Vous recevez un code WhatsApp que vous n’avez jamais demandé, puis l’application vous annonce que votre compte est utilisé sur un autre appareil. Quelques minutes plus tard, vos proches reçoivent des messages alarmants signés de votre nom qui réclament une aide financière urgente. Ce scénario, devenu courant, correspond au piratage d’un compte WhatsApp : un tiers a réenregistré votre numéro sur son propre téléphone ou a greffé un appareil supplémentaire au vôtre, et il exploite votre identité auprès de vos contacts. La première heure compte double : il faut reprendre la main sur le compte avant que les messages frauduleux se propagent, et figer les preuves qui serviront ensuite devant la police, la Commission nationale de l’informatique et des libertés et le juge. Cet article décrit la récupération pas à pas, la constitution du dossier de preuve, les qualifications pénales applicables, la réclamation auprès de la CNIL et les conditions concrètes de l’indemnisation, textes et décisions vérifiés à la date du 5 octobre 2026.
I. Reprendre la main sur le compte et figer les preuves
A. Récupérer l’accès avant que les messages frauduleux se propagent
Le détournement prend deux formes, décrites par les spécialistes de la sécurité : soit le pirate ajoute un appareil supplémentaire à votre compte grâce à la fonction d’appareils connectés, auquel cas vous continuez d’utiliser WhatsApp normalement pendant qu’il lit vos conversations récentes, soit il réenregistre votre numéro sur son propre téléphone, comme si vous aviez changé d’appareil, et vous perdez alors l’accès avec un message indiquant que le compte est utilisé ailleurs. Les signes qui doivent alerter sont connus : réponses à des messages que vous n’avez jamais envoyés, plaintes de proches destinataires de propos étranges, messages effacés que vous n’avez pas effacés, code de vérification reçu sans demande, photo de profil, nom, statut ou stories modifiés sans votre intervention, ajout à des groupes inconnus. Le signe le plus net reste l’invitation à vous réinscrire parce que le compte serait ouvert sur un autre appareil. Les pirates exploitent vite le compte compromis pour escroquer votre entourage en se faisant passer pour vous : demande d’argent urgente, promesse de cadeau, faux sondage. Chaque minute d’attente expose vos contacts.
La première vérification porte sur la carte SIM associée au numéro : elle doit se trouver dans votre téléphone. Ouvrez ensuite WhatsApp sur cet appareil. Si l’application fonctionne encore normalement, le pirate utilise probablement un appareil greffé : allez dans les réglages, ouvrez la rubrique des appareils connectés, examinez chaque appareil listé et déconnectez ceux que vous ne reconnaissez pas. Cette déconnexion coupe immédiatement l’accès du tiers. Si l’application vous indique que vous êtes déconnecté et vous invite à vous enregistrer, saisissez votre numéro de téléphone et demandez un code d’inscription : vous recevrez un SMS ou un appel vocal contenant un code à usage unique, à saisir dans l’application. Si vous aviez activé la vérification en deux étapes, saisissez ensuite votre code PIN personnel. L’application peut alors proposer de restaurer conversations et réglages depuis une sauvegarde : acceptez.
Le point délicat concerne le code PIN demandé alors que vous n’en aviez jamais créé : cela signifie que le pirate en a défini un pour verrouiller votre retour. La fonction de PIN oublié permet de le réinitialiser. Quand une adresse électronique est associée au compte, vous recevez aussitôt un lien de réinitialisation : ouvrez le dernier message de WhatsApp dans votre boîte mail, suivez le lien, confirmez, puis définissez un nouveau code. Sans adresse électronique associée, la réinitialisation reste possible mais exige une semaine d’attente pendant laquelle le compte demeure inaccessible ; passé ce délai, la reconnexion suit la procédure normale et le pirate est éjecté. Dans tous les cas, ne transmettez jamais à quiconque un code reçu par SMS : ni l’éditeur ni aucun service sérieux ne vous le demandera, et c’est précisément par ce code soutiré, souvent sous un prétexte d’erreur d’envoi, que le détournement commence. La page officielle d’aide de l’éditeur, intitulée « Comment récupérer un compte compromis », centralise cette procédure.
Une fois l’accès repris, sécurisez immédiatement : activez la vérification en deux étapes avec un code PIN que vous seul connaissez et associez-y une adresse électronique de récupération, verrouillez l’application par biométrie quand le téléphone le permet, et changez les mots de passe des comptes qui partagent le même code ou la même adresse de secours, en commençant par la boîte électronique, les impôts, la banque et les sites marchands. Prévenez sans délai vos proches, par un autre canal que WhatsApp tant que le doute subsiste : un appel vocal ou un SMS classique évite que votre alerte ne parte du compte encore incertain. Dites-leur de ne donner suite à aucune demande d’argent ou de code venue de votre numéro pendant l’incident, et de vous appeler pour vérifier toute sollicitation. Si des messages frauduleux ont déjà provoqué des versements de vos contacts, notez leurs noms, les montants et les heures : ils seront victimes et témoins utiles à la plainte. Pensez enfin aux lecteurs parisiens et franciliens : les commissariats de Paris reçoivent les plaintes tous les jours, et le tribunal judiciaire de Paris concentre un contentieux nourri de ces affaires de comptes détournés, ce qui facilite l’orientation du dossier.
B. Constituer un dossier de preuve exploitable par la police, la CNIL et le juge
Le réflexe le plus rentable consiste à tout conserver avant de nettoyer. Capturez les messages que vous n’avez pas envoyés, les réponses reçues à ces messages, le code de vérification arrivé sans demande avec l’heure exacte de réception, les groupes inconnus auxquels vous avez été ajouté, la photo, le nom ou le statut modifiés, et les stories publiées à votre insu. Demandez à deux ou trois proches de vous transmettre leurs propres captures des sollicitations reçues, avec les numéros, dates et heures visibles, ainsi que les justificatifs des sommes éventuellement versées. Conservez les SMS de l’opérateur et le journal d’appels du téléphone : ils établissent que le code d’inscription est arrivé sur votre ligne à un moment où vous ne l’aviez pas sollicité. Relevez les références de votre carte SIM et, en cas de dysfonctionnement de ligne, demandez à l’opérateur s’il a enregistré une demande de duplicata ou de transfert que vous n’auriez pas formulée.
La deuxième couche de preuve vient de l’éditeur lui-même, qui détient les traces de connexion. Une ordonnance de référé du tribunal judiciaire de Paris du 7 octobre 2024, rendue dans une affaire de compte de messagerie détourné et d’usurpation d’identité, illustre la méthode : la victime, qui avait vu son mot de passe modifié à son insu, demandait au visa des articles 145, 834 et 835 du code de procédure civile la communication des connexions au compte et des modes d’authentification utilisés sur douze mois, des modifications des facteurs d’authentification et, pour chaque action, de la date, de l’heure, de l’adresse IP d’origine et de sa géolocalisation, afin de s’en prévaloir dans toute action ultérieure. Le juge des référés fait droit à ce type de demande de conservation et de communication des données d’identification avant tout procès, pour établir les faits dont peut dépendre un litige à venir, notamment l’identité des utilisateurs à poursuivre. Concrètement, écrivez sans tarder au service compétent de l’éditeur pour lui demander la conservation des journaux de connexion et d’enregistrement liés à votre numéro sur la période de l’incident, puis, si nécessaire, faites ordonner en référé la production des dates, heures, adresses IP et appareils concernés. Une autre ordonnance du même tribunal, du 8 février 2024, rendue sur le fondement de l’article 145 du code de procédure civile à propos d’un nom de domaine utilisé pour des escroqueries sous identité usurpée, rappelle que l’identification du fraudeur passe par le professionnel qui détient les données : le juge ordonne la communication des nom, adresse, téléphone et courriel du titulaire. Le raisonnement vaut pour tout intermédiaire technique, y compris un éditeur de messagerie ou un opérateur.
La troisième couche concerne l’hygiène numérique post-incident, sur laquelle la CNIL donne des conseils précis en cas de fuite ou de vol de données : méfiez-vous de tout courriel ou SMS qui paraît réaliste parce qu’il exploite les données détournées, ne cliquez sur aucun lien de reconnexion reçu par message, reconnectez-vous en saisissant vous-même l’adresse officielle dans le navigateur, changez les mots de passe en privilégiant des mots de passe forts et distincts par service, et conservez-les dans un gestionnaire. La Commission met en garde contre les sites qui prétendent vérifier si vos données circulent : elle déconseille de les utiliser. Si le piratage dégénère en usurpation d’identité durable, la même page recommande de consulter cybermalveillance.gouv.fr, de déposer plainte au plus vite, de prévenir vos banques, puis, une fois l’usurpation confirmée, de vérifier un éventuel fichage auprès de la Banque de France et l’ouverture de comptes à votre insu via le fichier des comptes bancaires. Chaque démarche laisse une trace écrite : récépissés de plainte, échanges avec l’éditeur, attestations de proches, relevés bancaires. Ce faisceau précis fera la différence au stade de l’indemnisation, où le juge exigera la démonstration d’un dommage concret.
II. Sanctionner les auteurs et obtenir réparation
A. La voie pénale et la réclamation auprès de la CNIL
Le piratage d’un compte WhatsApp mobilise d’abord le droit pénal. L’article 323-1 du code pénal, en vigueur dans sa rédaction issue de la loi du 24 janvier 2023, dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » La peine passe à cinq ans d’emprisonnement et 150 000 euros d’amende quand il en est résulté une suppression ou une modification de données ou une altération du fonctionnement du système. Le réenregistrement frauduleux d’un numéro sur l’appareil du pirate comme le maintien d’un appareil greffé à l’insu du titulaire entrent dans ce texte. La chambre criminelle de la Cour de cassation l’applique avec constance : le 16 janvier 2018, elle a rejeté le pourvoi d’un homme condamné à quatre mois d’emprisonnement avec sursis pour accès frauduleux à un système de traitement automatisé de données, atteinte au secret des correspondances émises par voie électronique et détention de programmes conçus pour ces atteintes ; le 2 septembre 2025, elle a de nouveau rejeté un pourvoi contre une condamnation à trois mois d’emprisonnement avec sursis pour maintien frauduleux dans un système de traitement automatisé de données. Ces arrêts confirment que l’intrusion et le maintien dans un compte ou un système, même sans dégradation spectaculaire, suffisent à la condamnation, et que la partie civile obtient des intérêts civils devant le juge répressif.
Quand le pirate se fait passer pour vous auprès de vos proches, l’article 226-4-1 du code pénal prend le relais : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le même texte précise que l’infraction est punie des mêmes peines quand elle est commise sur un réseau de communication au public en ligne, et les peines doublent quand l’auteur est le conjoint, le concubin ou le partenaire de pacte civil de solidarité de la victime. Les messages envoyés à vos contacts depuis votre numéro détourné, avec votre photo et votre nom, caractérisent cette usurpation dès lors qu’ils troublent votre tranquillité ou portent atteinte à votre considération. Si des proches ont effectivement versé de l’argent au pirate qui se présentait sous votre identité avec une fausse qualité ou des manoeuvres, notamment une urgence inventée, l’escroquerie de l’article 313-1 du code pénal s’ajoute : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Chaque proche trompé peut déposer sa propre plainte, et leurs dossiers consolident le vôtre.
Déposez plainte au plus vite auprès d’un commissariat de police ou d’une brigade de gendarmerie, comme le recommande la CNIL en cas d’usurpation d’identité, en apportant le dossier de captures et de relevés constitué dans la première heure. Décrivez avec précision la chronologie : réception du code non sollicité, perte d’accès, message de compte utilisé sur un autre appareil, contenu des sollicitations envoyées aux proches, sommes éventuellement versées. Visez les trois qualifications quand les faits les portent : accès ou maintien frauduleux, usurpation d’identité sur un réseau en ligne, escroquerie au préjudice des proches payeurs. Demandez que soient requis les journaux de connexion de l’éditeur et de l’opérateur. Si l’enquête piétine, la constitution de partie civile entre les mains du juge d’instruction reste ouverte, avec l’aide d’un avocat.
Parallèlement, la voie administrative protège vos données. L’article 77 du règlement général sur la protection des données ouvre à « toute personne concernée » le « droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». En France, cette autorité est la CNIL, dont la page officielle explique comment adresser une plainte. La réclamation suppose en principe une démarche préalable auprès de l’organisme : écrivez à l’éditeur pour exercer vos droits d’accès et d’effacement, exposez le détournement, exigez la suppression des appareils inconnus et des données frauduleusement associées, et conservez la preuve de cet envoi. Sans réponse satisfaisante sous un mois, ou en cas de refus, saisissez la CNIL en ligne en joignant captures, échanges et récépissé de plainte pénale. Le traitement étant transfrontalier, l’autorité du pays de l’établissement principal de l’éditeur peut intervenir comme cheffe de file, mais votre réclamation déposée en France reste recevable et suivie : l’article 56 du règlement organise cette coopération sans vous priver du guichet français. La CNIL peut alors contrôler, mettre en demeure et sanctionner, selon une gradation que le lecteur peut approfondir grâce à l’article consacré aux sanctions de la CNIL : mise en demeure, amende, injonction et astreinte. Quant aux contenus frauduleux encore visibles, la Cour de cassation a jugé le 26 février 2025, à propos d’un hébergeur, que si nul n’est soumis à une obligation générale de surveillance, le juge peut imposer « une activité de surveillance ciblée et temporaire » : le retrait des messages ou contenus précis issus du piratage peut donc être ordonné sans exiger de l’intermédiaire une surveillance générale impossible.
B. L’action civile et l’indemnisation du préjudice, à condition de le prouver
Le règlement européen arme aussi la victime directe. Son article 15 lui donne « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes », dont les finalités, les catégories de données et les destinataires : vous pouvez exiger de l’éditeur le détail des appareils, sessions et communications de données liés à votre numéro pendant l’incident. Son article 17 lui reconnaît « le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant », notamment quand elles ne sont plus nécessaires, quand le consentement est retiré sans autre fondement, ou en cas d’opposition justifiée. En pratique, demandez l’effacement des associations frauduleuses, des sauvegardes compromises quand vous les avez révoquées, et des contenus publiés par le pirate. L’article 16 complète le dispositif par la rectification des données inexactes, utile quand le pirate a modifié votre profil. Si l’éditeur n’exécute pas, l’article 79 ouvre à « chaque personne concernée » un « droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement ». Le tribunal judiciaire, y compris en référé pour l’urgence, peut ordonner sous astreinte l’accès, la rectification ou l’effacement, et allouer des dommages et intérêts.
L’indemnisation obéit à l’article 82 du règlement : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Mais ce droit n’est pas automatique, et c’est l’apport majeur d’un arrêt récent de la chambre sociale de la Cour de cassation du 24 juin 2026 : la Cour rappelle, au visa de ce texte et de la jurisprudence de la Cour de justice de l’Union européenne, que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », tout en précisant qu’aucun seuil de gravité n’est exigé pour le dommage moral et que la réparation remplit une fonction compensatoire, non punitive. Surtout, « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». En l’espèce, la cour d’appel avait accordé 5 000 euros pour exécution déloyale liée à une violation du règlement sans que le salarié démontre l’existence ni l’étendue de son préjudice : cassation partielle. La leçon vaut pour tout compte piraté : constituez poste par poste le préjudice allégué.
Les postes indemnisables, une fois prouvés, sont variés. Le préjudice matériel comprend les sommes que vous-même auriez versées au pirate, les frais engagés pour sécuriser vos comptes, les pertes liées à l’usage professionnel du numéro quand des clients ou des partenaires ont été démarchés, et les frais d’assistance. Le préjudice moral couvre l’atteinte à votre image auprès de proches sollicités pour de l’argent, l’anxiété d’une exposition de conversations privées, et le temps considérable passé à récupérer le compte et à rassurer l’entourage. Les proches trompés disposent de leur propre action contre l’auteur sur le fondement de l’escroquerie, et peuvent se constituer parties civiles à vos côtés. Face à l’éditeur, l’action se fonde sur la violation du règlement : défaut de sécurité, retard à traiter votre alerte, refus d’accès ou d’effacement. Produisez le récépissé de plainte, les captures datées, les attestations de proches conformes aux exigences de forme, les relevés bancaires des versements, les factures de sécurisation et, le cas échéant, un constat d’huissier des contenus encore visibles. Chiffrez chaque poste avec pièces : un tableau daté, avec une pièce par ligne, convainc mieux qu’une demande globale. Les montants restent à l’appréciation du juge selon les règles internes de réparation, dans le respect de l’équivalence et de l’effectivité du droit de l’Union. Pour les situations voisines sur d’autres réseaux, la démarche probatoire et les qualifications exposées ici complètent utilement l’article consacré au compte Facebook ou Instagram piraté : récupérer, faire supprimer l’usurpation et porter plainte.
Un compte WhatsApp détourné n’est donc ni une fatalité technique ni un simple désagrément : c’est une intrusion punie par la loi pénale, une violation de données qui ouvre des droits précis face à l’éditeur, et un préjudice réparable à condition d’être établi pièce par pièce. Récupérez le compte dans l’heure par réenregistrement et déconnexion des appareils inconnus, sans jamais transmettre un code reçu ; avertissez vos proches par un autre canal ; figez les captures, les codes non sollicités et les relevés ; écrivez à l’éditeur pour conserver puis obtenir les journaux ; déposez plainte en visant l’accès frauduleux, l’usurpation et, le cas échéant, l’escroquerie ; exercez vos droits d’accès et d’effacement puis, en cas d’échec, saisissez la CNIL et le juge. Menée dans cet ordre, avec des preuves datées et un préjudice chiffré, la procédure transforme un piratage subi en dossier solide, et redonne à votre numéro sa seule voix légitime : la vôtre.