Mot de passe soudain invalide, code de récupération qui n’arrive plus, messages que vous n’avez jamais envoyés, notification de connexion depuis un pays où vous ne vous trouvez pas, puis SMS de votre banque pour un virement que vous n’avez pas ordonné : la prise de contrôle d’un compte en ligne se joue en quelques heures et ses effets se combinent. La messagerie compromise sert à réinitialiser les autres comptes, le compte de réseau social diffuse des arnaques à vos contacts en votre nom, et l’accès à la banque en ligne vide le compte. Chaque minute compte, mais l’affolement fait commettre des erreurs : payer un prétendu service de récupération, effacer les traces utiles à la preuve, ou négocier seul avec un interlocuteur qui n’est pas la plateforme.

Cet article traite un cas précis : quelqu’un a pris le contrôle de vos comptes existants, messagerie, compte Google ou Apple, compte Instagram, TikTok ou Facebook, espace bancaire en ligne, et agit à votre place. Il ne traite pas du faux profil créé à votre nom sans prise de contrôle, qui relève d’une autre démarche, faire supprimer un contenu et geler les usages frauduleux, déjà exposée dans l’article consacré au vol d’identité en ligne par faux profil. Ici, les acteurs sont identifiés d’emblée : vous, personne concernée ; la plateforme ou le fournisseur de messagerie, responsable du traitement de vos données ; votre banque, prestataire de services de paiement ; et l’auteur inconnu de l’intrusion. Les contrats en cause sont les conditions d’utilisation de chaque service et, pour l’argent, votre convention de compte et de services de paiement. Le plan suit l’urgence puis le dossier : d’abord reprendre la main sur les comptes et verrouiller les paiements, ensuite transformer l’incident en preuves, exiger les traces, saisir la CNIL et la police, puis le juge, et obtenir réparation.

I. Reprendre la main sur vos comptes dans les premières heures

A. Comment récupérer l’accès à une messagerie ou à un compte social piraté ?

Le premier réflexe consiste à qualifier les signaux, car la plateforme ne vous croira que sur des faits précis. La Commission nationale de l’informatique et des libertés décrit les indices qui doivent alerter : votre mot de passe est invalide, des messages sont envoyés depuis votre compte sans votre volonté, des comportements inhabituels ont lieu sur votre compte sans consentement, ou une notification vous informe qu’une adresse électronique associée au compte vient d’être modifiée. Notez l’heure exacte de chaque constat, conservez chaque notification par capture d’écran avec l’expéditeur, la date et l’heure visibles, et ne supprimez rien : ces éléments prouveront ensuite que la perte de contrôle est réelle et datée. Si un proche reçoit en votre nom une demande d’argent ou un lien suspect, demandez-lui de conserver le message et de vous le transférer sans cliquer : c’est une pièce, pas seulement un avertissement.

La récupération passe exclusivement par les canaux officiels de la plateforme, jamais par un numéro trouvé sur un forum ni par un prestataire qui promet de pirater à son tour. La CNIL résume la marche à suivre en trois temps : Signalez le compte piraté auprès du réseau social, puis Demandez une réinitialisation de votre mot de passe, puis parcourez les rubriques de sécurité du service une fois le compte repris. Concrètement, utilisez depuis un appareil sain la procédure de compte compromis de Google, d’Apple, de Meta, de TikTok ou de Microsoft, déclarez que vous n’avez plus accès à l’ancienne adresse de récupération si elle a été modifiée, et fournissez les justificatifs demandés : pièce d’identité, anciennes informations de récupération, date de création approximative du compte. Chaque plateforme conserve ses propres formulaires, signalement d’un compte Instagram piraté, récupération d’un compte Google inaccessible, assistance du compte Apple, et c’est à ces adresses, et à elles seules, qu’il faut écrire. Tout paiement exigé en échange d’une récupération est une seconde arnaque : signalez-le au lieu de le payer.

Une fois l’accès repris, sécurisez avant de constater les dégâts. Changez le mot de passe pour un mot de passe long, unique et inconnu de vos autres services, en suivant le conseil constant de la CNIL : changez vos mots de passe des services exposés en commençant par les plus sensibles, messagerie, banque, impôts, commerce en ligne, et bannissez la réutilisation d’un même mot de passe entre services, idéalement avec un gestionnaire. Activez l’authentification à deux facteurs sur chaque compte qui la propose, vérifiez les adresses électroniques et numéros de récupération, qui doivent redevenir les vôtres, déconnectez à distance tous les terminaux inconnus, et révoquez les applications tierces auxquelles vous aviez accordé l’accès et qui ne vous servent plus. La CNIL rappelle à raison qu’Il est vivement déconseillé de communiquer votre mot de passe à une tierce personne : aucun agent d’une plateforme, d’une banque ou d’une administration ne vous le demandera jamais par téléphone, par SMS ou par message privé. Celui qui le demande est l’attaquant ou son complice.

Deux erreurs fréquentes ruinent ensuite le dossier. La première consiste à effacer les messages frauduleux envoyés en votre nom pour sauver les apparences : conservez-les au contraire, car ils matérialisent le préjudice subi par vos contacts et le vôtre. La seconde consiste à informer la plateforme par un simple message public ou par un formulaire générique sans garder de preuve d’envoi : écrivez par les canaux tracés, conservez les numéros de ticket, les accusés de réception et les réponses, et relancez par écrit. La qualité du dossier de récupération conditionne tout le reste : sans date de perte de contrôle, sans ticket de signalement et sans liste des usages frauduleux, la plateforme répondra qu’elle ne peut rien établir, la banque discutera votre diligence, et le juge n’aura que votre récit. Avec ces pièces, vous inversez la dynamique : c’est à l’interlocuteur de s’expliquer sur ses propres journaux.

B. Comment verrouiller les paiements et faire rembourser les virements non autorisés ?

Quand le piratage touche la banque en ligne, l’ordre des priorités change : l’argent d’abord, les données ensuite. Faites opposition sans attendre sur la carte compromise, bloquez les virements depuis l’application si elle reste accessible, appelez le numéro d’opposition de votre banque puis confirmez par écrit, et listez chaque opération contestée avec sa date, son montant et son bénéficiaire. Prévenez également votre entourage bancaire au sens large : si l’attaquant a eu accès à vos relevés, il dispose de votre identité complète et pourra tenter d’ouvrir un crédit ou un compte à votre nom. La consultation du fichier des comptes bancaires, FICOBA, et la vérification d’un éventuel fichage à la Banque de France, fichier central des chèques et fichier des incidents de remboursement des crédits, permettent de détecter ces rebonds, comme le rappelle la fiche officielle consacrée à l’usurpation d’identité, qui invite la victime à prévenir les établissements bancaires et à vérifier ces fichiers.

Le droit des paiements protège ensuite le titulaire du compte avec une règle simple et sévère pour la banque. En cas d’opération de paiement non autorisée signalée par l’utilisateur, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf soupçon écrit et motivé de fraude de l’utilisateur transmis à la Banque de France, et le compte doit être rétabli dans l’état où il se serait trouvé sans l’opération. Concrètement, la banque ne peut pas vous renvoyer à la fin de sa propre enquête ni conditionner le remboursement au dépôt de plainte : elle rembourse d’abord, elle enquête ensuite. Si elle tarde, des intérêts majorés courent, et tout retard au-delà de sept puis de trente jours aggrave la sanction financière prévue par le même texte. Réclamez donc le remboursement par écrit, en visant ce texte, en listant les opérations et en demandant la date de recrédit avec la bonne date de valeur.

La banque ne peut refuser le remboursement qu’en prouvant votre fraude ou votre négligence grave, et cette preuve ne se présume pas. L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Autrement dit, le fait que l’attaquant ait utilisé vos identifiants, votre code ou même une authentification forte ne prouve ni votre consentement ni votre faute : c’est à la banque d’établir positivement que vous avez divulgué vos données ou validé sciemment les opérations. Les journaux qu’elle produit, adresses IP étrangères, connexions simultanées depuis plusieurs pays, absence de SMS de confirmation retrouvés, se retournent d’ailleurs souvent contre elle, comme l’a illustré le 8 septembre 2026 une décision du tribunal judiciaire de Paris qui a condamné une banque à rembourser près de 3 940 euros d’opérations litigieuses, avec 3 000 euros au titre des frais de justice : les connexions litigieuses venaient de Bulgarie, d’Irlande, des États-Unis et des Pays-Bas, la banque ne démontrait aucun SMS de confirmation adressé au client pour chaque virement, et la seule invocation d’une authentification forte n’a pas suffi à établir ni le consentement ni la négligence grave du titulaire. Retenez la méthode : contestez chaque opération par écrit, exigez les traces complètes de chaque authentification, et refusez que l’usage de vos identifiants par un tiers soit présenté comme votre faute. La seule exception prévue par la loi est étroite : le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. C’est donc bien à la banque d’établir votre fraude ou votre négligence grave, et non à vous de démontrer votre innocence.

Le délai pour agir est large mais couperet, et il commande de ne pas laisser dormir le dossier. L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. Signalez donc sans tarder, par un écrit conservé, puis complétez le dossier au fil de l’enquête, relevés, plainte, constats d’huissier des connexions, sans attendre la fin du délai. Passé treize mois sans signalement, la contestation est forclose, même si la fraude est avérée. En pratique, les victimes qui obtiennent le remboursement sont celles qui écrivent vite, chiffrent précisément et relancent : premier courrier de contestation dans les jours qui suivent la découverte, réclamation chiffrée avec les références de chaque opération, puis mise en demeure visant le remboursement au plus tard à la fin du premier jour ouvrable, et enfin saisine du médiateur bancaire puis du juge si la banque persiste. Chaque étape écrite fait courir les intérêts et prépare la suivante.

II. Exiger les traces, signaler, saisir la CNIL et le juge, obtenir réparation

A. Quelles preuves réunir et à qui signaler le piratage pour qu’il soit traité ?

Un piratage de compte est une violation de données personnelles au sens du règlement général sur la protection des données, et ce cadre impose des obligations à la plateforme comme à tout responsable de traitement. Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, et cette sécurité se juge aux faits : absence de détection d’une connexion anormale, réinitialisation du mot de passe sans vérification sérieuse, absence d’alerte, conservation de sessions zombies. De votre côté, constituez dès le premier jour un dossier horodaté : captures des notifications et des messages frauduleux avec leurs métadonnées visibles, liste des comptes touchés et de l’ordre de compromission, tickets de signalement à chaque plateforme avec leurs références, courriers à la banque avec preuve d’envoi, dépôt de plainte, relevés bancaires annotés. Ajoutez les attestations de vos contacts qui ont reçu des messages en votre nom et, si des publications diffamatoires ou des arnaques ont été diffusées, faites-les constater par commissaire de justice avant toute suppression : une page supprimée sans constat devient incontestable dans son contenu exact.

Exercez ensuite vos droits directement auprès de chaque plateforme, par écrit, en visant les textes. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel : demandez la copie de vos données, mais surtout les journaux de connexion au compte sur la période du piratage, adresses IP, terminaux, horodatages, modifications de l’adresse de récupération et des paramètres de sécurité. Ces traces identifient l’attaquant, établissent la chronologie et révèlent souvent les failles du dispositif de la plateforme. Si des contenus publiés par l’attaquant subsistent, demandez aussi leur effacement : la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant, notamment quand elles ont fait l’objet d’un traitement illicite, ce qui est le cas des publications d’un pirate. Fixez à chaque demande un délai raisonnable de réponse, un mois, et conservez les refus ou les silences : ils fonderont la plainte à la CNIL.

Le volet pénal se traite en parallèle, sans attendre l’issue des démarches civiles. L’usurpation d’identité en ligne est une infraction précise : le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 euros d’amende, et cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. Portez plainte au commissariat, à la gendarmerie ou par plainte en ligne, avec toutes les preuves réunies, car la plainte doit être accompagnée de toutes les preuves, captures, messages, adresses des pages concernées et demandes des organismes. Pour un piratage de compte de messagerie ou de réseau social avec escroquerie en ligne, utilisez la plateforme THESEE pour effectuer un signalement ou porter plainte en ligne, demandez une aide au diagnostic via 17Cyber, et signalez les contenus illicites sur PHAROS. La fiche officielle rappelle la distinction utile : en cas de simple soupçon après un piratage ou une perte de document, une main courante suffit pour tracer ; quand la victime constate que son identité ou ses données personnelles sont utilisées à son insu, elle peut porter plainte et avertir les administrations et organismes concernés. Joignez ensuite copie de la plainte à chaque organisme qui vous réclame une dette née du piratage, avec une attestation sur l’honneur niant être l’auteur des actes.

Saisissez enfin la CNIL quand la plateforme ne répond pas, répond à côté ou refuse l’accès, l’effacement ou la sécurisation. Toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement, et l’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue. La plainte en ligne à la CNIL doit exposer la chronologie, joindre les demandes préalables adressées au responsable de traitement et leurs réponses, et préciser ce que vous demandez : accès aux journaux, effacement des contenus du pirate, mesures de sécurité. L’inaction de la plateforme devient alors un grief autonome, documenté par vos courriers restés sans réponse. Et si la violation vous expose à des risques, rappelez à l’organisme son devoir d’information : si une violation vous concerne et qu’elle vous expose potentiellement à des risques, l’organisme responsable doit vous en informer dans les meilleurs délais. Ce message d’information, quand il existe, est lui-même une pièce : il reconnaît l’incident et en décrit l’étendue.

B. Comment obtenir du juge l’identification de l’attaquant, la réparation et les mesures utiles ?

Le juge civil peut contraindre la plateforme à livrer ce qu’elle seule détient : les données d’identification de l’attaquant. Le 17 avril 2026, le juge des référés du tribunal judiciaire de Paris a ainsi ordonné à un grand fournisseur de services en ligne de communiquer, pour une série de vidéos litigieuses mises en ligne depuis un compte détourné, les adresses IP utilisées, les dates et heures de connexion avec le fuseau horaire, les identifiants de session et de requête, les ports sources et les identifiants de terminal enregistrés dans les journaux, tout en rejetant le surplus des demandes et en refusant l’astreinte. La leçon opérationnelle tient en trois points : demandez des données précises et limitées dans le temps, expliquez en quoi chacune est nécessaire à l’identification de l’auteur et à la preuve, et n’assortissez la demande que de ce qui est proportionné. Une demande vague de toutes les données sera rejetée ; une demande ciblée sur les journaux de la période du piratage a des chances sérieuses d’être ordonnée, y compris en référé. Le fondement est général : le président du tribunal judiciaire peut toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite, et cette voie rapide est adaptée à la conservation des traces avant leur effacement par rotation des journaux. À Paris, le tribunal judiciaire connaît bien ce contentieux des plateformes, et la proximité des sièges européens de plusieurs opérateurs, souvent défendus à Paris, facilite l’exécution des injonctions de communication.

La réparation du préjudice suit le régime propre du règlement européen, qui n’exige ni faute lourde ni préjudice exceptionnel. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, et le responsable ne s’exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable. Le préjudice réparable couvre le concret : argent détourné non remboursé, frais bancaires, coût des constats et des démarches, temps contraint, mais aussi le moral, angoisse de l’exposition des messages privés et des photos, perte de confiance, atteinte à la réputation auprès des contacts démarchés par l’attaquant. Chiffrez chaque poste avec justificatifs, relevés, factures, attestations, constats, et articulez chaque somme avec la violation invoquée, défaut de sécurité, refus d’accès aux journaux, refus d’effacement, défaut d’information. Chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle, ce qui, pour un lecteur parisien ou francilien, désigne naturellement le tribunal judiciaire de Paris. Au fond, le droit commun conforte cette réparation : tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer.

La jurisprudence récente montre que les juges n’hésitent pas à sanctionner les organismes qui traitent la victime à la légère. Outre la décision parisienne du 8 septembre 2026 sur les virements contestés, la cour d’appel de Versailles a jugé le 7 novembre 2023 qu’une banque qui ouvre un compte sur des documents manifestement insuffisants, assigne ensuite la prétendue titulaire à une fausse adresse sans tenir compte des justificatifs d’usurpation transmis avant l’audience, commet une négligence fautive : la banque a été déboutée de sa demande de plus de 32 000 euros de solde débiteur et condamnée à 2 000 euros de dommages et intérêts pour la perte de chance de se défendre, plus 1 500 euros de frais de justice. Transposée au piratage de compte, la logique est identique : l’organisme qui ignore les alertes documentées de la victime, qui se contente de ses propres enregistrements internes sans vérifier, ou qui poursuit le recouvrement contre la mauvaise personne, engage sa responsabilité et s’expose à des dommages et intérêts. C’est pourquoi chaque alerte doit être écrite, datée et conservée : le recommandé ou le courrier électronique avec accusé que la banque ou la plateforme a reçu et ignoré devient au procès la preuve de sa négligence.

Pour les lecteurs de Paris et d’Île-de-France, quelques repères pratiques ferment le dispositif. La plainte peut être déposée dans tout commissariat ou gendarmerie, ou en ligne pour les e-escroqueries, et le suivi s’effectue auprès du service saisi ; la CNIL, dont le siège est à Paris, se saisit en ligne avec un dossier complet, demandes préalables et réponses ; le tribunal judiciaire de Paris connaît des actions en communication des données d’identification en référé comme des actions en responsabilité et en remboursement au fond, avec un parquet et des services d’enquête rompus à la cyberdélinquance. Conservez les originaux numériques, ne transmettez que des copies, notez les numéros de procédure, plainte, main courante, ticket plateforme, réclamation CNIL, réclamation banque, médiation, et tenez un tableau chronologique unique que vous joindrez à chaque saisine. Un dossier tenu de cette manière se traite plus vite à chaque guichet, parce que chaque interlocuteur y trouve immédiatement sa pièce : la plateforme ses tickets, la banque ses contestations datées, la CNIL ses demandes préalables, la police ses captures, le juge sa chronologie. La méthode fait la moitié du résultat, et elle se met en place dès le premier jour, sans attendre de savoir qui se cache derrière l’écran.

Conclusion

Un compte piraté ne se résume ni à un mot de passe à changer ni à une mésaventure technique : c’est une violation de données personnelles qui appelle une réponse ordonnée, récupérer l’accès par les canaux officiels, sécuriser durablement avec des mots de passe uniques et une double authentification, verrouiller l’argent par l’opposition et la contestation écrite, exiger les journaux de connexion et l’effacement des contenus du pirate, porter plainte avec toutes les preuves, saisir la CNIL en cas de refus ou de silence, puis demander au juge l’identification de l’attaquant et la réparation intégrale, y compris contre la banque qui refuse un remboursement dû. Les textes donnent à la victime des droits précis, accès aux données, effacement, réclamation, recours juridictionnel, réparation du dommage matériel et moral, et remboursement des paiements non autorisés au plus tard à la fin du premier jour ouvrable, tandis que la jurisprudence récente rappelle aux organismes que l’ignorance des alertes documentées se paie en dommages et intérêts. Tenez dès les premières heures un dossier horodaté unique, écrivez à chaque interlocuteur en visant le texte applicable, conservez chaque réponse, et ne laissez aucun délai courir, ni les treize mois de la contestation bancaire ni les rotations des journaux de connexion. C’est cette rigueur, plus que la technicité, qui fait aboutir les dossiers de piratage, à Paris comme ailleurs.