Face aux fraudes, l’accès à FranceConnect via Ameli restreint

C’est une enquête du Canard enchaîné, parue ce 31 août 2022, qui a révélé l’affaire : présentée comme « une simple maintenance technique », l’impossibilité de se connecter aux services des impôts via son compte Ameli sur FranceConnect proviendrait d’une recrudescence des fraudes.

Pour rappel, FranceConnect permet de se connecter à différents services (1 400 en tout), via les identifiants d’un autre service en ligne avec une vérification d’identité jugée forte. Sont concernés les identifiants d’impots.gouv.fr, de l’Assurance Maladie (Ameli), de l’identité numérique, de la Mutualité sociale agricole ou de La Poste.

Si ce service permet de simplifier la connexion à de nombreux services, et augmente globalement la sécurité des connexions, il présente un défaut majeur : un pirate disposant de l’un des identifiants maîtres peut accéder à l’ensemble des services certifiés FranceConnect.

En l’occurrence, la fraude la plus fréquente concerne les comptes Ameli (ceux dont la compromission est la plus courante), qui permettent à des cybercriminels d’accéder aux sites des impôts. Il leur suffit ensuite de changer les RIB associés au compte pour détourner de l’argent, notamment les remboursements des trop perçus.

FranceConnect a donc interdit la connexion à impots.gouv.fr via un identifiant Ameli, mais le blocage concerne peut-être d’autres services avec des échanges financiers. La DINUM, qui opère FranceConnect, a reconnu « la mise en place de mesures de sécurisation renforcées qui ne peuvent être détaillées pour éviter de donner les moyens aux arnaqueurs de les contourner ».

La DINUM prévoit d’ailleurs un transfert des démarches les plus sensibles (dont celles impliquant un versement financier) vers FranceConnect+, une nouvelle version du service imposant une identification à deux facteurs, via le smartphone de l’usager.