit du destinataire, avec un remboursement de santé ordinaire. La référence « V.2026.0714 » ajoute une couche de vraisemblance en simulant un identifiant interne.

Ce que fait vraiment l'Assurance Maladie

Cette présentation diverge pourtant des pratiques officielles de l'Assurance Maladie. Lorsqu'elle informe réellement un assuré d'un paiement, son courriel ne précise ni le montant ni le motif du versement et renvoie vers le compte Ameli. L'objet utilisé pour ce type de notification serait « Information de paiement ». La présence d'une somme précise dans un courriel est donc un signal d'alerte.

Après le clic : une infrastructure qui change de visage

C'est après le clic que la campagne révèle sa véritable sophistication. L'adresse utilisée par les pirates peut conduire vers le journal Le Monde au lieu d'afficher une page imitant Ameli. Ce comportement variable, fonction de l'heure ou de l'adresse IP, est compatible avec une technique de cloaking.

Le principe du cloaking consiste à choisir le contenu présenté en fonction du visiteur. Un serveur peut prendre en compte :

  • l'adresse IP, le pays estimé, le fournisseur d'accès, l'ASN ;
  • le navigateur, le système d'exploitation, les cookies, le référent HTTP ;
  • les paramètres inclus dans le lien, le nombre de visites ou l'horaire.

Une victime correspondant au profil attendu pourrait ainsi recevoir le phishing Ameli, tandis qu'un scanner automatique, une adresse provenant d'un centre de données, une connexion étrangère ou une IP déjà connue serait redirigée vers Le Monde.

Pourquoi Le Monde ?

La destination choisie présente un intérêt opérationnel. Une erreur 404 ou une page vide signalerait immédiatement un dysfonctionnement. Une redirection vers Le Monde ressemble davantage à une anomalie de navigation : la victime peut penser que l'opération a expiré ou que le lien fonctionne mal. Un chercheur ou un outil de sécurité risque, lui, de ne jamais observer le contenu frauduleux.

Ce type de filtrage par empreinte numérique (browser fingerprinting) n'est pas isolé. BleepingComputer et The Hacker News ont récemment documenté des campagnes ClickFix utilisant plus de 250 domaines avec fingerprinting pour masquer leurs leurres de malware, confirmant que le cloaking est une tendance croissante chez les cybercriminels en 2026.

Une fausse boutique comme infrastructure de couverture

Le domaine utilisé ajoute une dimension supplémentaire à l'opération. Le phishing se trouve sous un sous-domaine rattaché à une entreprise présentée comme une boutique alimentaire implantée à Chandigarh, en Inde. Le site propose fruits, légumes, riz, produits laitiers, et affiche également des espaces consacrés aux investisseurs, distributeurs et recrutements.

Selon l'analyse de ZATAZ, cette présence numérique est très récente. Des offres d'emploi et de franchises sont diffusées via un compte Instagram créé quelques jours auparavant. Textes, illustrations et vidéos sont générés par intelligence artificielle.

Trois hypothèses sont envisageables :

  1. Une façade créée spécialement pour donner de la profondeur à l'infrastructure. Une boutique, des produits, des pages institutionnelles, un compte social, des recrutements et des vidéos forment un environnement beaucoup plus crédible qu'un simple domaine jetable. L'IA réduit considérablement l'effort nécessaire pour fabriquer ce décor.
  2. Un site authentique compromis : le sous-domaine aurait été créé ou détourné sans intervention du propriétaire légitime. Un domaine associé à une activité commerciale paraît souvent moins suspect qu'une adresse construite autour des mots « ameli » ou « remboursement ».
  3. Une infrastructure hybride, avec une activité commerciale réelle utilisée parallèlement comme couverture.

L'enquête approfondie de ZATAZ penche vers la première hypothèse : toute l'infrastructure de cette entreprise semble en réalité fausse.

Le clic lui-même comme objectif : collecte de renseignements

Le point le plus troublant de cette campagne est que le clic peut constituer l'objectif initial, bien avant toute page de phishing. Une URL distribuée par courriel peut intégrer un identifiant unique. Lorsqu'un destinataire ouvre le lien, le serveur apprend que l'adresse ciblée est probablement active et que son utilisateur réagit à une thématique liée à l'Assurance Maladie.

Au-delà de la simple confirmation d'activité, la connexion peut révéler :

  • l'heure du clic et l'adresse IP publique ;
  • une localisation approximative, l'ASN, le fournisseur d'accès ;
  • le navigateur, le système d'exploitation, le type d'appareil et la langue configurée ;
  • plusieurs caractéristiques HTTP complétant ce profil.

Une simple adresse électronique devient alors un renseignement comportemental : utilisateur actif, réceptif à une promesse de remboursement, connecté depuis la France, avec un environnement technique identifiable et une plage horaire connue.

Cette qualification peut servir à préparer une seconde opération plus crédible. Les attaquants disposent alors d'éléments pour adapter le prétexte, le moment du contact ou la présentation technique. Une campagne ultérieure pourrait prendre la forme d'un faux conseiller de l'Assurance Maladie, d'une banque, d'une mutuelle, d'un service de livraison ou d'un support technique.

Un contexte préoccupant pour les utilisateurs français

Cette campagne s'inscrit dans un contexte particulièrement tendu pour la cybersécurité en France. Quelques jours plus tôt, le 8 août 2026, ZATAZ révélait la découverte d'un stockage pirate réunissant plus de 1,7 milliard de couples adresse électronique / mot de passe uniques liés au domaine français, dont environ 69 % (1,18 milliard d'entrées) proviendraient de campagnes de phishing menées sur treize ans.

Par ailleurs, la veille même de cette découverte, le 10 août 2026, ZATAZ documentait une autre campagne de phishing sophistiquée imitant le service AR24 (lettre recommandée électronique), utilisant un CAPTCHA pour compliquer l'analyse automatisée et collectant les identifiants de messagerie de six fournisseurs (Outlook, Yahoo, Orange, Bouygues Telecom, Free et SFR) avant de rediriger la victime vers le véritable site AR24 pour retarder la détection.

Ces trois affaires illustrent une évolution majeure : les campagnes de phishing ne se contentent plus de voler des identifiants en masse. Elles filtrent, qualifient et préparent le terrain pour des attaques plus ciblées et plus crédibles.

Comment se protéger

Face à ce type de menace, plusieurs réflexes s'imposent :

  • Vérifier l'objet et le contenu : l'Assurance Maladie ne précise jamais le montant d'un remboursement dans un courriel. L'objet officiel est « Information de paiement ».
  • Contrôler le domaine affiché dans la barre d'adresse du navigateur après un clic. Un sous-domaine lié à une boutique indienne n'a aucun rapport avec Ameli.
  • Ne jamais saisir d'identifiants suite à un clic depuis un courriel. Pour consulter son compte Ameli, il faut taper soi-même l'adresse officielle dans le navigateur.
  • Activer l'authentification multifacteur sur tous les comptes qui le proposent.
  • Utiliser un gestionnaire de mots de passe pour éviter le réemploi de mots de passe entre services.
  • Signaler les courriels suspects à la plateforme officielle Signal Phishing (signal-phishing.gouv.fr) ou via le bouton de signalement intégré à la plupart des messageries.

Le danger de cette campagne ne réside pas uniquement dans la page qui apparaît après le clic : le renseignement obtenu sur celui qui clique peut déjà constituer une première étape de l'attaque. La prudence face à tout courriel promettant un montant inattendu reste, en août 2026, plus que jamais d'actualité.