Un compte Gmail piraté n’est pas un simple désagrément technique. Pour la plupart des utilisateurs, l’adresse Gmail commande l’accès au compte Google entier : messages, contacts, photos, documents Drive, historique d’achats, mots de passe enregistrés dans le navigateur et, surtout, la réception des codes de récupération des autres comptes, bancaires ou administratifs. Quand un tiers s’en empare, change le mot de passe et l’adresse de récupération, chaque heure compte : le pirate lit les messages, usurpe l’identité du titulaire auprès de ses correspondants et pivote vers d’autres services.
Le droit français appréhende cette situation sous trois angles complémentaires. L’intrusion elle-même constitue une atteinte à un système de traitement automatisé de données, punie par le Code pénal. L’usage qui suit, envoi de messages au nom du titulaire, tentatives de virement, ouverture de comptes, relève de l’usurpation d’identité et, le cas échéant, de l’escroquerie. Enfin, les données personnelles contenues dans la messagerie restent protégées par le règlement général sur la protection des données, qui ouvre des droits précis face au fournisseur comme face à l’auteur de l’intrusion, ainsi qu’une action en réparation du préjudice subi.
Cet article décrit la méthode complète : d’abord reprendre la main sur le compte et figer les preuves, ensuite faire sanctionner l’auteur et obtenir réparation. Chaque affirmation juridique renvoie au texte applicable et à la jurisprudence lue dans ce dossier.
I. Reprendre la main sur le compte et couper l’attaquant
A. Récupérer l’accès Google puis verrouiller la porte
La récupération commence sur la page officielle d’assistance du compte Google, qui guide pas à pas la personne qui ne parvient plus à se connecter, qu’elle ait oublié son mot de passe ou que celui-ci ait été modifié par un tiers (page officielle d’assistance du compte Google, rubrique « Récupérer votre compte Google ou Gmail »). Plusieurs règles pratiques découlent de cette procédure. Répondre aux questions de vérification depuis un lieu et un appareil habituels augmente les chances de succès, car Google compare la tentative avec l’historique de connexion. Renseigner, même approximativement, l’ancien mot de passe et la date approximative de création du compte aide le système à trancher. Si une adresse électronique ou un numéro de récupération a été ajouté par le pirate, la procédure prévoit des étapes spécifiques pour les contester.
Une fois l’accès repris, la sécurisation doit être immédiate et méthodique. Changer le mot de passe pour une phrase longue et unique, activer la validation en deux étapes, de préférence avec une clé de sécurité ou une application d’authentification plutôt qu’un simple SMS, passer en revue les appareils connectés et révoquer les sessions inconnues, contrôler les applications tierces autorisées et retirer celles qui sont suspectes : ces gestes ferment les accès que le pirate a pu conserver. Un point souvent négligé mérite une attention particulière dans Gmail : les règles de transfert et de filtrage. Un attaquant méticuleux crée un filtre qui transfère ou supprime les messages contenant certains mots, banque, code, facture, afin de rester informé même après avoir perdu l’accès direct. Vérifier les paramètres de transfert, les adresses de réponse et les filtres constitue donc une étape obligatoire, de même que le contrôle du libellé des messages envoyés pendant la période de compromission.
Cette discipline personnelle répond à une obligation qui pèse, en miroir, sur le fournisseur. Le règlement européen impose au responsable du traitement de mettre en oeuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris la confidentialité, l’intégrité et la disponibilité des données (article 32 du règlement (UE) 2016/679). La validation en deux étapes, les alertes de connexion inhabituelle et la possibilité de révoquer des sessions participent de ces mesures. Si le fournisseur a manqué à cette exigence, ce manquement pourra nourrir, plus tard, la demande de réparation. À l’inverse, le titulaire qui réutilisait le même mot de passe sur dix sites ou qui a validé un code sur une fausse page devra l’assumer dans la discussion sur les responsabilités, sans que cela efface l’infraction commise par l’intrus.
Le cas particulier du rançonnage du compte mérite un mot. Certains pirates exigent un paiement en échange de la restitution de l’accès ou de la non-divulgation des messages. Payer n’offre aucune garantie de récupération et finance une activité délictueuse. La bonne réaction consiste à poursuivre la procédure officielle de récupération, à conserver le message d’extorsion comme preuve et à le signaler aux enquêteurs, car il aggrave la qualification pénale des faits.
B. Figer les preuves qui feront la plainte et le dossier CNIL
Une récupération réussie efface parfois les traces : sessions fermées, alertes supprimées, messages effacés. Avant de nettoyer, il faut donc figer les preuves, car la plainte pénale comme la plainte devant la CNIL et l’action en réparation exigent des éléments datés et précis.
Premier réflexe, documenter l’intrusion elle-même. Capturer les notifications de connexion inhabituelle reçues par SMS ou sur un autre appareil, avec leur date et leur heure. Relever, dans l’historique de sécurité du compte Google, les adresses IP, les appareils et les localisations inconnues. Photographier ou exporter les paramètres modifiés par le pirate : adresse de récupération ajoutée, numéro changé, filtres de transfert créés, délégation de boîte aux lettres accordée. Si des messages ont été envoyés à des proches ou à des partenaires professionnels au nom du titulaire, en conserver une copie et demander aux destinataires de confirmer par écrit ce qu’ils ont reçu et les conséquences qu’ils en ont tirées : virement annulé à temps, rendez-vous manqué, pièce d’identité transmise. Ces témoignages écrits, datés et signés, pèseront lourd devant les enquêteurs comme devant le juge civil.
Deuxième réflexe, tracer les conséquences financières et administratives. Relever les achats, abonnements ou virements initiés depuis le compte ou validés grâce aux codes reçus sur l’adresse compromise. Demander à la banque les références des opérations contestées et conserver ses courriers. Si le pirate a utilisé les informations de la messagerie pour ouvrir un compte, souscrire un crédit ou obtenir un document administratif, chaque refus ou chaque régularisation doit être conservé : lettres de refus, attestations de fraude, dépôts de plainte antérieurs. La démarche suivie après le piratage d’un compte de santé en ligne montre la même logique : récupérer l’accès ne suffit pas, c’est la traçabilité des usages frauduleux qui fonde l’indemnisation.
Troisième réflexe, conserver la preuve des démarches accomplies. Noter les dates et heures des demandes de récupération adressées à Google, des signalements effectués et des réponses reçues. Si le fournisseur tarde à réagir ou refuse de communiquer les journaux de connexion, ces échanges établiront plus tard le manquement allégué. De même, garder une copie de tout signalement sur la plateforme d’harmonisation, d’analyse, de recoupement et d’orientation des signalements, dite PHAROS, accessible depuis le portail officiel de signalement des contenus illicites, et du diagnostic réalisé auprès de l’organisme public d’assistance aux victimes d’actes de cybermalveillance (diagnostic hameçonnage), car ces pièces datent officiellement la prise en charge.
Un mot sur les constats techniques : lorsque l’enjeu financier est important, faire établir par un commissaire de justice un procès-verbal de constat des traces numériques peut s’avérer décisif, notamment si le contenu du compte risque d’être modifié. Pour les litiges courants, des captures complètes, incluant la barre d’adresse, la date système et le contexte, suffisent généralement à convaincre, à condition d’être honnêtes : une capture retouchée ou présentée hors contexte discrédite tout le dossier.
II. Faire sanctionner l’auteur et obtenir réparation
A. La voie pénale : plainte pour intrusion, usurpation et escroquerie
S’introduire dans la messagerie d’autrui sans autorisation constitue un délit, même sans dégradation et même sans intention lucrative. L’article 323-1 du Code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du Code pénal). La messagerie Gmail, hébergée sur des serveurs distants et exploitée par un traitement automatisé, entre dans cette définition. Peu importe que le pirate ait deviné le mot de passe, l’ait obtenu par hameçonnage ou ait profité d’une session restée ouverte : la fraude réside dans l’absence d’autorisation du titulaire.
Lorsque l’intrus va plus loin et manipule le contenu, une seconde qualification s’ajoute. L’article 323-3 du Code pénal dispose : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du Code pénal). Copier des messages, télécharger des pièces jointes contenant des pièces d’identité, effacer des courriers pour masquer l’intrusion ou envoyer des messages depuis le compte : chacun de ces gestes peut relever de ce texte. La jurisprudence applique ces incriminations avec constance. Le 2 septembre 2025, la chambre criminelle de la Cour de cassation a rejeté le pourvoi formé contre une condamnation à trois mois d’emprisonnement avec sursis prononcée pour atteinte à un système de traitement automatisé de données, confirmant ainsi la répression du maintien frauduleux dans un tel système (Cass. crim., 2 sept. 2025, n° 24-83.605). Plus anciennement, elle avait confirmé la condamnation à quatre mois d’emprisonnement avec sursis d’un médecin qui avait installé sur des ordinateurs hospitaliers un dispositif espion captant la frappe au clavier afin de capter des données, avec confiscation des matériels saisis (Cass. crim., 16 janv. 2018, n° 16-87.168). Ces décisions montrent que les juges prennent l’intrusion numérique au sérieux, y compris quand l’auteur appartient au cercle professionnel ou familial de la victime.
L’usage de l’identité du titulaire ouvre un deuxième front répressif. L’article 226-4-1 du Code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » (article 226-4-1 du Code pénal). Écrire à l’employeur, aux clients ou à la famille depuis l’adresse piratée, publier en son nom, commander en son nom : ces comportements troublent la tranquillité de la victime et portent atteinte à sa considération, et relèvent de ce texte dès lors que l’identification est établie. Si le pirate obtient des fonds, par exemple en faisant virer un acompte à un proche abusé ou en validant un paiement avec les codes interceptés, l’escroquerie s’ajoute. L’article 313-1 du Code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », puni de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du Code pénal).
Concrètement, la victime dépose plainte. L’article 15-3 du Code de procédure pénale dispose : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » (article 15-3 du Code de procédure pénale). Aucun service ne peut donc refuser la plainte au motif que la victime réside ailleurs ou que l’auteur est inconnu. La plainte décrit la chronologie, vise les qualifications ci-dessus et joint les preuves figées : captures, journaux de connexion, messages envoyés par le pirate, relevés bancaires. Lorsque l’auteur est inconnu, la plainte contre X permet l’ouverture d’une enquête et la réquisition des données de connexion auprès des opérateurs. En parallèle, le signalement sur la plateforme PHAROS et le parcours d’assistance de Cybermalveillance orientent vers les bons interlocuteurs et complètent le dossier.
La constitution de partie civile, devant le juge d’instruction ou à l’audience correctionnelle, permet de demander au juge pénal la réparation du préjudice : temps passé à récupérer le compte, frais engagés, opérations frauduleuses restées à charge, atteinte à la réputation auprès des correspondants démarchés par le pirate. Cette voie présente l’avantage de l’enquête pénale, dont les réquisitions identifient souvent l’auteur, mais elle suit le rythme de la justice répressive. C’est pourquoi elle se combine utilement avec la voie civile et administrative décrite ci-après, qui vise le responsable du traitement et l’indemnisation directe.
B. La voie des données personnelles : droits, plainte CNIL et réparation
Le piratage d’une messagerie constitue aussi une violation de données à caractère personnel au sens du règlement européen, dès lors que des tiers accèdent à des messages, des contacts, des photos ou des documents identifiant la victime ou ses correspondants. Ce constat ouvre trois leviers : les droits exercés directement auprès du fournisseur, la plainte devant la CNIL et l’action en réparation.
Premier levier, les droits de la personne concernée. L’article 15 du règlement consacre le droit d’obtenir du responsable du traitement la confirmation que des données sont traitées et l’accès à ces données ainsi qu’aux informations sur les finalités, les catégories concernées et les destinataires (article 15 du règlement (UE) 2016/679). Concrètement, le titulaire d’un compte piraté peut demander à Google la communication des journaux de connexion et des informations sur les accès frauduleux, utiles à la plainte pénale. L’article 17 ouvre le droit d’obtenir l’effacement des données qui ne sont plus nécessaires ou qui ont été traitées illicitement, par exemple les messages, filtres ou délégations créés par le pirate et restés dans le compte (article 17 du même règlement). L’article 21 permet de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, aux traitements fondés sur les intérêts légitimes du responsable, ainsi qu’à la prospection qui suivrait l’exploitation des données volées (article 21 du même règlement). La démarche d’effacement après la suppression d’un compte d’application de rencontre illustre la même mécanique : exiger par écrit, dans un délai précis, puis saisir l’autorité en cas de silence ou de refus. Le responsable doit répondre dans un délai d’un mois en principe, et motiver tout refus.
Deuxième levier, la plainte devant la CNIL. La Commission peut être saisie en ligne par toute personne qui estime que ses données ont été traitées en violation du règlement, après avoir exercé ses droits auprès du responsable ou en cas d’urgence tenant à l’intrusion. La CNIL décrit elle-même les réflexes à adopter face au piratage des comptes : sécuriser, vérifier l’étendue de la compromission, conserver les preuves puis signaler (prévenir, repérer et réagir face au piratage de ses comptes). Sa plainte doit exposer les faits dans l’ordre, identifier le responsable du traitement concerné, joindre les demandes préalables et leurs réponses, et préciser le préjudice : messages lus par un tiers, usurpation auprès des correspondants, opérations financières. La CNIL ne verse pas elle-même de dommages et intérêts, mais ses pouvoirs d’enquête, de mise en demeure et de sanction pèsent dans le rapport de force avec le fournisseur, et sa décision, si elle constate un manquement, étaye l’action en réparation devant le juge. Si le responsable ne répond pas dans le délai d’un mois ou oppose un refus que vous estimez infondé, le règlement vous ouvre, outre la réclamation devant l’autorité de contrôle, un recours direct devant le juge : « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement » (article 79 du même règlement). En France, cette action se porte devant le tribunal judiciaire, qui peut ordonner la communication des journaux de connexion, l’effacement des données créées par le pirate et l’indemnisation du préjudice, en appliquant les principes rappelés par la Cour de cassation en juin 2026. Articuler les deux voies dans le temps constitue souvent la meilleure stratégie : la plainte devant la CNIL fait constater le manquement par l’autorité spécialisée, tandis que l’action judiciaire chiffre et ordonne la réparation. Les pièces sont les mêmes, et le dossier constitué dès les premières heures servira aux deux procédures.
Troisième levier, la notification de la violation et la responsabilité du fournisseur. Lorsqu’une violation de données est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable du traitement doit la notifier à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » (article 33 du même règlement), et avertir directement la personne concernée quand le risque est élevé (article 34 du même règlement). Dans le cas d’un compte individuel piraté par hameçonnage, c’est d’abord l’utilisateur qui a compromis ses identifiants, et la notification incombe au fournisseur surtout quand la faille touche son système ou un lot de comptes. Le titulaire a donc intérêt à signaler formellement l’incident au fournisseur, par écrit, en demandant quelles mesures ont été prises et si la violation a été notifiée : la réponse, ou son absence, alimentera le dossier.
Quatrième levier, l’action en réparation. L’article 82 du règlement dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (article 82 du même règlement). La Cour de cassation a récemment précisé le régime de ce droit à la lumière de la jurisprudence européenne : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et la victime doit établir un dommage concret, même moral, sans que celui-ci doive atteindre un seuil de gravité (Cass. soc., 24 juin 2026, n° 24-22.792). La Cour rappelle également que la Cour de justice de l’Union européenne, le 4 mai 2023 dans l’affaire Österreichische Post, juge que « le droit à réparation prévu à cette disposition, notamment en cas de dommage moral, remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive ». Concrètement, le titulaire d’un Gmail piraté devra chiffrer son préjudice : heures passées à reprendre la main, correspondants à prévenir un par un, rendez-vous manqués, crédit contesté, anxiété liée à la lecture des messages intimes par un inconnu. Chaque poste se prouve par une pièce : factures, attestations, relevés, certificats. L’action peut viser l’auteur de l’intrusion, identifié par l’enquête pénale, comme le responsable du traitement qui aurait manqué à son obligation de sécurité, devant le tribunal judiciaire du domicile du demandeur.
Conclusion
Un compte Google piraté se reprend en suivant un ordre strict : récupérer l’accès par la procédure officielle puis verrouiller chaque porte, filtres de transfert compris ; figer les preuves avant tout nettoyage ; déposer plainte pour accès frauduleux, extraction de données, usurpation d’identité et, le cas échéant, escroquerie ; exercer par écrit les droits d’accès, d’effacement et d’opposition ; saisir la CNIL en cas de refus ou de silence ; et chiffrer pièce par pièce le préjudice pour l’action en réparation, en se souvenant qu’une violation seule ne suffit pas et que le dommage concret doit être démontré. Menée avec rigueur, cette méthode transforme une intrusion subie en dossier solide, où chaque acteur, pirate, fournisseur et juge, se voit rappeler ses obligations. Conserver chaque courrier, chaque capture et chaque référence de plainte dans un dossier unique et daté, car c’est ce dossier complet qui fera la différence devant la CNIL comme devant le tribunal.