Arnaque email Assurance Maladie : comment reconnaître un faux message CPAM

Par Sylvain Cassini — publié le 4 avril 2026

Vous recevez un email de l'"Assurance Maladie" qui mentionne votre nom, votre entreprise, votre adresse exacte. Il vous demande de "consulter une mise à jour". Tout semble officiel — mais l'expéditeur réel est contact@aced-formation.fr, un organisme de formation n'ayant aucun lien avec la CPAM. C'est du phishing ciblé, et il est plus dangereux qu'un spam ordinaire précisément parce qu'il vous connaît.

Le piège de la personnalisation : pourquoi cet email semble crédible

La plupart des arnaques par email utilisent des formules génériques — "Madame, Monsieur". Cet email va plus loin : il cite votre nom complet, le nom de votre société, et votre adresse postale complète. Ce niveau de personnalisation crée une fausse légitimité. La réaction naturelle est : "S'ils ont mon adresse, c'est forcément sérieux."

D'où viennent vos données personnelles ?

Les escrocs n'ont pas eu besoin de pirater la CPAM. Ces données circulent largement via :

• Les registres publics d'entreprises — le SIREN, les statuts déposés au greffe, l'annuaire des entreprises sont accessibles à tous. Nom, adresse du siège social, gérant : tout y figure.
• Les fuites de données — des millions d'adresses email et de profils sont revendus sur des marchés clandestins après des fuites chez des commerçants, des mutuelles ou des administrations.
• Le scraping de sites professionnels — LinkedIn, pages jaunes, sites d'entreprises : des robots collectent automatiquement les informations publiques.

Le fait qu'un email vous connaisse n'est donc pas un signe d'authenticité. C'est au contraire un signal que vos données ont été achetées ou collectées pour cibler des victimes plus crédibles.

Pourquoi le message reste-t-il vague ?

L'email original parlait de "certains paramètres liés à votre accès" et d'"éléments concernés", sans jamais préciser quoi. Ce flou est délibéré : un message trop précis pourrait être démenti immédiatement. Le vague force la victime à cliquer pour "comprendre" — c'est exactement le comportement recherché.

5 signaux qui trahissent un faux email de la CPAM

1. L'adresse réelle de l'expéditeur ne contient pas "assurance-maladie.fr" ou "ameli.fr" — appuyez sur le nom affiché dans votre application mail pour révéler l'adresse complète. Un domaine comme @aced-formation.fr, @gmail.com ou @marketing-quelque chose.com est un signal d'alarme immédiat.
2. Le message ne mentionne aucun numéro de dossier, aucune référence précise — un courrier officiel de l'Assurance Maladie cite toujours votre numéro d'assuré ou un identifiant de démarche.
3. Le langage crée une vague inquiétude sans détail — "une opération est en cours", "votre accès pourrait être impacté" : ces formules sont conçues pour provoquer l'anxiété sans rien affirmer de précis.
4. Le bouton d'action ne mène pas à ameli.fr — survolez le lien (sur ordinateur) ou maintenez appuyé (sur mobile) pour voir l'URL réelle avant de cliquer. Si ce n'est pas ameli.fr, ne cliquez pas.
5. Aucune mention du 3646 ou d'un conseiller identifié — les communications officielles de la CPAM indiquent toujours un moyen de vérification (numéro de dossier, numéro de téléphone officiel, espace ameli).

Vous avez cliqué : que faire maintenant ?

Vous avez cliqué sur le lien mais n'avez rien saisi

Fermez l'onglet immédiatement. Lancez une analyse antivirus (Malwarebytes est efficace et gratuit). Signalez l'email comme phishing dans votre messagerie. Il n'y a probablement pas de risque majeur si aucune information n'a été saisie.

Vous avez entré vos identifiants ameli.fr

1. Connectez-vous immédiatement à ameli.fr (en tapant l'adresse manuellement dans votre navigateur) et changez votre mot de passe
2. Vérifiez vos données personnelles et vos remboursements récents dans votre espace ameli
3. Contactez votre CPAM locale pour les alerter
4. Activez la double authentification sur votre compte si elle est disponible

Vous avez communiqué des données bancaires

1. Appelez votre banque immédiatement pour faire opposition — chaque minute compte
2. Déposez plainte au commissariat ou à la gendarmerie, ou en ligne sur pre-plainte.interieur.gouv.fr
3. Signalez le cas sur cybermalveillance.gouv.fr

Signaler l'arnaque

Signaler permet de protéger d'autres victimes. Plusieurs canaux sont disponibles :

• signal-spam.fr — signalement des emails frauduleux (ou transfert direct à phishing@signal-spam.fr)
• internet-signalement.gouv.fr (plateforme PHAROS) — pour les contenus illicites en ligne
• cybermalveillance.gouv.fr — assistance aux victimes et signalement, numéro : 3018
• Marquez l'email comme "spam" ou "phishing" dans votre messagerie — cela améliore les filtres pour tous les utilisateurs

Questions fréquentes