À quelques semaines de la sortie du jeu vidéo le plus attendu de l’année, les chercheurs en sécurité d’Avast ont repéré plus de 200 noms de domaine liés à GTA 6 en vingt-quatre heures, dont une vingtaine jugés à risque, avec de fausses précommandes, de faux téléchargements et des arnaques aux cryptomonnaies, selon Clubic le 10 octobre 2026. Le cas le plus abouti, un site qui copie l’apparence du PlayStation Store pour vendre une prétendue « Ultimate Edition », sert en réalité à récupérer les identifiants des visiteurs et à encaisser leurs paiements, avec même un code de connexion à un portefeuille de cryptomonnaies, d’après la même enquête relayée par CNews le 9 octobre 2026. D’autres sites mettent en avant un faux jeton numérique ou cumulent collecte de données de connexion, demandes de paiement et promesses promotionnelles sous une identité visuelle qui rappelle celle du jeu. Pendant ce temps, plus de 4 millions d’exemplaires auraient déjà été précommandés dans les circuits officiels, toujours selon CNews, et l’éditeur a confirmé qu’il n’y aurait pas de version physique, seulement un code de téléchargement dans la boîte, comme le rapporte Gamekult le 11 octobre 2026. Quand on a saisi ses identifiants, son adresse électronique et ses coordonnées bancaires sur l’une de ces fausses boutiques, deux batailles commencent en même temps : empêcher l’usage frauduleux de ses données personnelles et récupérer l’argent versé. Cet article décrit le droit applicable à cette situation précise, à partir des faits tels que la presse les rapporte.

I. Faux site d’achat en ligne : une arnaque qui relève de l’escroquerie et de la contrefaçon

A. Fausse boutique, fausse qualité : les manoeuvres qui caractérisent l’escroquerie

Le site qui imite le PlayStation Store pour vendre une édition qui n’existe pas dans son circuit, le faux jeton adossé à l’univers du jeu, la fausse page de téléchargement pour ordinateur ou pour téléphone : ces montages reposent sur un mécanisme juridique connu, celui de l’escroquerie. L’article 313-1 du code pénal la définit ainsi : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le texte ajoute que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende » (article 313-1 du code pénal).

Concrètement, la fausse boutique qui affiche les codes visuels d’une plateforme connue pour mettre en confiance, le faux compte à rebours avant la sortie, les faux avis de joueurs satisfaits et le faux service client qui répond aux questions : chacun de ces éléments pourrait être regardé comme une manoeuvre frauduleuse au sens de ce texte, dès lors qu’il sert à déterminer le visiteur à saisir ses identifiants et à payer. La copie de l’habillage d’une boutique officielle, relevée par les chercheurs pour le site qui imite le PlayStation Store, pourrait aussi être analysée comme l’usage d’une fausse qualité, celle de vendeur agréé. Seul le juge appréciera la qualification au vu des pièces, mais la structure de l’infraction correspond trait pour trait au scénario décrit par Avast : une tromperie organisée, un paiement provoqué, un préjudice subi.

Deux circonstances aggravantes méritent l’attention des jeunes joueurs et de leurs parents. D’un côté, les peines sont portées à sept ans d’emprisonnement et 750 000 euros d’amende lorsque l’escroquerie est commise « Au préjudice d’une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de son auteur » (article 313-2 du code pénal). Un mineur qui précommande seul avec la carte de ses parents entre typiquement dans le champ de cette protection liée à l’âge. De l’autre, le même article porte les peines à dix ans d’emprisonnement et 1 000 000 euros d’amende « lorsque les escroqueries mentionnées à l’article 313-1 et aux 1° à 4° bis du présent article sont commises en bande organisée ». Les vagues de centaines de domaines créés en une journée, avec partage des rôles entre hébergeurs, graphistes, encaisseurs et blanchisseurs via des portefeuilles de cryptomonnaies, présentent le profil d’une délinquance organisée, ce qu’il reviendra à l’enquête d’établir.

L’usage du nom du jeu et de ses visuels par ces sites soulève une seconde qualification, du côté du droit des marques. L’article L. 713-2 du code de la propriété intellectuelle dispose : « Est interdit, sauf autorisation du titulaire de la marque, l’usage dans la vie des affaires pour des produits ou des services : 1° D’un signe identique à la marque et utilisé pour des produits ou des services identiques à ceux pour lesquels la marque est enregistrée ; 2° D’un signe identique ou similaire à la marque et utilisé pour des produits ou des services identiques ou similaires à ceux pour lesquels la marque est enregistrée, s’il existe, dans l’esprit du public, un risque de confusion incluant le risque d’association du signe avec la marque » (article L. 713-2 du code de la propriété intellectuelle). Un site qui vend un prétendu jeu sous le nom exact du titre, avec une jaquette et des codes graphiques qui reprennent l’univers officiel, crée précisément ce risque de confusion dans l’esprit du public. Cette contrefaçon présumée ouvre au titulaire de la marque ses propres actions en cessation et en réparation, distinctes de l’action des victimes. Pour la victime, elle a une utilité pratique : elle confirme que le site n’a rien d’un revendeur agréé et renforce le dossier de plainte, puisqu’un commerçant légitime n’aurait pas besoin de singer une marque pour vendre.

Enfin, le faux téléchargement pour ordinateur ou le faux fichier d’installation pour téléphone, quand il installe en réalité un programme espion qui lit les mots de passe et les codes bancaires, fait entrer un troisième texte en jeu. L’article 323-1 du code pénal punit : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » et précise que « Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende » (article 323-1 du code pénal). Le joueur qui a exécuté le fichier doit donc faire analyser son appareil sans tarder, changer ses mots de passe depuis un appareil sain et conserver le fichier suspect pour l’enquête, car l’infection de son propre matériel fait partie du préjudice.

B. Identifiants et données siphonnés : usurpation d’identité et collecte frauduleuse

La plupart des faux sites repérés ne se contentent pas d’encaisser un paiement : ils récoltent des identifiants de connexion, des adresses électroniques, parfois des copies de pièces d’identité réclamées pour une prétendue vérification d’âge ou un faux remboursement. Cette moisson de données personnelles appelle deux qualifications pénales spécifiques. D’abord, l’article 226-18 du code pénal dispose : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-18 du code pénal). Le formulaire de la fausse boutique, qui capte des données sous couvert d’une vente qui n’aura jamais lieu, correspond à une collecte par un moyen frauduleux, punie aussi sévèrement que l’escroquerie elle-même.

Ensuite, l’usage qui est fait de ces données après la collecte relève de l’usurpation d’identité. L’article 226-4-1 du code pénal prévoit : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le même article ajoute : « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne » (article 226-4-1 du code pénal). Ouvrir un compte de jeu, un portefeuille de cryptomonnaies ou un crédit à la consommation avec les pièces et les coordonnées récoltées sur la fausse boutique, commander en ligne au nom de la victime, ou se faire passer pour elle auprès de son entourage pour réclamer de l’argent : chacun de ces usages postérieurs pourrait être poursuivi sur ce fondement, en concours avec l’escroquerie initiale.

Le danger ne s’arrête pas au premier débit. Avec une adresse électronique et un mot de passe, les fraudeurs tentent les mêmes identifiants sur les boîtes de messagerie, les réseaux sociaux et les sites bancaires de la victime, puis réinitialisent les accès. Avec une copie de pièce d’identité et un justificatif de domicile, ils peuvent tenter de souscrire des crédits ou des abonnements. C’est pourquoi la découverte du pot aux roses impose de raisonner en deux cercles : le cercle du paiement, qu’il faut contester auprès de la banque, et le cercle de l’identité, qu’il faut verrouiller avant que des comptes ou des contrats ne soient ouverts au nom de la victime. Les développements qui suivent détaillent ces deux cercles dans l’ordre des urgences, en reprenant les questions que les internautes posent réellement : que faire en cas d’usurpation d’identité, comment déposer plainte en ligne, et comment obtenir le remboursement d’un achat sur un faux site.

Un mot sur la situation des mineurs, nombreux parmi les joueurs impatients. Le jeune qui a utilisé la carte bancaire de ses parents sans leur accord n’est pas pour autant privé de tout recours : l’opération reste contestable auprès de la banque selon les règles décrites plus bas, et la vulnérabilité liée à l’âge aggrave pénalement les faits comme on l’a vu. En revanche, les parents ont intérêt à déclarer rapidement l’usage du moyen de paiement par un tiers non autorisé, à faire opposition et à surveiller les relevés, car un second achat effectué après la découverte du premier, sans réaction, serait plus difficile à présenter comme non autorisé. La même vigilance vaut pour les données : un adolescent qui a transmis la copie de sa carte d’identité pour une fausse vérification d’âge expose durablement son identité, et le gel des usages frauduleux décrit ci-après le concerne au premier chef. Comme pour les situations de données personnelles piratées après une cyberattaque, la rapidité de la réaction conditionne l’étendue du préjudice.

II. Usurpation d’identité, que faire : plainte en ligne, banque et verrouillage des données

A. Usurpation d’identité plainte en ligne : signaler, porter plainte et geler les usages

La première heure après la découverte compte double : il faut figer les preuves et couper les usages en cours. Conserver des captures d’écran du site, l’adresse exacte de la page, les courriels de confirmation, les références de commande et les relevés bancaires montrant le débit. Ne pas prévenir le faux vendeur avant d’avoir sauvegardé ces éléments, car ces sites ferment et rouvrent sous un autre nom en quelques heures. Puis engager trois démarches en parallèle : le signalement, la plainte et le verrouillage.

Le signalement passe par la plateforme publique PHAROS, accessible depuis le portail officiel de signalement des contenus illicites, et par le site de la police judiciaire THESEE pour les escroqueries sur internet, dont le dépôt vaut signalement détaillé et oriente vers la plainte. Ces démarches, sans coût pour le déclarant, alimentent les enquêtes sur les vagues de domaines frauduleux comme celle décrite par Avast et permettent le blocage des sites encore actifs. La plainte proprement dite se dépose au commissariat ou à la gendarmerie, après une pré-plainte en ligne sur le portail officiel, en visant les qualifications décrites plus haut : escroquerie, collecte frauduleuse de données, usurpation d’identité et accès frauduleux si un programme malveillant a été installé. Demander un récépissé et le numéro de procès-verbal, indispensables pour la banque et l’assurance. Si un crédit ou un abonnement a déjà été souscrit au nom de la victime, la plainte doit le mentionner précisément, avec les références du contrat, pour que l’organisme prêteur ou l’opérateur soit informé de la fraude. La plateforme nationale d’assistance aux victimes d’actes de cybermalveillance, joignable via cybermalveillance.gouv.fr, met en relation avec des prestataires de proximité et guide les démarches, et la CNIL reçoit les plaintes relatives à l’usage illicite des données personnelles.

Le verrouillage de l’identité suit un ordre méthodique. Changer depuis un appareil sain les mots de passe de la messagerie d’abord, puis des comptes bancaires, des réseaux sociaux et des plateformes de jeu, en activant partout la double authentification. Vérifier les règles de transfert automatique des courriels, que les fraudeurs programment pour recevoir les codes de validation. Surveiller les relevés bancaires ligne par ligne pendant plusieurs semaines, car les petits débits de test précèdent souvent les gros. Interroger les organismes de crédit si un financement a pu être souscrit : tout contrat ouvert avec des pièces volées doit être contesté par courrier avec copie de la plainte. Si des chèques ont été détournés ou si l’adresse a servi à recevoir du courrier frauduleux, prévenir l’établissement bancaire et envisager une opposition ciblée. Sur le plan des données, exercer auprès de tout organisme qui détiendrait des informations issues de la fraude les droits d’accès, de rectification et d’effacement prévus par le droit européen et la loi française, et demander à la CNIL d’intervenir en cas de refus. Ces réflexes valent aussi quand les données ont été livrées volontairement sur le faux formulaire : la collecte frauduleuse reste punissable, et la victime d’une tromperie ne devient pas responsable de l’usage délictueux qui est fait de ses données.

Deux erreurs fréquentes doivent être évitées. La première consiste à payer une seconde somme réclamée pour « débloquer » le remboursement ou pour « vérifier » le compte : c’est la même équipe qui encaisse, et chaque nouveau versement aggrave le préjudice sans ouvrir aucun droit. La seconde consiste à télécharger un prétendu correctif ou un faux justificatif envoyé par les fraudeurs après coup : ces pièces contiennent souvent le programme espion qui manquait au premier acte. Toute pièce reçue du site suspect après la découverte doit être conservée sans être ouverte et remise aux enquêteurs. Enfin, si le joueur avait connecté son portefeuille de cryptomonnaies au site, comme le permettait le code découvert par Avast, il faut révoquer les autorisations accordées, transférer les fonds restants vers une adresse neuve et signaler l’adresse du fraudeur aux plateformes d’échange : les transactions en cryptomonnaies sont par nature difficiles à annuler, ce qui rend la plainte et le signalement d’autant plus importants pour espérer une saisie.

B. Faux site d’achat en ligne remboursement banque : faire revenir le paiement

Le remboursement dépend du moyen de paiement utilisé, mais le principe est favorable à la victime d’une opération non autorisée. L’article L. 133-17 du code monétaire et financier impose d’abord la réaction immédiate : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » (article L. 133-17 du code monétaire et financier). Faire opposition sans tarder, noter le numéro d’opposition et l’heure de l’appel, puis confirmer par écrit. Ce premier geste fige la situation et prouve la diligence de la victime, ce qui pèsera dans la suite.

Vient ensuite la demande de remboursement. L’article L. 133-18 du code monétaire et financier dispose qu’en cas d’opération non autorisée signalée par l’utilisateur, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France » (article L. 133-18 du code monétaire et financier). Le texte ajoute que le prestataire « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu ». Autrement dit, la banque doit rembourser vite, et seule une suspicion motivée de fraude de l’utilisateur lui-même, notifiée par écrit à la Banque de France, peut suspendre ce remboursement. La victime d’un faux site n’est pas l’auteur d’une fraude : elle en est la cible, et la mise en scène qui l’a convaincue de payer, avec copie d’une boutique officielle et fausse édition, établit qu’elle n’a pas autorisé un paiement au fraudeur en connaissance de cause.

Le délai pour agir est large mais impératif. L’article L. 133-24 du code monétaire et financier prévoit que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Treize mois laissent le temps de découvrir un débit passé inaperçu, mais la forclusion est définitive : passé ce délai, la contestation n’est plus recevable. En pratique, contester par écrit dès la découverte, joindre la plainte et les captures, et exiger le remboursement avec remise en état du compte.

Deux décisions récentes montrent comment les juges appliquent ces textes aux fraudes en ligne. La chambre commerciale de la Cour de cassation, dans un arrêt du 28 mars 2018 rendu sur le visa des articles L. 133-16 et L. 133-19 du code monétaire et financier, à propos d’un client victime d’hameçonnage qui avait communiqué ses codes à de faux expéditeurs, a jugé que « c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cour de cassation, chambre commerciale, financière et économique, 28 mars 2018, n° 16-20.018, publié au Bulletin, ECLI:FR:CCASS:2018:CO00346). La banque ne peut donc pas se contenter de constater que la carte ou les codes ont servi : elle doit prouver la fraude ou la négligence grave de son client. Plus récemment, la cour d’appel de Douai, saisie d’un paiement validé par une cliente dans le cadre d’un appel frauduleux où le numéro du service antifraude de sa propre banque s’affichait, a jugé que « Constitue une opération de paiement non autorisée la validation d’un prélèvement par le payeur correspondant à un achat qu’il n’a pas réalisé et dont la réalisation s’est effectuée dans le cadre d’une mise en scène destinée à le convaincre de la nécessité d’y procéder » et que « La seule circonstance que le payeur a utilisé le dispositif d’authentification forte que le PSP met à sa disposition n’implique pas qu’il a autorisé l’opération frauduleuse, étant observé qu’une telle circonstance implique précisément de s’interroger à l’inverse sur l’existence d’une négligence grave imputable au payeur, dans le cadre du régime applicable aux opérations non autorisées » (cour d’appel de Douai, 3e chambre, 6 mars 2025, n° 24/00410, texte de la décision). La cour a condamné la banque à rembourser 2 095 euros. Ces deux décisions convergent : ni l’usage des codes, ni la validation sur le téléphone ne valent autorisation quand une mise en scène frauduleuse a extorqué le consentement, et c’est à la banque de prouver la négligence grave, pas à la victime de prouver sa prudence.

Reste le cas particulier des paiements que la banque présente comme « authentifiés » ou « validés par vos soins ». La validation d’un code reçu par message, quand elle a été arrachée par un faux conseiller qui se fait passer pour le service fraude pendant que le vrai numéro s’affiche, n’est pas un consentement éclairé : c’est l’aboutissement de la manoeuvre, comme l’a jugé la cour de Douai. Le client qui a communiqué ses codes sur une fausse page aux couleurs de sa banque ou d’une boutique officielle n’a pas nécessairement commis une négligence grave : tout dépend des circonstances, de la qualité de l’imitation, de son âge et de son expérience, et la charge de cette preuve pèse sur l’établissement. En cas de refus de remboursement, la réclamation écrite au service dédié de la banque, puis la saisine du médiateur bancaire et, en dernier ressort, l’action devant le tribunal judiciaire avec la plainte et les décisions citées forment l’escalier classique. Pour les sommes payées en cryptomonnaies ou par coupons rechargeables, en revanche, aucun remboursement bancaire n’est à attendre : la trace de la transaction et la plainte visent alors la saisie et la restitution pénale, avec des chances de récupération plus aléatoires que pour un paiement par carte.

Conclusion

Le faux site de précommande concentre en une seule page les trois visages de la cyberdélinquance marchande : une escroquerie qui extorque le paiement, une collecte frauduleuse qui moissonne les données, et une usurpation d’identité qui les exploite. Le droit répond sur les trois plans : cinq ans d’emprisonnement et 375 000 euros d’amende pour l’escroquerie, avec aggravation possible quand la victime est vulnérable par son âge ; cinq ans et 300 000 euros pour la collecte frauduleuse de données ; un an et 15 000 euros pour l’usurpation commise en ligne ; et, côté civil, un remboursement bancaire rapide de l’opération non autorisée, à charge pour la banque de prouver la fraude ou la négligence grave du client. La victime qui découvre la supercherie n’a qu’un ordre de marche à retenir : figer les preuves, signaler et porter plainte en ligne, faire opposition et contester par écrit auprès de sa banque dans le délai de treize mois, puis verrouiller son identité compte par compte. Les faux domaines décrits par Avast auront disparu et renaîtront sous d’autres noms bien avant la sortie du jeu ; les démarches accomplies dans les premières heures, elles, resteront valables quel que soit le nom du prochain site.