Un proche vous appelle pour vérifier un message étrange reçu de votre part. Sur votre compte Facebook ou Instagram s’affichent des publications que vous n’avez jamais écrites, souvent une fausse vente, un placement miracle ou un appel aux dons. Des contacts racontent avoir reçu des demandes d’argent ou des liens piégés envoyés depuis votre profil. Parfois, un second compte affiche votre nom et votre photo et démarche votre entourage pendant que vous tentez de reprendre la main sur le premier. Ce scénario cumule deux atteintes distinctes que le droit traite séparément. D’un côté, l’intrusion dans votre compte, c’est-à-dire un accès frauduleux à un système de traitement automatisé de données. De l’autre, l’usage de votre identité auprès de tiers, qui peut constituer une usurpation d’identité et une atteinte à votre vie privée lorsque votre image est captée ou diffusée sans votre accord. À ces volets pénaux s’ajoute le volet de la protection des données personnelles. Vos nom, photo, liste de contacts et échanges constituent des données personnelles, et la plateforme qui les héberge a des obligations précises à votre égard. Cet article décrit l’ordre des démarches qui protège vos droits. D’abord, reprendre la main sur le compte et figer les preuves. Ensuite, faire sanctionner l’auteur et obtenir réparation, par la plainte pénale, l’identification du titulaire du faux compte, la plainte devant la CNIL et l’action en justice.
I. Reprendre la main sur le compte piraté et figer les preuves
A. Récupérer l’accès et couper l’attaquant au plus vite
La première heure conditionne la suite. Tant que l’intrus conserve l’accès, chaque minute lui permet d’écrire à de nouveaux contacts, de modifier les paramètres de récupération et d’effacer vos moyens de reprendre le compte. Commencez par la procédure de récupération de la plateforme, depuis un appareil que vous avez déjà utilisé pour vous connecter si possible. Facebook propose un parcours dédié aux comptes piratés, accessible depuis sa page d’aide sur le piratage, qui guide la vérification d’identité et la réinitialisation du mot de passe. Instagram propose un dispositif comparable depuis son centre d’aide, avec vérification par courriel, numéro de téléphone ou vidéo de confirmation selon les cas. Si l’attaquant a modifié l’adresse électronique ou le numéro associé au compte, ces parcours prévoient des vérifications de remplacement. Suivez-les sans créer un second compte au même nom, car multiplier les profils complique ensuite la démonstration de l’usurpation.
Dès l’accès repris, sécurisez le compte avant de constater les dégâts. Changez le mot de passe pour une phrase longue et unique, que vous n’utilisez nulle part ailleurs. Déconnectez toutes les sessions actives depuis les paramètres de sécurité, car l’intrus peut rester connecté sur son propre appareil même après le changement de mot de passe. Vérifiez point par point les paramètres que l’attaquant modifie en priorité. L’adresse électronique de contact, le numéro de téléphone, les adresses des portefeuilles publicitaires éventuellement rattachés et les applications tierces autorisées doivent être repassés en revue. Activez ensuite l’authentification à deux facteurs, de préférence avec une application dédiée plutôt qu’un simple code reçu par message, car le numéro de téléphone peut lui-même avoir été détourné. Conservez une trace datée de chacune de ces opérations, avec des captures d’écran mentionnant l’adresse visible et la date, car elles prouveront votre diligence et la chronologie de l’intrusion.
Contrôlez en parallèle votre messagerie électronique. La plupart des prises de contrôle de comptes de réseaux sociaux passent par la boîte mail. L’attaquant y demande une réinitialisation de mot de passe, intercepte le lien, puis verrouille la victime dehors. Si vous constatez des messages de réinitialisation que vous n’avez pas demandés, des règles de transfert que vous n’avez pas créées ou des connexions inconnues, traitez la messagerie comme compromise elle aussi. La méthode de récupération d’une boîte mail piratée fait l’objet d’un article dédié à la récupération d’une boîte mail piratée, dont les étapes complètent utilement celles décrites ici pour les réseaux sociaux. Sécuriser la messagerie avant le compte social évite que l’intrus ne reprenne la main quelques heures plus tard par le même canal.
Prévenez immédiatement votre entourage, par un canal que l’attaquant ne contrôle pas. Un message bref suffit. Indiquez que votre compte diffuse des publications et des demandes d’argent frauduleuses, demandez à ne donner suite à aucune sollicitation et à vous transmettre les captures des messages reçus. Ces témoignages et ces copies d’écran constituent des preuves directes de l’usage de votre identité auprès de tiers. Si des proches ont déjà versé de l’argent, orientez-les vers leur banque pour une opposition éventuelle et vers un dépôt de plainte pour escroquerie les concernant, car leur préjudice personnel ne se confond pas avec le vôtre. Ne versez pour votre part aucune somme à un interlocuteur qui proposerait de restituer le compte contre paiement. Il s’agit d’une extorsion secondaire fréquente, qui n’aboutit qu’à une seconde perte.
Lorsque le compte piraté appartient à un enfant mineur, ce sont les titulaires de l’autorité parentale qui mènent les démarches. Ils déposent le signalement d’usurpation, portent plainte et exercent les droits sur les données, en justifiant de leur qualité. Le code pénal réserve d’ailleurs le consentement du mineur aux titulaires de l’autorité parentale pour les atteintes à sa vie privée, ce qui confirme leur rôle central dans le dossier. Les contenus à caractère sexuel impliquant un mineur relèvent en outre d’incriminations spécifiques plus graves et doivent être signalés sans délai sur la plateforme Pharos, en conservant les références du signalement pour la plainte. Si le piratage vise la page professionnelle gérée depuis votre compte personnel, distinguez les deux périmètres. La récupération du compte personnel suit la procédure décrite ci-dessus. La sécurisation de la page de l’entreprise relève de son administrateur et de ses propres accès, et les publications frauduleuses émises depuis cette page engagent la responsabilité de l’entreprise à l’égard des tiers trompés, d’où l’intérêt d’alerter l’employeur ou les associés le jour même et de faire constater les contenus litigieux avant leur suppression.
Signalez enfin le compte piraté et chaque faux profil auprès de la plateforme, depuis les formulaires de signalement pour usurpation d’identité. Conservez les numéros ou les accusés de réception de chaque signalement. Ces références prouveront que vous avez alerté le responsable du traitement et feront courir les délais de sa réponse. Si la plateforme reste sourde ou si le contenu litigieux demeure visible, ces signalements préalables conditionnent l’efficacité des recours décrits dans la seconde partie, devant la CNIL comme devant le juge.
B. Signaler utilement et préserver des preuves recevables
Un dossier solide se construit dans les premiers jours. Les contenus litigieux disparaissent vite, soit parce que l’attaquant les efface, soit parce que la plateforme les retire. Chaque élément doit donc être figé avec sa date, son adresse et son contexte. Faites établir si possible un constat par un commissaire de justice, qui décrit le compte, les publications frauduleuses, les faux profils et les messages reçus par vos contacts, avec les adresses complètes et les horodatages. À défaut, réalisez vous-même des captures méthodiques. Photographiez l’écran entier en laissant visibles la barre d’adresse, la date du système et le nom du profil, page par page, sans recadrage qui masquerait le contexte. Demandez à chaque contact destinataire de messages frauduleux de vous adresser ses propres captures, accompagnées d’une attestation décrivant ce qu’il a reçu et ce qu’il en a fait. Conservez les originaux numériques et n’éditez jamais les images, car toute retouche fournirait à la partie adverse un moyen de contester leur fidélité.
Signalez les faits d’escroquerie sur les téléservices publics. Le dispositif THESEE, accessible depuis la fiche de Service Public consacrée aux arnaques sur internet, permet de déposer une plainte en ligne pour les escroqueries commises sur internet, et la plateforme Pharos recueille les signalements de contenus illicites. Ces démarches ne remplacent pas le dépôt de plainte décrit plus loin, mais elles créent une première trace officielle et orientent vers le service compétent. Si des sommes ont été détournées depuis vos comptes ou ceux de vos proches, les relevés bancaires et les références des virements rejoignent le dossier. Si l’attaquant a diffusé vos pièces d’identité ou vos coordonnées bancaires, relevez précisément quelles données ont circulé et auprès de qui, car cette cartographie servira à la fois à la plainte pénale et à la plainte devant la CNIL.
Distinguez dès ce stade les trois infractions que le dossier peut révéler, car chacune appelle des preuves propres. L’accès frauduleux au compte relève de l’atteinte aux systèmes de traitement automatisé de données. La création d’un faux profil à votre nom et les messages envoyés à vos contacts relèvent de l’usurpation d’identité. La diffusion de votre photographie ou de vidéos vous représentant sans votre accord relève de l’atteinte à l’intimité de la vie privée et de la conservation ou diffusion de documents ainsi obtenus. Un même fait peut cumuler ces qualifications, par exemple lorsque l’intrus se connecte à votre compte puis publie votre image pour solliciter des virements. Le dossier doit donc documenter séparément l’intrusion elle-même, l’usage de votre identité auprès de tiers et la diffusion de votre image. Cette distinction structure la plainte et évite que l’enquête ne retienne qu’une partie des faits.
II. Faire sanctionner l’auteur et obtenir réparation
A. La réponse pénale et l’identification de l’usurpateur
L’usurpation d’identité est un délit défini avec précision. Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. Un faux profil Facebook ou Instagram à votre nom, qui écrit à vos contacts pour les tromper, entre dans cette définition dès lors qu’il utilise des données permettant de vous identifier, comme votre nom et votre photographie, dans le but de troubler votre tranquillité ou de porter atteinte à votre considération. Le texte prévoit une aggravation lorsque les faits sont commis par le conjoint, le concubin ou le partenaire lié par un pacte civil de solidarité, avec deux ans d’emprisonnement et 30 000 euros d’amende, hypothèse qui concerne notamment les séparations conflictuelles où l’un des partenaires s’empare des comptes de l’autre.
L’intrusion dans le compte relève d’une incrimination distincte, celle de l’accès ou du maintien frauduleux dans un système de traitement automatisé de données. Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. La Cour de cassation donne à ce texte une portée large. Dans un arrêt publié au Bulletin du 2 septembre 2025, elle juge que se rend coupable de l’infraction prévue à l’article 323-1 du code pénal, celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur dudit réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie. Si un simple maintien avec un droit d’accès général suffit à caractériser le délit, l’intrusion d’un inconnu qui force l’accès à votre compte de réseau social l’établit plus nettement encore. La même décision retient que la perte de confiance de la victime constitue un préjudice moral découlant directement du délit, avec une indemnisation de 10 000 euros dans cette affaire, ce qui éclaire l’évaluation du préjudice dans les dossiers de piratage de comptes personnels.
Lorsque votre image est diffusée sans votre accord, une troisième incrimination entre en jeu. Est puni d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui, notamment en fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé. Est puni des mêmes peines le fait de conserver, porter ou laisser porter à la connaissance du public ou d’un tiers ou d’utiliser de quelque manière que ce soit tout enregistrement ou document obtenu à l’aide de l’un des actes prévus par l’article 226-1. La publication de votre photographie par le faux profil, puis sa rediffusion par des tiers qui la relaient, relèvent de ces textes. La Cour de cassation retient une lecture exigeante du consentement. Par un arrêt du 23 juin 2026, elle casse une décision de relaxe dans une affaire où des vidéos intimes à visionnage unique avaient été enregistrées clandestinement par leur destinataire puis conservées, en jugeant que l’envoi volontaire avec une configuration éphémère ne vaut pas consentement à l’enregistrement et à la conservation. Cette solution, rendue sur le fondement des articles 226-1 et 226-2 du code pénal, protège de la même façon la personne dont l’image est captée puis exploitée sur un réseau social sans accord. Le service public rappelle pour sa part que l’usurpation d’identité est le fait d’utiliser, sans son accord, les informations d’identification ou les données personnelles d’une autre personne, que l’usurpation d’identité peut être numérique et qu’il s’agit d’un délit. La CNIL décrit de son côté les deux visages de l’usurpation en ligne, le faux profil destiné à nuire à la réputation et le message frauduleux destiné à capter des informations, et relève que les informations ainsi obtenues peuvent servir à pirater des comptes de messagerie ou des comptes Facebook utilisés comme supports d’arnaques, comme l’explique sa page consacrée aux réactions face à l’usurpation d’identité.
Identifier l’auteur suppose d’obtenir de la plateforme les données de connexion du compte frauduleux, que vous ne pouvez exiger seul. La voie praticable est le référé aux fins d’identification. Le tribunal judiciaire de Paris l’a encore admise le 15 juillet 2026, dans une ordonnance qui ordonne à la société Meta Platforms Ireland Limited de communiquer, dans un délai de huit jours à compter de la signification de la décision, les données d’identification en sa possession relatives au compte présentant un profil au nom de la demanderesse sur le réseau Facebook, avec le détail des informations visées, des noms et adresses aux identifiants, pseudonymes, données de vérification du mot de passe et références de paiement. Le juge se fonde sur l’article 6-3 de la loi pour la confiance dans l’économie numérique et sur l’article 145 du code de procédure civile, qui permet d’ordonner en référé toute mesure d’instruction légalement admissible lorsqu’existe un motif légitime d’établir la preuve de faits dont peut dépendre la solution d’un litige. Concrètement, assignez l’exploitant européen de la plateforme en identification du titulaire du faux compte, en visant précisément l’adresse du profil litigieux et la liste des données sollicitées, après avoir réuni les constats et les signalements qui établissent le motif légitime. Les données ainsi obtenues nourrissent la plainte pénale et, le cas échéant, l’assignation au fond contre l’auteur.
Déposez plainte sans attendre l’issue de cette procédure civile. Décrivez dans la plainte les trois étages du dossier, l’intrusion, l’usage de votre identité et la diffusion de votre image, en visant les articles 323-1, 226-4-1, 226-1 et 226-2 du code pénal, et joignez le constat, les captures, les signalements à la plateforme et les attestations de vos contacts. Constituez-vous partie civile pour obtenir réparation dans le procès pénal. Si le procureur de la République fait savoir qu’il n’engagera pas de poursuites, ou si un délai de trois mois s’est écoulé depuis votre plainte, la loi ouvre une seconde voie. Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction compétent, sous réserve de justifier du classement sans suite ou de l’écoulement du délai de trois mois. Cette plainte avec constitution de partie civile provoque la désignation d’un juge d’instruction et relance l’enquête sur les réquisitions nécessaires, notamment l’exploitation des données d’identification et de connexion.
B. Les droits sur vos données et la réparation devant le juge civil
Le piratage de votre compte constitue aussi une violation de données personnelles au sens du règlement général sur la protection des données. Vos nom, photographie, échanges et liste de contacts sont des données à caractère personnel, et l’exploitant de la plateforme qui les héberge en est le responsable du traitement. Vous pouvez d’abord exercer vos droits directement auprès de lui. Demandez l’accès aux données liées au compte et aux connexions litigieuses, la rectification des informations falsifiées, l’effacement des contenus que l’intrus a publiés et la limitation de leur diffusion pendant l’instruction de votre demande. Si vous contestez l’usage qui est fait de vos données, opposez-vous au traitement. Formulez ces demandes par écrit, en visant le règlement européen sur la protection des données, et conservez la preuve de l’envoi et de la réponse, car la CNIL et le juge vérifieront que vous avez saisi le responsable du traitement avant eux. La méthode d’une réclamation efficace devant la CNIL, avec ses délais et ses pièces, est détaillée dans un article consacré à la réclamation efficace devant la CNIL, dont les conseils s’appliquent aux dossiers de comptes piratés.
Le droit à l’effacement mérite une attention particulière, car le faux profil et les publications de l’intrus doivent disparaître des résultats et des partages. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique. Le premier de ces motifs vise les données traitées de manière illicite, ce qui couvre les publications de l’intrus et le faux profil créé sans votre accord. Lorsque la plateforme a rendu ces données publiques, elle doit en outre prendre des mesures raisonnables, y compris d’ordre technique, pour informer les autres responsables qui les traitent de votre demande d’effacement des liens, copies et reproductions. Ce mécanisme s’applique aux rediffusions du faux profil et aux copies de votre photographie relayées sur d’autres comptes. L’effacement connaît des exceptions, notamment lorsqu’il est nécessaire à l’exercice de la liberté d’expression et d’information ou à la constatation et à la défense d’un droit en justice, de sorte que la conservation des journaux de connexion utiles à l’enquête pénale peut être préservée pendant que les contenus publics sont retirés.
Si la plateforme ne répond pas dans un délai d’un mois ou si sa réponse ne vous satisfait pas, saisissez la CNIL par une plainte en ligne. Joignez les demandes adressées au responsable du traitement, ses réponses ou la preuve de son silence, les signalements d’usurpation et le constat des contenus. La CNIL peut instruire la plainte, mettre l’organisme en demeure de se conformer et, en cas de manquement persistant, prononcer une sanction. Sa décision ne vous indemnise pas, mais elle établit le manquement et pèse dans l’action en réparation. Portez ensuite votre demande indemnitaire devant le juge judiciaire. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le texte organise une responsabilité solidaire. Chaque responsable ou sous-traitant ayant participé au même traitement répond de l’entier dommage afin de garantir une réparation effective, et celui qui a tout payé peut ensuite se retourner contre les autres à proportion de leurs parts. La plateforme ne s’exonère qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable. Chiffrez chaque chef de préjudice avec pièces. Les sommes détournées auprès de vos contacts fondent leur propre action, mais votre angoisse, l’atteinte à votre réputation, le temps consacré à la récupération et les frais de constat et de procédure constituent votre préjudice personnel réparable.
Le droit commun de la responsabilité civile complète ce dispositif à l’égard de l’auteur lui-même. Chacun a droit au respect de sa vie privée, et les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser l’atteinte, y compris en référé en cas d’urgence. Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Assignez l’auteur identifié en retrait des contenus, cessation de l’usurpation et dommages et intérêts, en joignant les données d’identification obtenues en référé et le dossier pénal. Si l’auteur reste inconnu ou insolvable, l’action contre la plateforme sur le fondement du règlement européen demeure la voie d’indemnisation effective, dès lors qu’un manquement à ses obligations de sécurité ou de traitement de vos demandes est établi.
Votre compte piraté appelle donc une réponse ordonnée. Sécurisez l’accès et la messagerie, alertez votre entourage sans délai, signalez chaque profil et figez les preuves par constat. Puis frappez aux trois portes dans le bon ordre. La plainte pénale sanctionne l’intrusion, l’usurpation et la diffusion de votre image. Le référé identification obtient de la plateforme les données du titulaire du faux compte. La plainte devant la CNIL et l’action en réparation devant le juge indemnisent la violation de vos données et l’atteinte à votre vie privée. Menées ensemble, ces démarches ferment à l’usurpateur l’accès, la parole et l’impunité.