Les criminels ont délaissé les cartes volées : votre identité est le butin

Que perd-on quand quelqu'un vole son identité ? Il y a dix ans, la réponse tenait en un plafond de carte bancaire et un après-midi pénible au téléphone avec sa banque. Les derniers chiffres et les gros titres en suggèrent une autre: les criminels ne veulent plus votre carte, ils veulent être vous, et vos papiers sont leur arme.

Les chiffres les plus solides que nous ayons trouvés viennent de l'assurance. Selon les chiffres relayés par ocso.fr d'après l'ALFA, la fraude à l'assurance vie détectée en 2025 a atteint 24,8 millions d'euros, en hausse de 86,5 %. Les principaux leviers, par ordre d'importance: l'usurpation d'identité, puis les faux relevés d'identité bancaire (RIB), puis la fraude documentaire. D'autres médias ajoutent que 98 % de ces fraudes touchent des contrats d'épargne, contre 2 % pour les contrats de retraite.

La cible est passée de votre portefeuille à vos papiers

Mesurez ce que ce classement signifie. Personne ne clone une carte à la pompe d'une station-service. Le fraudeur, semble-t-il, assemble une version plausible de vous: le bon nom, les bons documents et un compte bancaire qui lui appartient, puis demande à un organisme de déplacer de l'argent. À notre avis, c'est là le vrai changement: la fraude ne consiste plus à casser des systèmes, mais à se faire passer pour des personnes à l'intérieur de systèmes qui fonctionnent exactement comme prévu.

Pour situer l'échelle, la fraude à l'assurance détectée en France en 2025 s'est élevée au total à 947 millions d'euros, selon Meilleurtaux. L'assurance vie n'en représente qu'une petite part. Mais un quasi-doublement là où l'arme principale est une identité volée, voilà ce qui mérite qu'on s'y arrête.

L'identité est le passe le moins cher, et les professionnels le savent

Pourquoi cela fonctionne-t-il si bien ? Parce que l'identité est le passe le moins cher de l'économie. Les cambrioleurs avaient jadis besoin d'un pied-de-biche et d'une rue tranquille. Il leur faut désormais un nom, une date de naissance, une pièce d'identité scannée et une adresse e-mail crédible. Chaque fuite de données, chaque formulaire trop gourmand, chaque document envoyé par e-mail « au cas où » est une serrure que quelqu'un d'autre crochètera plus tard.

Le haut de la chaîne alimentaire illustre le même point à plus grande échelle. Comme le rapporte le Journal de l'Économie, le Trésor américain a sanctionné une dizaine de personnes et une entreprise accusées d'avoir monté un service d'assistance informatique destiné aux entreprises américaines, afin de leur voler des données et de les forcer à payer pour les récupérer. À proprement parler, il s'agit d'extorsion de données plutôt que de fraude à l'identité. Mais deux semaines plus tôt, un acte d'accusation dans l'Ohio pour blanchiment d'argent et usurpation d'identité visait 14 personnes, pour une fraude ayant généré près de 3 millions de dollars, et les deux affaires sont présentées comme relevant du même type de montage: des services informatiques à distance comme façade.

Il y a ensuite Binance. Numerama rapporte que le vol d'environ 6,3 milliards de dollars est parti, selon l'explication de Binance elle-même, de l'ordinateur portable compromis d'un ingénieur DevOps. Selon la description de Numerama, l'attaquant n'a pas eu besoin de dérober les clés privées de la plateforme: il a fait travailler pour lui le système qui les utilise. L'attribution à des pirates nord-coréens vient d'analystes privés et n'a été confirmée par aucune autorité étatique; il faut donc y voir une piste, pas un verdict.

À notre lecture, le fil conducteur n'est pas la géopolitique. C'est que le point faible est l'identifiant, l'appareil ou les papiers d'une personne. L'attaquant gagne en devenant quelqu'un d'autre assez longtemps.

Le plus injuste: c'est à la victime de le prouver

Nous quittons ici les faits documentés pour entrer dans l'opinion: lisez ce passage comme tel. Les sources que nous avons examinées ne disent pas à qui revient juridiquement la charge de la preuve dans ces affaires, et nous ne prétendrons pas le savoir. Mais la forme de ces histoires laisse deviner où le poids retombe. Quand un système traite une demande qui paraît valide, comme les systèmes de Binance l'ont fait avec les retraits frauduleux, le nettoyage incombe le plus souvent à celui dont le nom, l'appareil ou les identifiants ont servi. Cette personne doit démontrer une négation: qu'elle n'est pas l'auteur des faits.

Binance, pour être juste, s'est engagée à couvrir l'ensemble de ses pertes, et près de 3 milliards de dollars ont été gelés. C'est le bon réflexe pour une plateforme très exposée au regard du public. Un particulier ou une petite entreprise n'a droit ni à un cycle médiatique ni à un communiqué rassurant. Nous soupçonnons qu'ils ont droit à des formulaires et à des délais.

Traitez l'usurpation d'identité comme un risque d'incendie, pas comme une nuisance

Notre verdict: cessez de voir l'usurpation d'identité comme un désagrément de consommateur et traitez-la comme un risque pour la continuité de l'activité, à la manière d'un incendie. Si vous dirigez une entreprise, vérifiez ce qui est enregistré publiquement à votre nom, qui peut le modifier et comment vous le sauriez en quelques jours, pas en quelques mois. Si vous détenez un contrat d'épargne, partez du principe que votre nom et vos coordonnées bancaires sont faciles à trouver, et demandez à votre assureur quelles vérifications il exige avant de déplacer de l'argent.

Et les institutions devraient l'entendre clairement: un système qui accepte un document convaincant comme preuve d'identité n'est pas sûr, il est simplement poli. Tant que la vérification ne sera pas plus difficile pour le voleur que pour la victime, attendez-vous à d'autres gros titres de ce genre.