Le 22 septembre 2026, la requête « cyberattaque » fait partie des recherches en forte progression en France, avec un volume supérieur à 1 000 recherches et une croissance mesurée à +500 % par Google Trends, pour une tendance démarrée le 22 septembre 2026 à 11 h 40 et toujours active au moment de la rédaction. Les internautes ne cherchent pas la définition du mot : ils tapent « cyberattaque éducation nationale », « cyberattaque crédit agricole aujourd’hui », « cyberattaque la banque postale aujourd’hui », « cyberattaque france aujourd’hui », « cyberattaque en cours », « cyberattaque dgfip » et « cyberattaque impôts ». Autrement dit, des clients qui se demandent si leur banque, leur administration fiscale ou un service public a été visé, et ce qu’ils doivent faire de l’alerte reçue ou du message qui se présente comme leur banque. La veille de ce pic, le 21 septembre 2026, la Cour des comptes européenne a publié un rapport qui critique des lacunes dans l’action de l’Union contre les incidents de cybersécurité, avec un partage d’information « limité » entre les vingt-sept États membres, des faiblesses dans les signalements et un budget total de 1,4 milliard d’euros pour la cybersécurité sur la période 2021-2027, tandis que la directive dite « NIS 2 », qui oblige notamment à déclarer aux autorités les incidents, n’a toujours pas été transposée par tous les États membres, notamment la France, près de deux ans après l’expiration de la date limite, selon les comptes rendus du Le Figaro avec AFP du 21 septembre 2026 et de BFM Tech du 21 septembre 2026. Le 22 octobre 2025, la chambre commerciale de la Cour de cassation a en outre rejeté le pourvoi de la Caisse de crédit agricole mutuel des Savoie contre un jugement qui l’avait condamnée à rembourser un client victime d’un courriel frauduleux, rappelant les conditions dans lesquelles la banque doit rembourser une opération non autorisée. Ce guide explique le droit applicable aux deux faces de la situation : côté client d’une banque qui reçoit une alerte ou constate un virement suspect, et côté entreprise ou dirigeant qui doit notifier, sécuriser et indemniser. Chaque affirmation déterminante renvoie au texte exact ou à la décision citée.

I. Cyberattaque crédit agricole aujourd’hui : vérifier l’alerte et protéger vos comptes sans aggraver le préjudice

A. Cyberattaque en cours : vérifier si le message vient vraiment de votre banque

La première difficulté, quand les recherches « cyberattaque crédit agricole aujourd’hui » et « cyberattaque en cours » explosent, consiste à distinguer trois situations que les lecteurs confondent : une véritable notification de la banque après un incident de sécurité, un courriel ou un SMS frauduleux qui imite la banque pour voler des codes, et une rumeur lue sur un réseau social selon laquelle tel établissement aurait été piraté. Les trois appellent des réflexes différents, et une erreur dans les premières minutes peut transformer un simple incident en virement irréversible. Le réflexe de base consiste à ne jamais cliquer sur le lien contenu dans le message reçu, à ne jamais rappeler le numéro indiqué dans ce même message et à ne jamais communiquer de code reçu par SMS, de mot de passe ou de numéro de carte. La banque ne demande jamais ces éléments par message, et toute demande de ce type signe une tentative de fraude, que l’actualité du jour porte ou non sur une attaque réelle. La vérification passe par un canal indépendant : ouvrir l’application officielle déjà installée sur le téléphone, taper soi-même l’adresse du site de la banque, ou appeler le numéro imprimé au dos de la carte bancaire ou sur le relevé de compte. Si l’application affiche une alerte de sécurité, un message dans la messagerie interne ou une opération inconnue, l’alerte est crédible ; dans le cas contraire, le message reçu relève très probablement de l’hameçonnage et doit être signalé puis supprimé.

La conservation des preuves commence dès cette étape, car tout le contentieux ultérieur, remboursement ou plainte, dépendra de ce qui a été gardé. Conservez le message d’origine avec ses en-têtes complets, les captures d’écran datées, le numéro appelant, l’URL exacte du faux site le cas échéant, les relevés de compte montrant les opérations litigieuses et la chronologie précise des appels passés à la banque. Notez l’heure exacte de chaque action : heure de réception du message, heure de l’appel au service d’opposition, nom de l’interlocuteur, heure du changement des mots de passe. Ces éléments serviront à démontrer que vous avez signalé sans tarder, notion centrale du droit des paiements, et à établir la réalité de l’attaque si vous déposez plainte pour accès frauduleux à un système de traitement automatisé de données. Le Code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende le fait d’accéder ou de se maintenir frauduleusement dans un système : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (Article 323-1 du Code pénal). Le fait d’entraver ou de fausser le fonctionnement d’un tel système est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende : « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (Article 323-2 du Code pénal). Le fait d’introduire, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de la même peine : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (Article 323-3 du Code pénal). Ces textes visent les attaquants, pas les victimes, mais ils fondent la plainte que vous pouvez déposer et que la banque elle-même déposera de son côté. La détention ou la mise à disposition d’outils conçus pour commettre ces attaques est également punie : « Le fait, sans motif légitime, notamment de recherche ou de sécurité informatique, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée. » (Article 323-3-1 du Code pénal). La participation à un groupement formé en vue de préparer ces infractions est punie des mêmes peines : « La participation à un groupement formé ou à une entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d’une ou de plusieurs des infractions prévues par les articles 323-1 à 323-3-1 est punie des peines prévues pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée. » (Article 323-4 du Code pénal). Enfin, la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite, qui correspond au sort ultérieur des données volées revendues ou exploitées, est punie de cinq ans d’emprisonnement et de 300 000 euros d’amende : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (Article 226-18 du Code pénal).

B. Cyberattaque la banque postale aujourd’hui : les mêmes réflexes valent pour tout établissement

Les suggestions Google du 22 septembre 2026 associent la même inquiétude à plusieurs établissements, dont la Banque Postale, et la réponse juridique ne change pas d’une enseigne à l’autre : le présent article ne prétend pas qu’un établissement nommément désigné par les recherches a subi telle attaque tel jour, car les articles de presse liés par Google Trends à la tendance « cyberattaque » portent sur le rapport de la Cour des comptes européenne et sur la directive NIS 2, pas sur un incident confirmé dans une banque française ; il explique en revanche les droits identiques dont dispose le client de n’importe quel établissement quand une alerte arrive ou quand une opération suspecte apparaît. Le raisonnement vaut pour un compte courant, un livret, un compte professionnel ou un compte d’association, et pour les cartes comme pour les virements, avec une nuance pratique majeure : une opération par carte peut faire l’objet d’une opposition avec un numéro d’enregistrement, tandis qu’un virement validé part immédiatement et ne peut être rappelé que si la banque bénéficiaire n’a pas encore crédité le destinataire, ce qui rend la rapidité du signalement décisive. Dans tous les cas, faites opposition sans attendre dès qu’un instrument est compromis, changez les mots de passe depuis un appareil sain, activez ou réactivez l’authentification forte dans l’application, vérifiez les bénéficiaires enregistrés et supprimez ceux que vous n’avez pas ajoutés, puis adressez à la banque une contestation écrite, datée et conservée, qui décrit chaque opération non autorisée avec sa date, son montant et son bénéficiaire.

Le droit au remboursement repose sur trois articles du Code monétaire et financier que tout client devrait citer dans sa contestation. D’abord, le remboursement doit intervenir immédiatement après la connaissance de l’opération, et au plus tard à la fin du premier jour ouvrable suivant : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (Article L133-18 du Code monétaire et financier). Ensuite, le signalement doit intervenir sans tarder et au plus tard dans les treize mois du débit, sous peine de forclusion : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (Article L133-24 du Code monétaire et financier). Concrètement, une contestation envoyée le lendemain de la découverte satisfait sans difficulté ce délai, mais un relevé laissé sans réaction pendant plus d’un an fait perdre le droit au remboursement, sauf défaut d’information de la banque. Enfin, la répartition des pertes dépend du comportement : avant l’information de la banque, le client supporte les pertes liées à la perte ou au vol de l’instrument dans la limite de 50 euros, puis plus rien après l’information, sauf fraude ou négligence grave : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » (Article L133-19 du Code monétaire et financier). Le même article précise que le client supporte toutes les pertes si elles résultent d’un agissement frauduleux de sa part ou d’une négligence grave face aux obligations de sécurité, mais qu’il ne supporte aucune conséquence financière si l’opération a été effectuée sans authentification forte exigée par la banque : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 . » (Article L133-19 du Code monétaire et financier).

L’arrêt rendu le 22 octobre 2025 par la chambre commerciale de la Cour de cassation, dans un litige opposant précisément un client à la Caisse de crédit agricole mutuel des Savoie, donne à ces textes un relief directement utile aux lecteurs du jour (Cour de cassation, chambre commerciale, 22 octobre 2025, pourvoi n° 24-19.749, rejet). Le 6 mars 2021, le client avait répondu à un courriel qu’il pensait adressé par sa banque et l’invitant à communiquer des éléments pour activer l’authentification forte ; constatant le lendemain un virement vers un compte inconnu, il avait demandé le remboursement, que la banque avait refusé en invoquant une négligence grave. Le tribunal judiciaire de Chambéry avait condamné la banque à restituer la somme, et la Cour de cassation a rejeté le pourvoi de la banque en retenant que le tribunal n’avait pas à effectuer une recherche inopérante et avait exactement déduit le remboursement. Le motif à retenir, cité mot pour mot, énonce la règle : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. » La Cour ajoute que le tribunal avait retenu une négligence grave du client, qui avait répondu à un courriel présentant des anomalies grossières et communiqué des codes confidentiels, mais que la banque ne justifiait pas avoir exigé l’activation de l’authentification forte, d’où le remboursement. La leçon pour 2026 est double : une négligence, même grave, ne suffit pas à priver le client du remboursement quand l’authentification forte n’a pas été exigée, et seule une fraude prouvée du client, notion bien plus étroite que la maladresse, permet à la banque de refuser. À Paris et en Île-de-France, où les litiges de paiement relèvent du tribunal judiciaire de Paris pour les clients domiciliés dans la capitale, conservez la preuve de l’absence d’authentification forte, captures d’écran du parcours de validation et relevés à l’appui, car c’est sur ce point que les banques cèdent le plus souvent après une mise en demeure argumentée, et à défaut devant le juge.

II. Cyberattaque France : notification, plainte pénale et remboursement quand les données volées circulent

A. Cyberattaque impôts et DGFIP : quand des données bancaires volées servent à frauder l’administration

Les suggestions « cyberattaque dgfip » et « cyberattaque impôts » traduisent une crainte précise : les données dérobées lors d’une attaque, relevé d’identité bancaire, avis d’imposition, justificatif de domicile, numéro de sécurité sociale, servent ensuite à usurper l’identité de la victime auprès de l’administration fiscale, à modifier ses coordonnées bancaires sur son espace en ligne, à déposer une fausse déclaration ou à détourner un remboursement. Le préjudice n’est alors plus seulement bancaire : la victime découvre un redressement, un avis à tiers détenteur, ou un refus de remboursement, alors qu’elle n’a rien déclaré. La conduite à tenir comporte trois volets menés en parallèle. D’abord, sécuriser l’espace fiscal : changer le mot de passe depuis un appareil sain, vérifier l’adresse électronique et le compte bancaire enregistrés, télécharger l’historique des déclarations et signaler toute modification inconnue au service des impôts, par message sécurisé dans la messagerie du compte puis par courrier recommandé avec accusé de réception qui expose la chronologie et joint la plainte. Ensuite, déposer plainte pour les infractions informatiques et pour l’usage frauduleux des données, en visant les bons textes afin que l’enquête soit correctement orientée : accès ou maintien frauduleux, entrave au fonctionnement du système, extraction et transmission frauduleuse de données, collecte illicite de données personnelles. Enfin, contester chaque acte fiscal ou bancaire pris sur le fondement des données usurpées, en demandant la suspension des poursuites et la rectification des enregistrements, avec les preuves de l’usurpation, dépôt de plainte, attestation de la banque, journaux de connexion.

La jurisprudence criminelle récente donne à ces plaintes une assise solide et déjoue deux idées reçues : celle selon laquelle un salarié ou un associé qui disposait d’un accès ne peut pas commettre l’infraction, et celle selon laquelle une suppression discrète de données relèverait d’un simple incident interne. Dans un arrêt du 8 juin 2021, la chambre criminelle a rejeté le pourvoi d’un associé d’un greffe de tribunal de commerce condamné pour suppression de données après un accès frauduleux, et a approuvé une formulation que les victimes d’attaques internes peuvent citer (Cour de cassation, chambre criminelle, 8 juin 2021, pourvoi n° 20-85.853, rejet) : « En revanche, des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification. » Autrement dit, la dissimulation à un autre utilisateur suffit à caractériser la fraude, même quand l’auteur possédait des droits d’accès. Le même arrêt rappelle la règle de fond : « L’article 323-3 du code pénal réprime notamment le fait de modifier ou supprimer frauduleusement les données contenues dans un STAD. » Dans un arrêt du 2 septembre 2025, publié au Bulletin, la même chambre a jugé qu’un administrateur réseau qui se maintient dans le système en lisant des messages à des fins étrangères à sa mission commet l’infraction, même s’il disposait d’un droit général d’accès par ses fonctions (Cour de cassation, chambre criminelle, 2 septembre 2025, pourvoi n° 24-83.605, rejet, publié au Bulletin). Le résumé officiel de l’arrêt énonce : « En effet, se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie. » Ces deux décisions intéressent directement les entreprises dont l’attaque vient de l’intérieur, prestataire, ancien salarié dont les accès n’ont pas été révoqués, associé en conflit : elles permettent de qualifier pénalement des faits que l’auteur présente comme un simple usage de ses droits. Pour la victime personne physique, elles justifient une plainte avec constitution de partie civile qui ouvre l’accès au dossier et prépare la demande indemnitaire sur le fondement du droit commun de la responsabilité : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (Article 1240 du Code civil). Sur ce fondement, la victime peut réclamer le remboursement des sommes détournées non restituées par la banque, les frais engagés, et la réparation du préjudice moral lié à l’atteinte aux données personnelles et aux démarches subies, en joignant chaque justificatif.

B. Cyberattaque éducation nationale et entreprises : notifier, sécuriser et indemniser sans attendre la transposition de NIS 2

La suggestion « cyberattaque éducation nationale », première des requêtes associées mesurées par Google Trends pour cette tendance, et le rapport de la Cour des comptes européenne du 21 septembre 2026 replacent la question au niveau des organisations : écoles, collectivités, hôpitaux, banques, commerces en ligne, associations et sociétés de toute taille détiennent des données de clients, de salariés ou d’usagers, et subissent des attaques dont les victimes finales sont leurs propres clients. Le rapport européen constate un partage d’information limité entre États membres, des faiblesses dans les signalements et des retards considérables de mise en œuvre, avec une directive NIS 2 non transposée en France près de deux ans après la date limite selon la presse du 21 septembre 2026. Cette situation ne suspend aucune des obligations déjà en vigueur en droit français, et un dirigeant qui attendrait la transposition pour agir commettrait une faute. Côté données personnelles, l’organisme victime d’une violation doit documenter l’incident dans un registre interne, évaluer le risque pour les personnes, notifier l’autorité de contrôle dans les délais que le règlement européen impose, et informer les personnes concernées quand le risque est élevé, en leur indiquant la nature de la violation, ses conséquences probables et les mesures prises ou recommandées. La notification s’effectue par le téléservice de la Commission nationale de l’informatique et des libertés, accessible depuis le site de l’autorité (Commission nationale de l’informatique et des libertés), et le défaut de notification ou d’information expose l’organisme à des sanctions administratives en plus des actions indemnitaires des victimes. Côté sécurité des systèmes, l’organisme doit faire cesser l’attaque, isoler les systèmes compromis, révoquer les accès suspects, journaliser les traces pour l’enquête, puis faire auditer la faille et corriger durablement, avec l’appui de l’Agence nationale de la sécurité des systèmes d’information dont les guides sont publiés sur son site officiel. Côté pénal, l’entreprise doit déposer plainte sur les fondements exposés plus haut, articles 323-1 à 323-4 et 226-18 du Code pénal, afin de faire établir l’origine frauduleuse des faits, ce qui servira ensuite face aux assureurs et aux clients qui contesteraient sa diligence.

La responsabilité de l’organisme à l’égard de ses propres clients suit le droit commun, et les clauses qui prétendraient l’exonérer par avance d’une faute de sécurité ne résistent pas à l’examen judiciaire quand des mesures élémentaires manquaient : absence de chiffrement, mots de passe partagés, accès d’anciens salariés jamais révoqués, absence de journalisation, sauvegarde inexistante ou jamais testée, sous-traitant sans encadrement contractuel. Le fondement indemnitaire reste l’article 1240 du Code civil cité plus haut, complété par la responsabilité contractuelle envers les clients et par les régimes propres aux secteurs réglementés, dont le régime bancaire détaillé dans la première partie pour les opérations non autorisées. Pour les lecteurs qui gèrent un site marchand, une plateforme ou un logiciel et qui découvrent des règles voisines sur les données des objets connectés, notre guide sur les données des objets connectés, l’accès, la portabilité et l’effacement en 2026 complète utilement la présente analyse côté droits des personnes. En pratique, le dirigeant avisé adresse aux personnes concernées une information claire et datée, propose des mesures concrètes comme la surveillance renforcée des comptes et l’activation de l’authentification forte, met en demeure son prestataire informatique si la faille vient de lui, déclare le sinistre à son assureur cyber quand il en détient un, et prépare un dossier de preuves, journaux, constats, échanges avec les autorités, qui démontrera sa réactivité si sa responsabilité est recherchée. La Cour des comptes européenne relève justement que les faiblesses dans les signalements empêchent les mécanismes de l’Union d’atteindre leur plein potentiel ; une entreprise française qui signale vite et bien se place du bon côté de cette critique, protège ses clients et limite son exposition financière. À Paris et en Île-de-France, où se concentrent les sièges, les directions des systèmes d’information et les prestataires, le dépôt de plainte au commissariat de l’arrondissement du siège ou du lieu de l’attaque, la saisine rapide d’un conseil pour cadrer la notification et la coordination avec l’assureur dans les quarante-huit heures forment le triptyque qui évite la transformation d’un incident technique en crise judiciaire.

Conclusion

Une tendance « cyberattaque » qui progresse de 500 % en quelques heures, des suggestions qui nomment des banques, l’administration fiscale et l’Éducation nationale, un rapport européen qui pointe le 21 septembre 2026 des signalements insuffisants et une directive NIS 2 toujours pas transposée en France : le contexte commande aux clients comme aux dirigeants une discipline simple et vérifiable. Vérifiez chaque alerte par un canal indépendant avant tout clic, conservez chaque preuve avec sa date et son heure, faites opposition et contestez par écrit sans tarder, exigez le remboursement sur le fondement des articles L133-18 et L133-19 du Code monétaire et financier en rappelant l’arrêt du 22 octobre 2025 contre la Caisse de crédit agricole mutuel des Savoie quand l’authentification forte n’a pas été exigée, déposez plainte sur les articles 323-1 à 323-4 et 226-18 du Code pénal en citant les arrêts du 8 juin 2021 et du 2 septembre 2025 quand l’attaque est avérée, et si vous dirigez un organisme, notifiez, informez et sécurisez sans attendre un texte futur. Les délais courent vite, treize mois au maximum pour contester un paiement, des heures pour limiter un virement, des jours pour notifier une violation de données, et chaque journée sans écrit fait perdre une chance de remboursement ou de réparation. Rassemblez dès aujourd’hui vos relevés, vos messages d’alerte, vos courriers à la banque et votre dépôt de plainte dans un dossier unique : c’est ce dossier, complet et daté, qui fera la différence devant la banque, l’administration ou le juge.

Besoin d’un avis rapide sur votre dossier

Consultation téléphonique sous 48 h avec un avocat du cabinet, à Paris et en Île-de-France. Consultation téléphonique : 80 EUR TTC.

Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet (contactez-nous).