Un paiement PayPal que vous n’avez pas autorisé apparaît dans votre historique, un retrait vers un compte inconnu, un mot de passe modifié sans votre accord : le réflexe consiste à penser à un simple incident technique, alors que le droit y voit une opération de paiement non autorisée et, souvent, une atteinte à des données personnelles. Les deux volets avancent ensemble : récupérer l’accès au compte, puis contester chaque débit et demander réparation. La procédure PayPal ne remplace ni le régime légal de remboursement des opérations non autorisées, ni la plainte pénale, ni le recours devant la CNIL ou le juge. Cet article décrit la méthode complète, dans l’ordre utile : sécuriser, prouver, contester, puis obtenir réparation.
I. Reprendre la main sur le compte et figer les preuves
A. Bloquer, sécuriser et alerter les prestataires concernés
La première mesure consiste à empêcher de nouveaux débits. Lorsqu’il a connaissance du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur en informe sans tarder son prestataire aux fins de blocage, comme le prévoit l’article L. 133-17 du code monétaire et financier : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Concrètement, changez immédiatement le mot de passe PayPal depuis un appareil sain, révoquez les sessions actives, activez la vérification en deux étapes, puis supprimez ou faites opposition sur la carte et le compte bancaire rattachés si des débits ont transité par eux.
PayPal organise son propre canal de signalement et il faut l’utiliser sans attendre. L’aide officielle indique : l’aide en ligne de PayPal invite à avertir immédiatement via le Gestionnaire de litiges, en cliquant sur Signaler un problème puis en déclarant une activité non autorisée La procédure en ligne prévoit de passer par le Gestionnaire de litiges, de cliquer sur Signaler un problème, de sélectionner le paiement puis de choisir l’activité non autorisée. Une fois le signalement enregistré, PayPal annonce étudier la situation puis répondre par courriel sous dix jours Ce délai propre à PayPal ne suspend pas les délais légaux de contestation : conservez la confirmation du signalement, les numéros de dossier et chaque courriel reçu.
Prévenez aussi votre banque lorsque la carte ou le compte adossé à PayPal a servi à alimenter les paiements. L’opposition sur la carte stoppe les utilisations à venir, tandis que la contestation écrite des débits auprès de la banque ouvre le régime légal de remboursement examiné plus loin. Si l’accès à la boîte mail liée au compte PayPal est également compromis, sécurisez-la en priorité, car l’attaquant s’en sert pour valider les changements de mot de passe et intercepter les codes. Notez les dates et heures de chaque action : elles démontrent que vous avez réagi sans tarder.
Si l’adresse électronique du compte a été modifiée par l’intrus, passez par la procédure de récupération de compte de PayPal puis par votre fournisseur de messagerie : prouvez que vous êtes le titulaire historique au moyen des anciennes factures, des numéros de carte masqués déjà enregistrés et des appareils précédemment utilisés. Vérifiez les règles de transfert automatique de votre messagerie, les adresses de secours ajoutées à votre insu et les applications tierces autorisées à lire vos courriels, car le maintien d’un accès détourné à la boîte mail ruine toute remise en sécurité du compte PayPal. Lorsque le pirate a souscrit des paiements automatiques ou des abonnements au départ du compte, résiliez chaque autorisation dans les paramètres de paiement après avoir exporté la liste, et contestez séparément les prélèvements déjà exécutés, car la résiliation ne vaut pas contestation des sommes passées.
B. Constituer un dossier de preuve exploitable par PayPal, la banque et le juge
Un dossier solide distingue le remboursement rapide du litige qui s’enlise. Capturez l’historique PayPal complet avec les dates, montants, bénéficiaires et adresses de livraison inconnues, les courriels de confirmation de commande ou de modification de compte que vous n’avez pas déclenchés, et les journaux de connexion si PayPal les affiche. Ajoutez les relevés bancaires montrant les débits correspondants, les SMS d’alerte, et la preuve du changement de mot de passe et de l’activation de la double authentification. Chaque pièce doit porter une date certaine : export PDF, capture avec l’URL et l’horodatage visibles, conservation des en-têtes des courriels suspects.
Faites constater l’inhabituel : connexions depuis une adresse IP ou un pays où vous ne vous trouviez pas, bénéficiaires jamais contactés, montants incompatibles avec vos habitudes, livraisons à une adresse inconnue. Si vous recevez des courriels d’hameçonnage imitant PayPal, conservez-les avec leurs en-têtes complètes au lieu de les transférer, car l’en-tête contient l’expéditeur réel. Déposez plainte rapidement, en ligne ou au commissariat, pour usurpation d’identité et escroquerie : l’article 226-4-1 du code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », et précise que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » L’escroquerie, de son côté, est définie par l’article 313-1 du code pénal comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds », et « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Le récépissé de plainte appuie chaque contestation et ouvre l’accès à l’enquête sur le bénéficiaire des fonds.
La méthode rejoint celle des autres fraudes aux comptes de paiement : identifier les opérations une par une, les signaler par écrit, et garder la preuve de chaque envoi. Pour une fraude voisine par ouverture d’un produit à votre nom, la démarche de contestation et de correction du fichage est décrite dans l’analyse consacrée au compte bancaire ouvert à votre insu, utile quand le pirate a aussi utilisé vos données auprès d’autres établissements.
Classez les pièces par opération : pour chaque débit, une pochette avec la capture PayPal, le relevé bancaire correspondant, le courriel lié et la référence du signalement dans le Gestionnaire de litiges. Cette présentation permet à PayPal, à la banque puis au tribunal de vérifier ligne à ligne que l’opération n’a pas été autorisée, sans se perdre dans un dossier en vrac. Si un proche a pu utiliser le compte, ne dissimulez pas ce point : PayPal le contrôle systématiquement et l’aide officielle invite à vérifier cette hypothèse avant de conclure à la fraude. Un aveu tardif d’utilisation familiale fragilise l’ensemble des contestations, tandis qu’une attestation claire du proche niant toute utilisation renforce le dossier.
N’admettez par écrit ni négligence ni partage de codes : la répartition des responsabilités dépend de faits précis, examinés avec le régime du plafond de 50 euros et de la négligence grave dans la seconde partie.
II. Contester les paiements et obtenir réparation
A. Exiger le remboursement des opérations non autorisées
Le régime légal ne dépend pas du bon vouloir de PayPal. L’article L. 133-18 du code monétaire et financier prévoit que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le même article ajoute que le prestataire rétablit le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et organise des intérêts majorés en cas de retard. Concrètement, adressez à PayPal et, le cas échéant, à votre banque une contestation écrite opération par opération, avec dates, montants et mention expresse du caractère non autorisé, puis exigez le remboursement et le rétablissement du compte.
Le délai de signalement conditionne le droit. L’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Signalez donc sans tarder et, en tout état de cause, dans les treize mois du débit, sous peine de forclusion, sauf défaut d’information du prestataire. Un signalement tardif au sens de ce texte fait perdre le bénéfice du remboursement automatique, même si la fraude est réelle.
La charge de la preuve pèse sur le prestataire, pas sur vous. Les juges rappellent qu’il appartient à l’établissement d’établir que les opérations ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique. Dans une affaire de paiements par carte contestés, le tribunal judiciaire de Versailles, dans son jugement du 25 juillet 2024 (RG 23/03752, affaire d’opérations par carte contestées pour 14 774,97 euros), a condamné l’établissement à rembourser plus de 14 000 euros, faute pour la banque d’avoir prouvé que les opérations avaient été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’avaient pas été affectées par une déficience technique, en application des articles L. 133-18 et suivants du code monétaire et financier. La leçon vaut pour PayPal : un simple relevé informatique ou l’affirmation que l’opération a été validée ne suffit pas si l’authentification forte n’est pas démontrée.
Deux limites doivent être vérifiées avant de chiffrer la demande. D’abord, l’article L. 133-19 du code monétaire et financier prévoit qu’« En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » Ce plafond ne s’applique qu’avant l’information aux fins de blocage et sous conditions, notamment l’utilisation des données de sécurité personnalisées. Ensuite, le même article met à la charge du payeur toutes les pertes en cas d’agissement frauduleux ou de manquement intentionnel ou par négligence grave aux obligations de sécurité. Conserver ses codes, ne pas les transmettre, s’opposer sans tarder : ces comportements écartent le reproche de négligence grave. Si PayPal ou la banque oppose la négligence grave ou la fraude de l’utilisateur, elle doit le démontrer et, en cas de soupçon de fraude, le notifier par écrit à la Banque de France.
Distinguez le cas du paiement frauduleux du litige commercial ordinaire. La protection des achats PayPal couvre la non-réception ou la non-conformité d’un objet dans une transaction entre acheteur et vendeur, avec ses propres conditions et délais contractuels, tandis que l’activité non autorisée relève du régime légal des opérations non autorisées décrit dans cette partie. Qualifiez chaque dossier du bon côté : un paiement que vous n’avez jamais ordonné n’est pas un litige sur la qualité d’un article, et l’invoquer comme tel expose à un rejet pour mauvais fondement. Si le pirate a utilisé votre compte pour vendre de faux objets et encaisser des tiers, conservez aussi les réclamations de ces acheteurs : elles confirment que le compte était aux mains d’un tiers et écartent l’idée d’une opération personnelle déguisée.
Articulez les deux guichets sans les confondre. Le Gestionnaire de litiges PayPal traite la réclamation contractuelle et peut aboutir à l’annulation du paiement ou au remboursement selon ses règles de protection. La contestation fondée sur les articles L. 133-18 et suivants vise le prestataire de services de paiement et ouvre le remboursement légal avec rétablissement du compte. Menez les deux en parallèle, par écrit, en rappelant les références légales et en joignant le récépissé de plainte et les preuves. Si PayPal a prélevé votre carte ou votre compte bancaire, contestez aussi auprès de votre banque dans les mêmes délais, car chaque prestataire répond de sa propre part de la chaîne de paiement.
B. Protéger les données, saisir la CNIL et faire juger le préjudice
Un compte PayPal piraté est aussi une violation de données personnelles : identifiants, coordonnées, historique d’achats, carte et compte bancaire, parfois pièce d’identité. Exercez vos droits auprès de PayPal : droit d’accès pour obtenir la copie des données et des journaux de connexion, droit d’opposition et de limitation, demande d’effacement des données non nécessaires, comme le permet la procédure décrite dans l’article consacré au droit d’accès resté sans réponse. Exigez la liste des destinataires auxquels vos données ont été transmises et la correction des informations altérées par le pirate. Si PayPal a subi une faille ou si le détournement révèle une protection insuffisante, le cadre européen s’ajoute au litige individuel : le règlement européen impose au responsable du traitement des mesures de sécurité adaptées au risque, la notification des violations de données à l’autorité de contrôle et l’information des personnes concernées quand la violation présente un risque élevé pour leurs droits et libertés. Demandez par écrit si une notification a été adressée à l’autorité et si vous auriez dû être informé : la réponse éclaire le juge sur la réalité des manquements et appuie la demande de réparation.
Saisissez la CNIL par une plainte en ligne après avoir effectué une démarche auprès de PayPal restée sans réponse satisfaisante, en joignant les échanges, les captures et le récépissé de plainte pénale. La Commission peut instruire, mettre en demeure et sanctionner les manquements à la sécurité et aux droits des personnes, ce qui pèse dans la négociation et éclaire le juge. Sur le terrain pénal, la plainte pour usurpation d’identité et escroquerie permet de viser les auteurs et de demander le blocage des flux, tandis que la constitution de partie civile ouvre la réparation devant le juge répressif. Sur le terrain civil, le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation de ses dispositions le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Les préjudices réparables comprennent les sommes non remboursées, les frais bancaires et d’opposition, le temps passé, et le préjudice moral lié à l’intrusion et à l’angoisse de l’utilisation des données, à condition de les justifier pièce par pièce : le tribunal de Versailles cité plus haut a rejeté la demande de 2 000 euros de préjudice moral faute de caractérisation, ce qui montre l’exigence de preuve.
Chiffrez la demande avec méthode : total des opérations non autorisées diminué des remboursements déjà obtenus, frais annexes justifiés, intérêts en cas de retard de remboursement, préjudice moral documenté par attestations et pièces médicales le cas échéant. Adressez une mise en demeure récapitulative à PayPal et à la banque avant d’assigner, en visant les textes et la jurisprudence cités. Devant le tribunal judiciaire, demandez le remboursement, le rétablissement du compte, les intérêts et la réparation du préjudice lié à la violation des données.
En cas de refus persistant, saisissez le médiateur désigné par le prestataire après le rejet écrit de la réclamation, puis portez le différend devant le tribunal judiciaire du lieu de votre domicile pour un litige de consommation ou du lieu d’exécution du service de paiement, en joignant la chronologie complète et les textes visés. Les habitants de Paris et d’Île-de-France déposent leur plainte pénale au commissariat de leur arrondissement ou au tribunal judiciaire de Paris pour la partie civile, et adressent leurs signalements à la CNIL dont le siège instruit les plaintes nationales : regroupez les envois par lettre recommandée avec accusé de réception et conservez les avis de passage, car la preuve de l’envoi et de la réception conditionne l’examen des délais.
Conservez l’intégralité des preuves jusqu’à l’exécution, car l’affaire peut exiger la démonstration tardive de l’absence d’authentification forte ou de la défaillance de sécurité.
Vérifiez enfin les comptes reliés : boutique en ligne, place de marché, service de transfert et portefeuille mobile qui utilisaient PayPal comme moyen de règlement. Révoquez les jetons d’accès accordés à ces marchands, changez leurs mots de passe lorsqu’ils partagent l’adresse électronique compromise, et surveillez pendant plusieurs semaines les tentatives de réinitialisation. Cette surveillance prolongée prouve, si de nouvelles tentatives surviennent, que la compromission initiale dépassait le seul mot de passe PayPal et justifie le maintien des mesures de blocage et des contestations.
Les tentatives de récupération se multiplient dans les jours qui suivent : courriels imitant le service antifraude, faux conseillers qui réclament un code reçu par SMS, pages de connexion copiées qui aspirent le nouveau mot de passe. Ne composez aucun numéro reçu par message et ne cliquez sur aucun lien de réinitialisation non sollicité : passez toujours par l’application officielle ou par l’adresse saisie manuellement, puis vérifiez dans les paramètres que le numéro de téléphone et l’adresse de secours sont bien les vôtres. Chaque tentative signalée à PayPal et jointe au dossier démontre la persistance de l’attaque et justifie le maintien des oppositions.
Lorsque plusieurs opérations ont été exécutées le même jour vers le même bénéficiaire, contestez chacune séparément plutôt que par un montant global : un remboursement partiel accordé rapidement ne doit pas être interprété comme une acceptation du solde, et chaque ligne conserve son propre régime de preuve. Réclamez par écrit le détail des vérifications effectuées par le prestataire pour chaque opération, notamment la nature de l’authentification invoquée et la date de sa mise en œuvre, car ces éléments conditionnent l’application du plafond de cinquante euros et l’exclusion de toute négligence grave. Un refus motivé uniquement par une formule générale, sans démonstration opération par opération, reste contestable devant le médiateur puis devant le tribunal.
Conclusion
Un compte PayPal piraté se traite comme une fraude aux paiements et comme une atteinte aux données : bloquer sans tarder, signaler chaque opération non autorisée par écrit dans les délais légaux, exiger le remboursement avec rétablissement du compte, puis saisir la CNIL et le juge pour la protection des données et la réparation intégrale. La charge de prouver l’authentification repose sur le prestataire, et le plafond de 50 euros comme la forclusion de treize mois se lisent dans les textes cités, pas dans les conditions générales. Un dossier daté, complet et articulé autour de ces fondements transforme un litige d’assistance en demande exigible.