Depuis juillet 2026, un pirate opérant en mandarin a lâché trois outils d’intelligence artificielle autonomes contre des centaines de sites de commerce en ligne dans le monde. Selon le rapport publié par la société de cybersécurité Gambit Security, la campagne a compromis au moins 119 sites web et plus de 600 000 numéros de cartes bancaires valides ont été dérobés à deux entreprises seulement. Le coût moyen d’une attaque aboutie s’élève à 25,46 dollars, avec un plancher à 3,13 dollars. Une société du classement Fortune 500 et une grande compagnie aérienne américaine figurent parmi les victimes. Gambit Security a travaillé avec la Shadowserver Foundation et Cloudflare pour démanteler l’infrastructure de l’attaquant et notifier les victimes, Cloudflare a confirmé avoir fermé des serveurs liés à la campagne, l’attaquant les a reconstruits à chaque fois, et la campagne continue au moment où ces lignes sont écrites. Les Numériques et 01net, qui ont révélé l’affaire en France les 24 et 25 septembre 2026, parlent de la première cyberattaque industrielle par IA et d’une opération toujours en cours. Pour le client qui a payé ses achats sur l’un de ces sites, pour le dirigeant d’une boutique en ligne qui découvre un script pirate sur sa page de paiement, pour l’associé ou le créancier d’une société dont les données clients ont été siphonnées, les questions sont immédiates et très pratiques. Un débit inconnu apparaît sur le relevé bancaire, faut-il faire opposition et la banque doit-elle rembourser. Un faux message des impôts ou de la banque arrive dans la foulée, comment éviter l’usurpation d’identité. Une plainte doit-elle être déposée, la CNIL saisie, le site marchand mis en cause. Cet article répond à ces questions avec le droit applicable en France, les textes exacts et les décisions rendues par la Cour de cassation.

I. Cyberattaque en cours sur les boutiques en ligne : 600 000 cartes bancaires volées et débit frauduleux, les réflexes qui protègent votre argent

A. Cyberattaque crédit agricole aujourd’hui et banque postale : opposition immédiate puis remboursement de l’opération non autorisée

Les requêtes qui montent sur Google le montrent, les internautes tapent aujourd’hui « cyberattaque crédit agricole aujourd’hui » et « cyberattaque la banque postale aujourd’hui ». Ce réflexe est le bon, car après le vol de leurs numéros de carte sur une boutique en ligne piratée, les victimes découvrent des débits qu’elles n’ont jamais autorisés et se tournent vers leur banque. Le rapport Gambit Security décrit précisément le mode opératoire, les sites compromis ont été infectés par des scripts dits skimmers, directement glissés sur les pages de paiement pour intercepter les données bancaires au moment de l’achat. Entre le 10 et le 15 septembre 2026, l’agent d’IA nommé Cairn a lancé 105 projets d’attaque et compromis 27 organisations à des degrés divers, jusqu’à 25 attaques tournaient simultanément et treize étaient encore actives au moment de la capture. Chez un détaillant de vélos, l’agent a supprimé 180 tables de la base de données après avoir copié les données de paiement, y compris les tables de sauvegarde créées par les administrateurs de l’entreprise, et chez d’autres victimes les champs de paiement ont été vidés une fois les numéros extraits. Autrement dit, le client n’a rien vu, le paiement semblait normal, et ses données sont parties sur le serveur du pirate avant d’être revendues ou exploitées.

Le premier geste consiste à faire opposition sans attendre, dès le premier débit inconnu, en appelant le numéro d’opposition de la banque ou le serveur interbancaire, puis en confirmant par écrit. La loi attache un effet protecteur direct à cette démarche, car « Après avoir informé son prestataire ou l’entité désignée par celui-ci, conformément à l’article L. 133-17 aux fins de blocage de l’instrument de paiement, le payeur ne supporte aucune conséquence financière résultant de l’utilisation de cet instrument de paiement ou de l’utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part », selon l’article L. 133-20 du code monétaire et financier. L’opposition coupe donc la prise en charge des débits postérieurs, à la seule exception d’un agissement frauduleux du titulaire lui-même, notion étroite que la banque doit établir et qui ne se confond ni avec une simple imprudence ni avec une négligence.

Le deuxième geste consiste à contester par écrit chaque opération non autorisée et à en exiger le remboursement immédiat. Le texte est limpide, « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France », selon l’article L. 133-18 du code monétaire et financier. Le compte doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et la date de valeur du crédit ne peut pas être postérieure à la date du débit. Si la banque tarde, des intérêts de retard s’appliquent, les sommes dues produisant intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours. Concrètement, la contestation doit être envoyée en recommandé avec accusé de réception, avec la liste des opérations, les relevés, la date de l’opposition et la demande expresse de recrédit au plus tard à la fin du premier jour ouvrable suivant.

La banque oppose souvent une franchise ou une négligence, et c’est là que le débat se joue. Lorsque l’opération non autorisée fait suite à la perte ou au vol de l’instrument, « le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € », selon l’article L. 133-19 du code monétaire et financier. Mais cette franchise de 50 euros ne s’applique pas quand l’opération a été effectuée sans utilisation des données de sécurité personnalisées, ni quand la perte ou le vol ne pouvait pas être détecté avant le paiement, ni quand la perte résulte d’actes ou d’une carence du prestataire. Surtout, dans le scénario des boutiques piratées par skimmer, il n’y a ni perte ni vol du support, seulement une utilisation détournée des données, ce qui écarte le terrain de la franchise et ramène au remboursement intégral de l’article L. 133-18.

La Cour de cassation a tranché un point décisif pour les victimes d’hameçonnage et de pages de paiement piégées. Dans un arrêt du 22 octobre 2026 rendu contre une caisse de crédit agricole, un client avait répondu en mars 2021 à un courriel qu’il pensait adressé par sa banque pour activer un système d’authentification, puis constaté le lendemain un virement vers un compte inconnu, la banque refusant le remboursement en invoquant une négligence grave. La chambre commerciale a rejeté le pourvoi de la banque en retenant que « le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur », selon l’arrêt de la Cour de cassation, chambre commerciale, du 22 octobre 2025, pourvoi n° 24-19.749. Le tribunal avait relevé que le client avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières et en communiquant des codes confidentiels, mais la banque ne justifiait pas avoir exigé l’activation de l’authentification forte, et la Cour en a déduit que la banque devait rembourser. L’enseignement est majeur, même une négligence grave du client ne prive pas du remboursement quand la banque n’a pas appliqué l’authentification forte, seul un agissement frauduleux, c’est-à-dire une participation volontaire à la fraude, permet à la banque de refuser.

Cette exigence d’authentification forte pèse directement sur les banques et les établissements de paiement. La loi dispose que « Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique », selon l’article L. 133-44 du code monétaire et financier. Pour les opérations à distance, cette authentification doit établir un lien dynamique entre l’opération, le montant et le bénéficiaire. Quand la banque refuse le remboursement en invoquant la négligence, la réponse juridique consiste donc à lui demander la preuve de l’authentification forte appliquée opération par opération, à défaut de quoi le remboursement s’impose en application de l’arrêt du 22 octobre 2025.

Le délai pour agir est strict et doit être connu de chaque victime. La loi prévoit que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », selon l’article L. 133-24 du code monétaire et financier. Passé treize mois sans contestation, la demande est forclose, sauf si la banque n’a pas fourni les informations relatives à l’opération. Dans la campagne actuelle, où les débits peuvent survenir des semaines après l’achat sur le site piraté, chaque relevé mensuel doit être relu ligne par ligne, et la contestation doit partir dès la découverte, sans attendre l’issue d’une enquête ou d’une plainte.

B. Cyberattaque impôts, DGFIP et Éducation nationale : le faux message fiscal qui suit la fuite et les réflexes anti-usurpation

Les suggestions Google associées à la tendance le confirment, après « cyberattaque en cours » et « cyberattaque France », les internautes cherchent « cyberattaque DGFIP », « cyberattaque impôts » et « cyberattaque Éducation nationale ». Cette inquiétude est fondée, car les données volées sur les boutiques en ligne, noms, adresses, courriels, numéros de téléphone et parfois copies de pièces, alimentent dans un second temps des campagnes d’hameçonnage ciblées. Le pirate ou ses acheteurs connaissent vos achats, votre adresse et votre banque, et le faux message qui suit devient redoutablement crédible, remboursement d’impôt à valider, mise à jour du dossier fiscal, régularisation auprès de la direction générale des finances publiques, ou message de la banque invitant à sécuriser le compte après la cyberattaque. Les chercheurs de Gambit Security ont recensé 1 951 commandes tapées par l’opérateur sur 260 sessions, l’IA faisant tout le reste, et les sites infectés l’ont été par des scripts invisibles sur les pages de paiement, ce qui signifie que des centaines de milliers de victimes ignorent encore que leurs données circulent.

Le premier réflexe consiste à ne jamais cliquer sur un lien reçu après une fuite et à se connecter en tapant soi-même l’adresse du site officiel, impots.gouv.fr pour la fiscalité, l’application ou le site de la banque pour les comptes. Ni la direction générale des finances publiques ni une banque française ne demandent des codes, des numéros de carte complets ou des identifiants par courriel, par SMS ou par téléphone. Tout message qui réclame ces éléments, qui brandit une menace de majoration, de blocage ou de saisie immédiate, ou qui impose une action dans l’heure, doit être traité comme une tentative de fraude. Les messages suspects doivent être signalés sur la plateforme dédiée, les SMS frauduleux transférés au numéro 33700, et les tentatives d’escroquerie en ligne déclarées sur le téléservice officiel de signalement, en conservant l’original avec ses en-têtes techniques.

Le deuxième réflexe consiste à verrouiller les comptes exposés, changer les mots de passe en commençant par la messagerie qui permet de réinitialiser tous les autres accès, activer la double authentification partout où elle existe, vérifier les règles de transfert automatique des courriels que les pirates ajoutent discrètement, et surveiller les relevés bancaires, les avis d’imposition et l’espace fiscal personnel pendant plusieurs mois. Si un crédit, un compte ou un abonnement a été souscrit au nom de la victime, il faut contester immédiatement auprès de l’organisme, déposer plainte pour usurpation d’identité, demander un relevé à la Banque de France en cas d’incident de paiement, et envisager une alerte auprès des organismes de prévention. Les victimes qui reçoivent un avis d’imposition anormal, un remboursement qu’elles n’ont pas demandé ou une notification de leur banque relative à une opération inconnue doivent réagir dans les mêmes délais que pour une fraude bancaire, signaler sans tarder et conserver chaque preuve.

Le droit pénal qualifie sévèrement toute la chaîne, depuis l’intrusion jusqu’à l’exploitation des données. « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », selon l’article 323-1 du code pénal, et la peine monte à cinq ans et 150 000 euros quand il en est résulté une suppression ou une modification de données ou une altération du fonctionnement du système. Le rapport Gambit décrit exactement ces destructions, 180 tables supprimées chez un détaillant de vélos après la copie des données de paiement, champs de paiement Magento vidés après extraction, serveurs reconstruits après chaque fermeture par Cloudflare. Par ailleurs, « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende », selon l’article 323-3 du code pénal, ce qui vise l’injection des skimmers, l’extraction des 600 000 numéros et leur revente. Enfin, « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-18 du code pénal, ce qui couvre la collecte des données clients sur les boutiques piégées et leur réutilisation pour l’hameçonnage fiscal et bancaire.

Pour le salarié, l’associé ou le dirigeant dont l’adresse professionnelle a servi aux achats en ligne, la vigilance doit s’étendre aux comptes de l’entreprise, aux cartes affaires et aux accès aux outils internes, car les mêmes données servent à des escroqueries au faux fournisseur ou au faux dirigeant. Toute demande de virement urgent reçue par courriel, même avec le logo et les références exactes de la société, doit être vérifiée par un second canal, appel sur un numéro connu, confirmation interne, contrôle des coordonnées bancaires. Les cyberattaques industrielles par IA décrites par Gambit montrent que le coût d’attaque est tombé à quelques dollars par cible, ce qui signifie que les petites et moyennes entreprises sont désormais visées autant que les grandes, et que chaque dirigeant doit considérer la fraude comme un risque courant et non comme un accident lointain.

II. Cyberattaque France : plainte, CNIL et responsabilité du site marchand après le vol de vos données bancaires

A. Cyberattaque France aujourd’hui : porter plainte, saisir la CNIL et préserver les preuves dans les délais qui protègent vos droits

Une fois l’opposition faite et le remboursement exigé, la victime doit construire le dossier pénal et administratif qui appuiera ses recours et évitera la forclusion. La plainte peut être déposée au commissariat ou à la gendarmerie, avec les relevés bancaires entourant les opérations contestées, la lettre de contestation adressée à la banque et son accusé de réception, l’attestation d’opposition, les captures des messages frauduleux et les courriels d’hameçonnage conservés avec leurs en-têtes, ainsi que tout élément reliant l’achat au site marchand compromis, confirmation de commande, facture, adresse du site, date et montant. Le signalement en ligne puis le dépôt de plainte pour fraude à la carte bancaire, accès frauduleux et collecte illicite de données permettent de faire constater l’infraction au titre des articles 323-1, 323-3 et 226-18 du code pénal, et le récépissé de plainte doit être transmis à la banque pour appuyer la contestation. Quand la banque maintient son refus de remboursement, la plainte et les preuves de l’absence d’authentification forte deviennent les pièces centrales d’une action devant le tribunal judiciaire, avec l’arrêt du 22 octobre 2025 comme fondement jurisprudentiel.

La saisine de la CNIL constitue le deuxième pilier du dossier. Toute personne peut adresser une plainte en ligne à la Commission nationale de l’informatique et des libertés après avoir exercé ses droits auprès du responsable du site marchand, droit d’accès, droit d’effacement, droit d’opposition, et conservé la preuve de ces démarches. La plainte doit décrire le site, les dates d’achat, la nature des données exposées, les débits constatés et les messages d’hameçonnage reçus depuis, en joignant les pièces. La CNIL peut contrôler le site marchand, vérifier s’il a notifié la violation dans les délais, ordonner une mise en conformité et prononcer des sanctions, et ses constatations nourrissent ensuite l’action en réparation de la victime. Il faut toutefois comprendre précisément les conditions de l’indemnisation, car la Cour de cassation vient de rappeler une règle exigeante.

Dans un arrêt du 24 juin 2026 publié au Bulletin, la chambre sociale a jugé, au visa de l’article 82, paragraphe 1, du règlement européen sur la protection des données, que « Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », selon l’arrêt de la Cour de cassation, chambre sociale, du 24 juin 2026, pourvoi n° 24-22.792. Mais la Cour ajoute aussitôt, en reprenant la jurisprudence de la Cour de justice de l’Union européenne, que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et que le juge national ne peut pas subordonner la réparation du dommage moral à un seuil de gravité. Concrètement, la victime d’une fuite de données bancaires doit prouver un dommage réel et son étendue, débits frauduleux restés à sa charge, frais engagés, temps passé, préjudice moral lié à l’angoisse d’une usurpation durable, à l’aide de pièces précises, relevés, factures, attestations, constats. Une violation du règlement, même établie, ne donne pas lieu à une indemnisation automatique, et une demande chiffrée sans justificatifs sera rejetée.

La conservation des preuves doit donc commencer immédiatement et durer, car les contentieux bancaires et les actions en responsabilité se jouent à plusieurs mois d’intervalle. Il faut archiver les confirmations de commande et les factures des boutiques en ligne fréquentées, noter les dates et montants de chaque achat, photographier les pages de paiement suspectes, conserver les relevés pendant au moins treize mois pour respecter le délai de contestation de l’article L. 133-24, garder copie de tous les échanges avec la banque, et enregistrer les messages d’hameçonnage avec leurs dates. Les clients qui ont utilisé une carte virtuelle à usage unique ou un portefeuille intermédiaire pour leurs achats limiteront fortement leur exposition, et cette précaution mérite d’être adoptée pour tous les achats futurs sur des sites de taille moyenne ou inconnus.

Pour les lecteurs de Paris et d’Île-de-France, le dépôt de plainte peut être effectué dans tout commissariat parisien ou de la petite couronne, et les juridictions franciliennes, tribunal judiciaire de Paris pour le civil et le pénal, traitent quotidiennement ce contentieux bancaire et numérique. Les délais pratiques restent les mêmes, treize mois maximum pour contester les débits, opposition immédiate, plainte et saisine de la CNIL dans les semaines qui suivent la découverte, avec un dossier complet dès le premier rendez-vous chez l’avocat pour éviter les allers-retours.

B. Boutique en ligne piratée, dirigeant et associé : notification de la violation, sécurité et réparation du préjudice des clients

La campagne décrite par Gambit Security vise directement les entreprises, 119 sites compromis, des attaques durant des heures sans intervention humaine, des scripts persistants que les administrateurs ne voient pas, et des bases détruites après le vol. Pour le dirigeant d’une boutique en ligne, l’associé d’une société de e-commerce ou le créancier qui s’inquiète de la continuité de l’entreprise, les obligations sont immédiates et leur inexécution aggrave considérablement la responsabilité. Dès la découverte d’un skimmer ou d’une violation, il faut isoler le site ou la page de paiement compromise, faire appel à un prestataire de réponse aux incidents, préserver les journaux et les images disques avant toute réinstallation, identifier les données exfiltrées et les clients concernés, et documenter chaque action avec horodatage. Cette discipline conditionne à la fois la notification aux autorités, l’information des clients et la défense ultérieure devant la CNIL ou les tribunaux.

Le responsable du site doit notifier la violation à la CNIL dans les meilleurs délais et, lorsque cela est possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les droits des personnes, et informer les clients concernés lorsque la violation engendre un risque élevé, en des termes clairs, avec la nature des données, les conséquences possibles et les mesures prises. Dans le cas présent, 600 000 numéros de cartes valides dérobés, exploités pour des débits et revendus, le risque élevé ne fait guère de doute, et le silence de l’entreprise l’exposerait à la fois à une sanction administrative et à des actions en responsabilité. La notification et les courriers aux clients doivent être rédigés avec l’avocat, car chaque phrase engage l’entreprise, et les registres des traitements, les contrats de sous-traitance, les audits de sécurité et les correctifs doivent être mis à jour sans délai.

Sur le terrain civil, l’entreprise répond envers ses clients du manquement à son obligation de sécurité dans la conservation des données confiées lors du paiement. Les victimes exigent le remboursement des sommes restées à leur charge, l’indemnisation des frais et du préjudice moral, et elles s’appuient sur les constatations de la CNIL, les rapports techniques et les décisions pénales à venir. L’arrêt du 24 juin 2026 leur impose de prouver un dommage concret, mais les débits frauduleux non remboursés, les surprimes d’assurance, les heures de démarches et l’angoisse documentée constituent des préjudices indemnisables. Pour l’entreprise, la meilleure défense consiste à démontrer des mesures de sécurité proportionnées, chiffrement, cloisonnement, mises à jour, tests d’intrusion, surveillance des pages de paiement, réaction rapide, information loyale des clients, et à indemniser vite les préjudices établis plutôt que de laisser prospérer un contentieux de masse.

Les associés et les créanciers ne sont pas spectateurs. L’associé d’une société dont la boutique a été piratée doit exiger du dirigeant une information complète, nature de l’attaque, nombre de clients concernés, notifications effectuées, coût estimé, couverture d’assurance cyber, et vérifier que les décisions nécessaires ont été prises, convocation d’assemblée si l’enjeu le justifie, provision des risques, mise en cause des prestataires défaillants, hébergeur, agence web, module de paiement. Le créancier, fournisseur ou partenaire, surveille la trésorerie et la réputation, car une violation massive peut déclencher une chute des ventes, des résiliations et des mises en demeure. Dans les deux cas, la documentation constituée dans les premières semaines, rapport d’incident, échanges avec la CNIL, courriers aux clients, décisions sociales, fait la différence entre une crise gérée et une faute de gestion reprochée plus tard.

Enfin, les contrats avec les prestataires techniques doivent être relus sans tarder, clauses de sécurité, délais d’intervention, responsabilité en cas d’intrusion, assurance, réversibilité des données, car le skimmer s’installe souvent par une vulnérabilité d’un module tiers ou d’un accès administrateur compromis. L’entreprise qui établit la faute de son prestataire dispose d’un recours récursoire pour reporter tout ou partie des indemnisations versées aux clients, à condition d’avoir elle-même respecté ses propres obligations et conservé les preuves de la chaîne d’intervention. Là encore, l’anticipation contractuelle et la réaction documentée valent mieux qu’une recherche de responsable improvisée un an après les faits.

Conclusion

La cyberattaque industrielle par IA révélée en septembre 2026 marque un changement d’échelle, pour 25 dollars par cible, un pirate a siphonné 600 000 cartes bancaires sur 119 boutiques en ligne, et l’opération continue. Pour le client, la conduite à tenir tient en quatre gestes, opposition immédiate, contestation écrite avec exigence de remboursement au plus tard à la fin du premier jour ouvrable suivant, plainte et saisine de la CNIL, conservation des preuves pendant au moins treize mois. La banque qui refuse en invoquant une négligence doit prouver qu’elle a appliqué l’authentification forte, à défaut le remboursement s’impose en application de l’arrêt du 22 octobre 2025, et seule une fraude du client lui-même permet de refuser. Pour le dirigeant de boutique en ligne, la priorité va à l’isolement du site, à la notification dans les délais, à l’information loyale des clients et à la documentation de chaque mesure, car la responsabilité se joue autant sur la sécurité initiale que sur la réaction. Dans les deux cas, les faux messages des impôts et des banques qui suivent la fuite doivent être traités comme des tentatives de fraude, à vérifier sur les sites officiels et à signaler. Les délais courent dès la découverte, et un dossier complet constitué tôt reste la meilleure protection de vos droits.

Besoin d’un avis rapide sur votre dossier

Consultation téléphonique sous 48 heures avec un avocat du cabinet, première analyse : 80 EUR TTC, Paris et Île-de-France. Téléphone : 06 46 60 58 22. Contact : https://kohenavocats.fr/formulaire-de-contact/.