Hôpitaux, établissements médico-sociaux : faire barrage à la fraude

En 2023, 64 % des entreprises indiquaient avoir fait l’objet d’au moins une tentative de fraude au cours des 12 derniers mois. Soit 28 % de victimes de plus qu’en 2022*$. Pour Sophie Fina, responsable du département Prévention Formation Fraude à La Banque Postale, ce bond très significatif est lié à « des fraudes multifacteurs, de plus en plus sophistiquées, qui sont le fait de fraudeurs toujours mieux organisés. Les acteurs du champ de la santé et du médico-social sont, comme dans d’autres secteurs, de plus en plus souvent confrontés à des fraudes au virement ou au faux RIB. Mais aussi à des cyberfraudes, particulièrement complexes s à détecter, où la technologie joue un rôle clé. »

Ces dernières années, et particulièrement depuis la crise du Covid-19, les personnes mal intentionnées ciblant les établissements de soin et établissements médico-sociaux rivalisent d’inventivité pour tromper la vigilance des collaborateurs les plus avertis. Leur objectif : collecter un maximum de données pour réaliser des opérations financières frauduleuses.

Prise de rendez-vous et transmission des résultats d’analyse en ligne, téléconsultations : la numérisation de la santé est récente, mais progresse de manière exponentielle. Avec la forte augmentation des procédures en ligne et la dématérialisation d’un nombre croissant de services, les paiements à distance deviennent la norme. Or si ces usages digitaux fluidifient les échanges et les sécurisent, ils sont également source d’opportunité pour les fraudeurs. « Là où l’échange physique permettait auparavant de s’assurer directement de l’identité d’un interlocuteur, le distanciel développe d’autres modalités de vérification. » explique Sophie Fina. « Il est ainsi possible d’usurper l’identité d’une personne avec une adresse mail comportant seulement un point ou un « s » en plus, ou même encore en réalisant une intrusion après avoir collecté les identifiants et mots de passe. Il faut savoir que dans une boîte mail professionnelle, on laisse une multitude de traces et d’informations. Non sécurisée, une messagerie est un véritable « self-service » pour les fraudeurs, qui n’ont qu’à se servir. »

L’intelligence artificielle (IA) est à la fois une opportunité – un axe d’amélioration continue – pour les structures du secteur et une menace. En effet, il devient beaucoup plus facile de fabriquer des faux tout à fait convaincants, notamment à des fins de fraude au président, ou encore de fraude aux faux fournisseurs. Les faux emails ne sont ainsi plus truffés de fautes d’orthographe, les faux sites de plus en plus ressemblants. Avec le Deepfake, technique consistant à usurper l’identité d’une personne pouvant « faire autorité » par le biais d’enregistrements audio ou vidéo générés ou modifiés via l’IA, on a vu des millions de dollars transférés à des escrocs suite à un faux webinaire d’entreprise.

L’observation des tentatives de fraude a convaincu Sophie Fina que « L’usurpation d’identité est à la source de nombreuses fraudes. Vérifier la véracité des contacts non-initiés est dès lors une précaution absolument incontournable. Pour cela, le contre-appel à l’interlocuteur habituel, au numéro enregistré dans le système d’information ou dans le contrat, est un réflexe à fort impact. Il s’agit de s’assurer que l’on est bien face à la bonne personne. »

Tout manque de cohérence et toute discontinuité (un changement de RIB, même pré-annoncé par courrier, un procédé inhabituel chez un fournisseur stratégique etc.) doivent appeler à la vigilance. Il faut s’interroger et ne pas hésiter à reporter l’action requise, même (et surtout) si l’interlocuteur insiste. Au moindre doute, un seul réflexe : solliciter votre contact habituel.