Vos allocations n’arrivent plus, votre espace personnel affiche un IBAN que vous n’avez jamais saisi, puis une lettre vous réclame un trop-perçu de plusieurs milliers d’euros : votre compte France Travail a probablement été piraté. L’intrus modifie les coordonnées bancaires, détourne les versements et laisse derrière lui des actualisations falsifiées que l’opérateur vous attribue. Pour un demandeur d’emploi, dont l’allocation est souvent le seul revenu, le choc est double : plus de ressources d’un côté, une dette réclamée de l’autre. La sortie de cette situation suit un ordre précis : couper l’accès et signaler par écrit, constituer un dossier de preuve, contester l’indu dans les délais devant le bon juge, puis faire sanctionner l’auteur et obtenir réparation. Chaque étape repose sur des textes et des décisions vérifiables, exposés ci-après.

I. Reprendre la main sur le compte et figer les preuves

A. Couper l’accès au plus vite et signaler par écrit

Le premier réflexe consiste à reprendre le contrôle du compte. Lorsque la connexion reste possible, le mot de passe doit être modifié sans attendre, puis les informations personnelles vérifiées une à une : adresse électronique, numéro de téléphone, coordonnées bancaires. Lorsqu’un IBAN inconnu figure dans le dossier, il faut le faire rectifier et demander à France Travail sur quel compte les derniers versements ont été effectués. Lorsque la connexion est impossible, parce que l’adresse électronique ou le mot de passe a été modifié par l’intrus, l’accès doit être signalé immédiatement à l’agence, par l’espace personnel d’un proche ou, à défaut d’accès à Internet, par courrier adressé à l’agence France Travail.

Face à une décision contestée, France Travail invite à déposer d’abord une réclamation auprès de son agence, de préférence via la messagerie de l’espace personnel, et à défaut d’accès à Internet par courrier adressé à l’agence ; le service recommande de conserver un écrit de cette réclamation, utile si le désaccord persiste (comment contester une décision de France Travail) Chaque envoi doit donc être conservé avec sa date : copie du message, accusé de dépôt, récépissé postal ou accusé de réception.

Parallèlement, la situation doit être actualisée. L’opérateur invite les allocataires à actualiser chaque mois leur situation et à signaler tout changement sous 72 heures afin d’éviter les trop-perçus (je dois rembourser France Travail à la suite d’un trop-perçu). Un piratage constitue un changement de situation au sens de cette obligation : le signaler dans les 72 heures permet de dater la prise de connaissance de l’incident et d’éviter que des actualisations effectuées par l’intrus soient ensuite attribuées à l’allocataire. Lorsque de fausses déclarations ont été enregistrées depuis le compte piraté, il faut les désavouer expressément et par écrit, en indiquant à partir de quelle date l’accès a été perdu.

Lorsque les versements ont été détournés, il faut demander à l’agence, par écrit, le relevé détaillé des paiements effectués : mois concernés, montants, comptes destinataires. Ce relevé distingue les sommes que l’allocataire a réellement perçues de celles qui ont été versées sur le compte frauduleux, et il fonde la contestation chiffrée de l’indu. Les messages électroniques annonçant un changement de coordonnées bancaires doivent être conservés avec leurs en-têtes, car ils datent l’intrusion et montrent si l’allocataire a été averti ou non.

La sécurisation ne s’arrête pas à l’espace France Travail. L’adresse électronique de contact doit elle aussi être vérifiée, car l’intrus s’en sert pour intercepter les codes et les notifications ; son mot de passe doit être renouvelé et la double validation activée lorsqu’elle est proposée. Les proches dont les coordonnées figurent dans le dossier n’ont en principe rien à modifier, mais l’allocataire a intérêt à les prévenir si des messages frauduleux ont pu être envoyés en son nom depuis le compte détourné.

Enfin, les versements doivent être sécurisés. Si les allocations continuent d’être versées sur un IBAN frauduleux, il faut demander par écrit la suspension des paiements vers ce compte et la régularisation des sommes dues sur le véritable compte. Toute demande téléphonique doit être confirmée par un écrit conservé, car seuls les écrits prouvent en cas de litige ultérieur sur les sommes réclamées ou versées.

B. Constituer un dossier de preuve solide

Le dossier de preuve se construit dès les premières heures. Il comprend d’abord les traces du piratage : messages électroniques de modification de coordonnées que l’allocataire n’a pas demandée, notifications de connexion inhabituelles, relevés bancaires montrant l’absence de versement ou le versement sur un autre compte, captures d’écran datées de l’espace personnel, copies des courriers de notification d’indu. Les relevés bancaires méritent une attention particulière : ils établissent que les fonds n’ont pas atteint le compte de l’allocataire et, lorsque le relevé France Travail mentionne un autre IBAN, ils documentent le détournement.

Le deuxième volet du dossier concerne les démarches : réclamation initiale et sa preuve de dépôt, signalement du changement de situation, demandes de suspension et de régularisation, réponses de l’agence. La chronologie doit être précise, car plusieurs délais courent à compter de dates exactes : le recours contre l’indu part de la notification, comme le verra la seconde partie.

Le troisième volet est pénal et administratif. Une plainte doit être déposée auprès des services de police ou de gendarmerie pour accès frauduleux à un système de traitement automatisé de données et escroquerie. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » (article 323-1 du code pénal). La Cour de cassation juge que se rend coupable de ce délit « celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès » (Cass. crim., 2 septembre 2025, n° 24-83.605). Dans cette affaire, la Cour a aussi confirmé l’indemnisation du préjudice moral de la victime à hauteur de 10 000 euros, retenant que les faits, « au mépris de la confiance », avaient « causé directement à ce dernier un préjudice certain et important, évalué à la somme de 10 000 euros ». Le détournement d’allocations relève en outre de l’escroquerie : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal). Lorsque l’usurpation d’identité accompagne le piratage, l’article 226-4-1 du code pénal s’applique si les faits sont commis « en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération », avec des peines d’un an d’emprisonnement et de 15 000 euros d’amende, « punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne » (article 226-4-1 du code pénal).

Le préjudice doit être chiffré dès ce stade, mois par mois : allocations non perçues, frais bancaires liés aux rejets, coûts des démarches, jours sans ressources. Ce tableau servira la demande d’indemnisation, qu’elle soit portée devant le juge judiciaire au titre de l’indu ou devant le juge pénal par la constitution de partie civile, ou encore fondée sur le droit à réparation du règlement européen. La Cour de cassation exige en effet du demandeur qu’il établisse non seulement la violation, mais aussi le dommage matériel ou moral qu’elle lui a causé, comme le rappelle l’arrêt du 24 juin 2026 cité dans la seconde partie.

Les originaux des pièces doivent rester entre les mains de l’allocataire : seuls des copies sont adressées à l’agence, au médiateur ou au tribunal, les originaux étant présentés sur demande. Cette précaution évite toute perte dans les transferts entre services et permet de reconstituer le dossier à l’identique si une pièce est égarée. Chaque envoi mentionne la liste des pièces jointes, ce qui rend toute perte immédiatement détectable.

Le récépissé de plainte rejoint le dossier : il date les faits, matérialise le préjudice et appuie les demandes adressées à France Travail, à la CNIL et, le cas échéant, au juge.

II. Contester l’indu et obtenir réparation

A. Contester le trop-perçu dans les délais et devant le bon juge

Lorsque France Travail réclame un indu correspondant à des allocations détournées, la contestation suit un ordre impératif. Le débiteur qui conteste l’indu « forme un recours gracieux préalable devant le directeur général de l’opérateur France Travail dans un délai de deux mois à compter de la date de notification de l’indu par l’opérateur France Travail » (article R.5426-19 du code du travail). Ce recours préalable est une condition de recevabilité du recours juridictionnel : le tribunal judiciaire d’Amiens a ainsi rejeté le recours d’un allocataire qui « n’a manifestement pas exercé de recours gracieux préalable auprès du directeur de l’organisme » et qui ne produisait pas la décision contestée (TJ Amiens, 5 mai 2025, RG 25/00109). Dans le même sens, le juge de la mise en état du tribunal judiciaire de Montpellier a été saisi d’une fin de non-recevoir tirée du défaut de recours gracieux préalable contre des décisions de trop-perçu et de fin d’indemnisation (TJ Montpellier, ordonnance du 30 juin 2026, RG 24/02759). Avant tout recours au tribunal, le courrier de recours gracieux doit donc être adressé au directeur général dans les deux mois de la notification, en exposant que les sommes ont été détournées à la suite du piratage et en joignant le récépissé de plainte et les preuves du détournement.

Si l’administration ne répond pas, le silence gardé pendant plus de deux mois vaut rejet : « le silence gardé pendant plus de deux mois sur un recours administratif par l’autorité compétente vaut décision de rejet » (article L.411-7 du code des relations entre le public et l’administration). Pour l’indu, le même article précise la suite : « Conformément aux dispositions de l’article L. 411-7 du code des relations entre le public et l’administration, lorsque la décision du directeur général de l’opérateur France Travail sur ce recours gracieux n’a pas été portée à la connaissance du requérant dans le délai de deux mois, l’intéressé peut considérer sa contestation comme rejetée. Il peut alors, s’il le souhaite, se pourvoir devant le juge compétent. » (article R.5426-19 du code du travail) Le justiciable n’est donc pas prisonnier du silence : après deux mois sans réponse, la voie du tribunal est ouverte.

Chaque notification reçue pendant la procédure doit être lue jusqu’au bout, car elle porte les voies et délais de recours propres à la décision qu’elle notifie. Un indu, une radiation et un refus d’effacement ne relèvent pas toujours du même juge ni des mêmes délais, et c’est la mention portée sur la notification qui fait foi pour le calcul. En cas de doute entre le pôle social du tribunal judiciaire et le tribunal administratif, le recours gracieux préalable reste dans tous les cas le premier pas utile, sans préjuger de la voie juridictionnelle ouverte ensuite.

En pratique, France Travail organise ce parcours en trois étapes : d’abord la réclamation auprès de l’agence, ensuite le médiateur régional si la réponse ne satisfait pas, enfin le tribunal, judiciaire ou administratif selon le type de décision et dans les délais portés à la notification émise par France Travail (comment contester une décision de France Travail). Pour les litiges portant sur le caractère indu des allocations, le tribunal compétent est le pôle social du tribunal judiciaire. Le recours doit reprendre l’argumentation du recours gracieux, chiffrer les sommes détournées mois par mois et solliciter la décharge de l’indu correspondant aux versements détournés, ainsi que la régularisation des droits sur le bon compte.

Le médiateur régional mérite une démarche soignée : Chaque médiateur régional intervient de façon indépendante pour favoriser un échange constructif avec les services, et une charte précise les modalités de la médiation (comment contester une décision de France Travail). Le dossier transmis au médiateur reprend l’ensemble des pièces : preuve du piratage, plainte pénale, recours gracieux, relevé des versements détournés. Pour certaines décisions, la saisine préalable du médiateur régional est obligatoire avant de pouvoir saisir le juge administratif si le désaccord persiste ; en matière d’indu d’allocations, le juge compétent reste le pôle social du tribunal judiciaire, saisi après le recours gracieux et, le cas échéant, l’échec de la médiation.

Pendant la contestation, la question du remboursement se pose. France Travail indique qu’à compter de la notification du trop-perçu, l’allocataire dispose d’un mois à compter de la notification pour rembourser (je dois rembourser France Travail à la suite d’un trop-perçu). Mais le paiement ne signifie pas l’acceptation : il est possible de payer pour éviter les majorations ou les retenues tout en contestant par ailleurs, en l’indiquant expressément dans le courrier d’accompagnement. Le même service précise que l’allocataire peut demander un échelonnement du remboursement jusqu’à 24 mensualités par prélèvement, solliciter un effacement total ou partiel en cas d’impossibilité de rembourser, et, s’il conteste le trop-perçu, adresser un courrier argumenté à son agence. Ces trois voies, échelonnement, effacement et contestation argumentée, gagnent à être combinées dans un même courrier : contestation argumentée pour la part détournée, demande d’effacement pour la part que la situation financière ne permet pas d’absorber, et échelonnement pour le solde éventuel. Cette articulation évite l’écueil le plus fréquent, qui consiste à payer sans contester puis à découvrir que le paiement est invoqué comme une reconnaissance de dette, ou à l’inverse à ne rien payer sans rien écrire et à laisser courir les délais de recours.

Un point mérite d’être souligné : l’allocataire victime d’un piratage n’est pas dans la situation du demandeur sanctionné pour fausse déclaration. Lorsque la radiation ou l’indu repose sur des actualisations falsifiées par l’intrus, la preuve du piratage renverse la lecture du dossier. Sur la contestation des sanctions de radiation proprement dites, les recours suivent la même architecture de réclamation, médiation puis juge, comme l’expose l’article consacré à la radiation par France Travail pour fausse déclaration et aux moyens de la contester.

B. Faire sanctionner l’auteur et obtenir réparation du préjudice

Le volet répressif appartient au procureur et au juge pénal, mais la victime y tient sa place par la plainte et la constitution de partie civile. L’accès frauduleux au compte et le détournement des allocations exposent l’auteur aux peines des articles 323-1 et 313-1 du code pénal, rappelées plus haut. La constitution de partie civile devant le tribunal correctionnel permet de demander réparation du préjudice matériel, c’est-à-dire les allocations détournées non restituées, et du préjudice moral lié à l’intrusion et aux démarches. L’arrêt du 2 septembre 2025 montre qu’un préjudice moral découlant directement d’une intrusion dans un système de traitement automatisé peut être indemnisé à hauteur de 10 000 euros lorsque les juges constatent un préjudice certain (Cass. crim., 2 septembre 2025, n° 24-83.605).

Le volet administratif relève de la CNIL. Toute personne qui estime qu’un traitement de données la concernant viole le règlement européen peut saisir l’autorité de contrôle : toute personne qui estime qu’un traitement de données la concernant viole le règlement européen peut introduire une réclamation auprès de l’autorité de contrôle, sans préjudice de tout autre recours (article 77 du RGPD). La plainte à la CNIL peut porter sur le traitement des données du compte par l’opérateur, et le manquement allégué doit être précis : défaut de sécurisation de l’authentification, maintien de versements sur un IBAN signalé comme frauduleux, conservation de données inexactes malgré le signalement.

Le volet indemnitaire de droit commun repose sur l’article 82 du RGPD : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (Cass. soc., 24 juin 2026, n° 24-22.792, point 5, qui reproduit l’article 82, paragraphe 1, du RGPD). La Cour de cassation vient d’en préciser le régime : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et le texte « il s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » (Cass. soc., 24 juin 2026, n° 24-22.792). La même décision rappelle que le droit à réparation « remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive », et que le demandeur doit établir « non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». Concrètement, la victime d’un piratage de compte France Travail doit donc prouver son dommage : allocations non perçues, frais exposés, temps et démarches, atteinte morale liée à la privation de revenus de remplacement. En revanche, aucun seuil de gravité ne lui sera opposé pour son préjudice moral, et l’indemnisation couvrira l’intégralité du préjudice prouvé, sans majoration punitive.

Reste la question des obligations de l’opérateur face à l’incident. Lorsqu’une violation de données est établie, le responsable du traitement notifie la violation à l’autorité de contrôle dans les meilleurs délais et si possible sous 72 heures après en avoir pris connaissance, sauf absence de risque pour les droits et libertés des personnes (article 33 du RGPD). Et lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne, le responsable la lui communique dans les meilleurs délais (article 34 du RGPD). La CNIL précise que ces obligations varient selon le risque et que l’information des personnes concernées doit être la priorité du responsable du traitement, car elle leur permet de prendre des mesures de protection (les règles à suivre en cas de violation de données personnelles). Pour l’allocataire, ces textes fondent deux demandes précises : que l’incident soit traité comme une violation de données, et qu’il en soit informé avec les mesures à prendre, notamment la surveillance de ses comptes et la sécurisation de son identité.

Au terme de ce parcours, mené sans attendre et par écrit, le dossier complet comprend la preuve du piratage, le récépissé de plainte, la réclamation et le recours gracieux formés dans les deux mois de la notification d’indu, la saisine du médiateur puis, si nécessaire, du tribunal, la plainte à la CNIL et la demande d’indemnisation chiffrée du préjudice matériel et moral. Menées dans cet ordre, ces démarches transforment une situation subie, un compte vidé et une dette réclamée, en un litige documenté où chaque euro détourné et chaque jour sans allocation compte.

Conclusion : un compte vidé ne fait pas une dette due

Un compte France Travail piraté cumule trois préjudices : des allocations détournées, un indu réclamé à la victime et des données personnelles compromises. Aucun de ces trois ne doit être subi sans réagir. La reprise en main du compte et le signalement écrit dans les 72 heures figent la situation, le récépissé de plainte et le relevé des versements documentent le détournement, le recours gracieux formé dans les deux mois de la notification préserve l’accès au juge, et les articles 33, 34, 77 et 82 du RGPD ouvrent la voie administrative et indemnitaire. Les décisions citées montrent que les juges rejettent les recours formés sans recours préalable, mais indemnisent le préjudice prouvé sans exiger de seuil de gravité. Dans ce cadre, la victime qui écrit vite, chiffre tout et conteste dans les délais transforme une dette réclamée à tort en un dossier de réparation.