Arnaque à la carte Vitale : ce que l’Assurance Maladie envoie vraiment et les gestes si vous avez cliqué

Aucun message qui vous demande de renouveler, de mettre à jour en ligne ou de payer l’envoi de votre carte Vitale ne vient de l’Assurance Maladie. La carte est émise sans durée de validité, son remplacement est gratuit et l’Assurance Maladie ne facture jamais de frais de livraison. Ses SMS partent d’un seul numéro, le 38 663, et ses appels s’affichent en 3646 ou, pour le service sophia, en 01 78 85 70 03. Un appel ou un courrier qui sort de ce cadre ne vient pas d’elle ; un e-mail venu d’une autre adresse a, selon ses propres mots, de fortes chances d’être une arnaque par hameçonnage. La suite de cette page sert à deux choses : reconnaître le faux en trente secondes, puis savoir quoi faire dans l’ordre si vous avez déjà cliqué, saisi vos données ou payé.

• Ce qui n’existe pas : une carte Vitale qui expire, une « nouvelle carte V3 » à commander, des frais de livraison, une mise à jour par formulaire en ligne.
• Ce qui existe : une mise à jour gratuite en borne au moins une fois par an, un remplacement gratuit sous 2 à 3 semaines en cas de perte ou de vol, une appli carte Vitale gratuite.
• Les expéditeurs officiels : SMS du 38 663 commençant par « ASSURANCE MALADIE », e-mails finissant par @app.assurance-maladie.fr, @assurance-maladie.fr, @info.ameli.fr ou @ameli.fr, appels affichés 3646 ou 01 78 85 70 03 (service sophia).
• Ce que l’Assurance Maladie ne demande jamais : votre mot de passe ameli, des informations médicales, vos coordonnées bancaires complètes ou votre numéro de carte.
• Si vous avez donné votre carte bancaire : opposition tout de suite, puis, si des débits apparaissent, Perceval et plainte ; la banque rembourse les débits contestés au plus tard le premier jour ouvrable suivant, sauf négligence grave qu’elle doit prouver.

Avant de cliquer : quatre questions qui tranchent

Avez-vous une démarche en cours auprès de votre caisse ? C’est la première question que recommande l’Assurance Maladie. Si non, redoublez de vigilance : elle peut vous écrire pour vous informer, par exemple d’un versement reçu, mais une demande urgente sur un dossier que vous n’avez pas ouvert réunit les deux indices qu’elle cite en premier : aucune démarche en cours, et un délai très court.

• Vous demande-t-on de payer ou de saisir une carte bancaire ? La création, l’envoi et la mise à jour d’une carte Vitale sont gratuits. Service-public.fr le formule sans détour : si on vous demande de l’argent, il s’agit d’une escroquerie. Le montant, même « symbolique », ne change rien : les campagnes de faux colis réclament 1 à 2 euros pour la même raison, obtenir le numéro complet de votre carte.
• Le message fixe-t-il un délai ? « Sous 48 h », « avant le », « pour rester couvert » : l’urgence est la signature de ces campagnes. Une vraie démarche de l’Assurance Maladie se fait dans votre compte ameli, sans compte à rebours.
• D’où vient-il, et où mène le lien ? Un SMS officiel vient du 38 663 et commence par « ASSURANCE MALADIE ». Un e-mail officiel finit par l’un des quatre domaines listés plus haut ; l’Assurance Maladie elle-même juge qu’un message venu d’une autre adresse a de fortes chances d’être frauduleux. Vous ne recevrez par ailleurs jamais de courriel si vous n’avez pas ouvert de compte ameli. Les liens d’un message officiel mènent, dans la majorité des cas, vers https://www.ameli… ou https://assure.ameli… ; sur mobile, un appui long sur le lien affiche l’adresse réelle sans l’ouvrir. Il suffit d’un caractère de différence pour vous tromper.

Un dernier indice tient à l’incohérence : les messages sont de plus en plus personnalisés avec vos nom et prénom, parfois d’autres données issues de fuites, alors que le faux site derrière le lien reste générique et vous redemande tout. Un message qui vous connaît et un formulaire qui vous ignore, c’est un piège.

Ce que l’Assurance Maladie envoie vraiment : 38 663, 3646 et adresses officielles

Quatre canaux, courrier, e-mail, téléphone et SMS, et pour chacun un marqueur que vous pouvez vérifier. Le tableau reprend ce que l’Assurance Maladie publie sur sa page « Se protéger des courriers, appels, e-mails et SMS frauduleux » et sur la fiche « Carte Vitale » de service-public.fr.

Un numéro affiché peut être usurpé, comme Cybermalveillance.gouv.fr l’observe pour les numéros de banques. L’Assurance Maladie propose donc un test qui ne dépend pas de l’afficheur : demandez au conseiller le montant de votre dernier remboursement. Un vrai conseiller a accès à cette information et peut donc vous répondre ; un escroc ne le peut pas.

Les scénarios d’arnaque à la carte Vitale qui circulent

Les motifs changent, la mécanique non : un message qui semble venir de l’Assurance Maladie, un lien, un faux site qui collecte d’abord vos informations personnelles puis votre carte bancaire. Cybermalveillance.gouv.fr observe ces campagnes depuis plusieurs années, par SMS depuis 2022, et en décrit les formes dans une fiche consacrée à l’hameçonnage aux couleurs d’Ameli.

La carte « qui expire » ou « à renouveler »

Non, une carte Vitale n’expire pas. Les SMS types relevés par Cybermalveillance.gouv.fr disent pourtant tous la même chose : « Ameli : Votre carte vitale arrive à expiration. Veuillez la mettre à jour sous 48h via :… », « ASSURANCE MALADIE : Renouvellement obligatoire de votre Carte Vitale à effectuer avant le…. ». Certains vont jusqu’à annoncer une carte « V3 » ou « V4 », voire une « carte européenne d’assurance maladie ». Les cartes « V3 » et « V4 » n’existent pas ; la carte européenne existe, mais elle se commande depuis votre compte ameli, jamais depuis un SMS. De larges campagnes de ce type ont été observées à la toute fin 2025.

La nouvelle carte à commander, avec des frais de livraison

C’est la variante la plus récente. Depuis janvier 2026, l’Assurance Maladie signale des e-mails qui imitent sa newsletter et invitent à « commander une nouvelle carte Vitale ». Le faux site demande vos informations, vous fait choisir un transporteur parmi plusieurs sociétés, puis réclame des frais de livraison par carte bancaire. Les escrocs usurpent parfois aussi l’apparence de Service-Public.fr pour crédibiliser la démarche. Une vraie commande de carte se fait depuis le compte ameli ou par courrier auprès de votre caisse, et ne coûte rien.

Le remboursement en attente

C’est la forme la plus fréquente selon Cybermalveillance.gouv.fr. Le message annonce un remboursement bloqué à cause d’un « problème » dans votre compte, parfois un numéro de téléphone à confirmer. Le faux formulaire collecte votre identité, votre numéro de carte Vitale, parfois votre mot de passe ameli, puis vos données bancaires « pour le versement ». Un vrai remboursement arrive sur le RIB déjà connu de votre caisse, sans validation de votre part.

L’appel d’un faux conseiller de l’Assurance Maladie

Nouvelle pratique décrite par l’Assurance Maladie : une personne vous appelle, dit avoir repéré des opérations suspectes sur votre compte ameli et propose de « régler le problème avec vous ». Ce scénario reprend celui du faux conseiller bancaire. Raccrochez, puis rappelez vous-même le 3646 si vous voulez vérifier.

La fausse notification FranceConnect

Des e-mails imitent les notifications envoyées par FranceConnect après chaque connexion, dans le but de récupérer vos identifiants ameli, le compte le plus utilisé pour s’identifier ; avec eux, l’escroc peut se connecter en votre nom à d’autres services par FranceConnect. FranceConnect précise que ses messages viennent toujours d’une adresse en @franceconnect.gouv.fr et propose de lui transférer les faux à support.securite@franceconnect.gouv.fr. Le même moule sert aux fausses amendes ANTAI : quand vous avez appris à lire l’un, vous lisez l’autre.

Pourquoi le vrai danger vient après : l’appel du faux conseiller bancaire

Saisir votre carte bancaire sur le faux site ne déclenche généralement pas de paiement immédiat. Cybermalveillance.gouv.fr l’explique dans son bilan 2025 : l’authentification forte exigée pour les paiements en ligne rend ces données difficiles à exploiter directement, et, sauf exception, la transaction affichée n’est pas réellement effectuée. Les informations récoltées servent ensuite à une autre escroquerie, dans la grande majorité des cas une fraude au faux conseiller bancaire.
Concrètement, quelqu’un vous appelle ensuite au nom de votre banque, connaît votre nom et votre numéro de carte, et vous demande de « sécuriser » votre compte : communiquer les codes reçus par SMS ou confirmer des actions dans votre application bancaire, au prétexte d’annuler des opérations suspectes. Ces codes et ces confirmations valident en réalité les opérations de l’escroc. C’est là que l’argent part. Le fonctionnement de cette seconde phase, et les chances de remboursement, sont détaillés dans notre guide sur le faux conseiller bancaire et le spoofing.
La règle qui protège tient en une phrase de Cybermalveillance.gouv.fr : jamais un conseiller de votre banque ne vous demandera votre mot de passe, un code de confirmation ni une validation d’opération dans votre application, même pour « annuler » une fraude. Si un interlocuteur insiste, raccrochez et vérifiez par vos moyens habituels, agence, service clients ou messagerie de votre espace client.

Ce qui est vrai sur la carte Vitale, pour ne pas douter

La carte doit bien être mise à jour, et une carte sur smartphone existe bien : les escrocs s’appuient sur ces demi-vérités. Les faits, tels que les publient service-public.fr et ameli.fr :

• Pas de date de validité, mais des mises à jour. La carte est émise sans durée de validité. Vous devez la mettre à jour au moins une fois par an et après chaque changement de situation, dans une borne : accueil de votre caisse, la plupart des pharmacies, certains établissements de santé. L’opération est gratuite et ne passe jamais par un lien.
• Perte, vol, carte abîmée. La déclaration se fait depuis le compte ameli, rubrique « mes démarches », depuis l’application Compte ameli, conseillée pour la commande qui suit parce qu’un selfie et une photo de votre pièce d’identité y suffisent, par téléphone au 3646 ou à l’accueil de votre caisse ; les adhérents MSA passent par leur espace privé. La nouvelle carte arrive sous 2 à 3 semaines ; en attendant, une attestation de droits se télécharge dans le compte.
• Les seuls frais qui existent autour de la carte Vitale. Des frais pour demande abusive existent : 5 € à partir de la quatrième demande de remplacement dans la même année civile pour la carte physique, 2 € à partir de la onzième pour l’appli. Ils sont facturés par votre caisse, jamais réclamés par SMS ni par lien.
• L’appli carte Vitale. Elle est gratuite, sur App Store et Google Play, et ouverte à tous les régimes depuis le 18 novembre 2025 grâce à un parcours d’activation par vidéo de votre pièce d’identité et de votre visage ; les détenteurs de la carte d’identité au format carte bancaire peuvent l’activer via France Identité depuis le 18 mars 2025. Ses droits se mettent à jour seuls. Elle complète la carte physique sans la remplacer, et il reste recommandé de garder la carte sur soi. Aucune étape de l’activation ne demande un paiement.

Vous avez cliqué, saisi vos données ou payé : les gestes dans l’ordre

Faites-les dans cet ordre : chaque étape produit une pièce, numéro d’opposition puis récépissé, que la suivante demande. Si vous avez seulement ouvert le lien, sans rien saisir ni installer, fermez la page et signalez le message (section suivante) ; surveillez ensuite que votre téléphone fonctionne normalement. Si la page vous a proposé d’installer ou de « mettre à jour » une application, refusez ; si c’est déjà fait, suivez les conseils de Cybermalveillance.gouv.fr sur les virus avant toute autre démarche depuis ce téléphone.

1. Coordonnées bancaires transmises : faites opposition. Appelez votre banque, ou le serveur interbancaire au 0 892 705 705, ouvert 7 jours/7 et 24h/24 (numéro majoré : coût d’un appel vers un fixe plus 0,34 € TTC par minute). Un numéro d’enregistrement vous est remis : conservez-le, Perceval et votre banque vous le demanderont.
2. Identifiants ameli saisis : appelez le 3646. Appelez votre CPAM dans tous les cas, même si vous n’arrivez plus à vous connecter : elle clôture temporairement le compte et vous permet de le réactiver avec un nouveau mot de passe, procédure prévue par l’Assurance Maladie. Si vous pouvez encore vous connecter, changez d’abord le mot de passe sans attendre, comme le demande Cybermalveillance.gouv.fr. Le 3646 répond du lundi au vendredi, au minimum de 8h30 à 17h30 selon le département (service gratuit + prix d’un appel ; depuis l’étranger, +33 1 84 90 36 46). Changez aussi ce mot de passe partout où vous l’utilisiez ailleurs, et gardez à l’esprit que vos identifiants ameli servent aussi à vous connecter par FranceConnect à d’autres administrations : Cybermalveillance.gouv.fr renvoie pour cela au formulaire de sécurité de FranceConnect, sur app.franceconnect.gouv.fr. La connexion au compte ameli se fait désormais en deux étapes, avec un code à usage unique envoyé par mail : ne le communiquez à personne.
3. Gardez les preuves. Capture d’écran du SMS ou de l’e-mail, adresse du faux site, heure de réception, relevés bancaires. Supprimez le message seulement après.
4. Débits constatés : Perceval, puis plainte. Si votre carte est toujours en votre possession, que vous n’êtes pas l’auteur des achats et que l’opposition est faite, signalez la fraude en ligne sur Perceval, avec FranceConnect, votre numéro d’opposition, votre numéro de carte et vos relevés. Le dossier est traité par la gendarmerie nationale et un récépissé arrive par e-mail sous quelques heures. Perceval est un signalement, pas une plainte : Cybermalveillance.gouv.fr recommande de déposer aussi plainte, au commissariat, en gendarmerie ou par courrier au procureur de la République, et l’Assurance Maladie en fait la priorité dès que vous avez envoyé la copie d’une pièce d’identité ou que vos données servent à usurper votre identité, même sans débit ; l’escroquerie est un délit puni de cinq ans d’emprisonnement et de 375 000 € d’amende. France Victimes accompagne gratuitement au 116 006, 7 jours sur 7 de 9h à 19h.
5. Demandez le remboursement à votre banque. Elle doit rembourser toutes les sommes débitées et les frais d’incident, immédiatement et au plus tard à la fin du premier jour ouvrable suivant votre contestation. Vous avez 13 mois après le débit pour contester. Elle peut refuser en cas de négligence grave, mais c’est à elle de la prouver, et une opposition tardive peut lui servir d’argument, d’où l’étape 1 ; la franchise de 50 € de l’article L133-19 du Code monétaire et financier, prévue pour la perte ou le vol de la carte, ne s’applique pas quand ce sont les données de la carte qui ont été détournées à votre insu. En cas de refus, saisissez le médiateur bancaire. Certaines banques exigent le récépissé Perceval ou celui de la plainte pour instruire le dossier : c’est pourquoi l’étape 4 précède celle-ci.
6. Mot de passe réutilisé ailleurs : changez-le partout. Messagerie d’abord, puis banque, impôts et sites marchands, avec un mot de passe différent par service.
7. Besoin d’être guidé. 17Cyber, l’assistance en ligne gratuite de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, établit un diagnostic à partir d’un questionnaire anonyme et ouvre un tchat avec un gendarme ou un policier quand la situation le justifie. Par téléphone, Info Escroqueries répond au 0 805 805 817 (appel et service gratuits), du lundi au vendredi de 9h à 18h30.

Où signaler le message, même si vous n’avez rien perdu

Un signalement peut faire bloquer un émetteur ou un site, et protège donc les destinataires suivants. Il n’exige ni compte ameli ni dépôt de plainte.

Un doute sur un message qui semble authentique se lève sans cliquer : rappelez le 3646 ou ouvrez vous-même https://assure.ameli.fr/ dans votre navigateur. Si la caisse n’est pas à l’origine du message, considérez-le comme une escroquerie.

Votre numéro de sécurité sociale a déjà fuité : ce que ça change

Recevoir un faux message qui cite votre numéro de sécurité sociale exact ne prouve pas que votre compte ameli est piraté. Fin janvier 2024, la violation de données des opérateurs de tiers payant Viamedis et Almerys a exposé, pour plus de 33 millions de personnes, l’état civil, la date de naissance, le numéro de sécurité sociale, le nom de l’assureur santé et les garanties du contrat. Les données bancaires, les coordonnées postales, les téléphones et les courriels ne seraient pas concernés selon la CNIL, qui a toutefois prévenu que ces données pouvaient être croisées avec d’autres fuites antérieures. Ce type de croisement alimente les messages personnalisés.
Les précautions utiles sont celles de la CNIL : une méfiance particulière envers toute sollicitation qui parle de remboursements de frais de santé, et une vérification régulière des mouvements sur vos comptes. Si des courriers de banques évoquent des opérations ou des comptes que vous ne connaissez pas, déposez plainte, prévenez vos banques, vérifiez votre situation auprès de la Banque de France et demandez la consultation du fichier des comptes bancaires (FICOBA) depuis votre espace particulier sur impots.gouv.fr, rubrique « Autres services ». La CNIL ne peut pas vous dire si vous êtes concerné par une fuite et déconseille les sites qui prétendent le faire.

Questions fréquentes

Un SMS peut-il vraiment venir de l’Assurance Maladie ?

Oui. Votre caisse envoie des SMS, tous depuis le 38 663 et tous commençant par « ASSURANCE MALADIE ». Ils informent, ils ne demandent ni paiement ni saisie de données. Un SMS sur votre carte Vitale venant d’un numéro à dix chiffres ou d’un indicatif étranger est faux, quel que soit le nom d’expéditeur affiché.

Je n’ai pas de compte ameli et je reçois un e-mail de l’Assurance Maladie

C’est un faux. L’Assurance Maladie n’écrit par courriel qu’aux assurés qui ont ouvert un compte ameli. Une exception d’apparence proche : les alertes de Mon espace santé, envoyées depuis ne-pas-repondre@monespacesante.fr quand un document est ajouté ou consulté.

On m’a demandé de payer quelques euros de frais de port : est-ce grave ?

Oui. Le montant n’est pas l’objectif, votre numéro de carte l’est. Si vous n’avez rien saisi, fermez la page et signalez le message. Si vous avez saisi votre carte, faites opposition dès maintenant, même si aucun débit n’apparaît, et attendez-vous à un appel d’un faux conseiller bancaire : ne validez rien et ne donnez aucun code.
Les numéros et les adresses cités ici sont ceux que publient l’Assurance Maladie, les services de l’État et les plateformes de signalement qu’ils recommandent : si un message vous en propose d’autres, vérifiez-les sur ameli.fr avant d’y répondre.