Vous recevez un courriel de confirmation pour une démarche que vous n’avez jamais faite, votre espace impots.gouv.fr affiche une déclaration modifiée en pleine nuit, votre compte Ameli signale un changement de relevé d’identité bancaire, ou votre banque vous appelle pour un virement que vous n’avez pas ordonné. Dans chacun de ces cas, le point d’entrée est souvent le même : quelqu’un s’est connecté à un service public avec votre identité via FranceConnect, ou a récupéré vos codes en se faisant passer pour un service officiel. Cet article explique la marche à suivre, dans l’ordre utile : couper l’accès frauduleux sans délai, figer les preuves de ce qui a été fait à votre nom, exercer vos droits sur vos données auprès de chaque service concerné, contester les démarches et les paiements frauduleux, puis porter plainte, saisir la CNIL et demander réparation. Il s’appuie sur la procédure officielle FranceConnect, les textes en vigueur au 10 octobre 2026 et cinq décisions de justice rendues entre 2025 et 2026, dont deux jugent exactement ce scénario de faux conseiller et de faux SMS Ameli.
Premier réflexe : traitez toute connexion que vous ne reconnaissez pas comme une usurpation en cours, même si aucun argent n’a encore disparu. L’attaquant qui entre une fois dans votre espace impôts peut y relever votre revenu fiscal de référence, vos coordonnées bancaires et votre adresse, puis s’en servir pour ouvrir des comptes, souscrire des crédits ou détourner des prestations sociales à votre nom. Quand le crédit est déjà souscrit ou le compte déjà ouvert, la méthode complète — plainte, fichage effacé, données supprimées et réparation — est décrite dans notre dossier sur l’usurpation d’identité avec crédit souscrit ou compte ouvert à votre nom. Le présent article traite l’amont : le piratage du point d’entrée FranceConnect et la contestation des démarches passées par ce canal.
I. Couper l’accès frauduleux et figer les preuves dans les premières heures
A. Signaler l’usurpation à FranceConnect, verrouiller chaque service et garder chaque trace
La procédure officielle est directe. La page d’aide de FranceConnect consacrée à l’usurpation d’identité indique que si une personne a utilisé votre identité pour se connecter à un service via FranceConnect, vous devez agir rapidement pour sécuriser vos données personnelles et empêcher de nouveaux usages frauduleux, et que la première étape consiste à signaler immédiatement l’usurpation à FranceConnect décrite par la marche à suivre officielle que l’aide FranceConnect consacre aux victimes d’usurpation d’identité. Ce signalement permet à FranceConnect de lancer une vérification rapide et d’avertir les services qui gèrent le compte concerné ainsi que ceux auxquels l’accès frauduleux a été fait, afin qu’ils prennent les mesures nécessaires pour protéger votre compte et éviter que cela ne se reproduise. Une page dédiée de cette même aide officielle explique comment signaler concrètement une usurpation d’identité. Faites ce signalement avant toute autre démarche en ligne, depuis un appareil sain, car un ordinateur ou un téléphone déjà compromis peut intercepter vos nouveaux mots de passe.
Deuxième geste, dans la même heure : changez le mot de passe du service concerné en vous connectant directement à ce service, sans passer par le lien d’un courriel ou d’un SMS. L’aide FranceConnect le recommande expressément quand la connexion frauduleuse est liée à un service précis comme impots.gouv.fr ou Ameli. Changez aussi, par précaution, les mots de passe des boîtes courriel associées à ces comptes : celui qui contrôle votre courriel peut réinitialiser presque tous vos autres accès. Activez partout où c’est proposé la vérification en deux étapes, de préférence par application d’authentification plutôt que par SMS, car le SMS peut être détourné. Si votre mot de passe FranceConnect+ ou celui du fournisseur d’identité utilisé (impôts, Ameli, identité numérique) a pu être capté, renouvelez-le également et vérifiez les sessions actives quand l’interface le permet.
Troisième geste : conservez tout, sans rien effacer. Captures d’écran datées des connexions inconnues, courriels de confirmation suspects avec leurs en-têtes complets, SMS frauduleux, relevés bancaires montrant les opérations, historique des déclarations fiscales, notifications Ameli : chaque pièce servira à prouver la chronologie. Le guide officiel de Cybermalveillance.gouv.fr sur le piratage de compte détaille ces réflexes de conservation et de sécurisation (fiche réflexe officielle en cas de piratage de compte). Notez par écrit, dès le premier jour, la date et l’heure auxquelles vous avez découvert chaque fait, le service concerné, le montant en jeu et les interlocuteurs déjà contactés : ce journal fera foi de votre diligence quand il faudra démontrer que vous avez réagi sans tarder, notamment pour les délais de contestation bancaire et de plainte.
Quatrième geste : vérifiez méthodiquement ce que l’intrus a vu et fait. Sur impots.gouv.fr, contrôlez les déclarations, les changements d’adresse, de situation de famille et de coordonnées bancaires, ainsi que les documents téléchargés. Sur Ameli, vérifiez les changements de RIB, les demandes de carte Vitale, les relevés de soins et les indemnités versées. Sur votre banque en ligne, relevez chaque opération inconnue, chaque nouveau bénéficiaire de virement et chaque demande de crédit. Si un RIB inconnu a été enregistré quelque part, ne le supprimez pas immédiatement sans l’avoir photographié et signalé : c’est une piste d’identification. Demandez à chaque service la liste des connexions récentes à votre espace, avec dates, heures et adresses IP quand elles sont communicables : ces journaux de connexion sont des données personnelles vous concernant, que vous pouvez obtenir par un droit d’accès, comme expliqué en partie I.B.
Enfin, ne répondez à aucun appel, courriel ou SMS qui prétend vous aider à réparer le piratage en vous demandant vos codes. Les deux décisions de justice citées plus bas partent exactement de là : un faux conseiller bancaire au téléphone et un faux SMS Ameli. Une banque, l’assurance maladie ou les impôts ne vous demandent jamais vos mots de passe ni vos codes de validation par téléphone ou par message. Tout message qui vous presse, vous menace d’une suspension de compte ou vous propose un lien de vérification immédiate doit être traité comme suspect : connectez-vous vous-même au service par son adresse officielle, ou appelez le numéro figurant sur vos documents, jamais celui du message.
B. Exercer vos droits RGPD auprès de chaque service : accès, rectification, effacement, opposition
Chaque service auquel l’intrus s’est connecté — impôts, assurance maladie, banque, opérateur — détient des données vous concernant : journaux de connexion, démarches enregistrées, pièces téléversées, coordonnées modifiées. Le règlement européen sur la protection des données vous donne un droit d’accès direct à ces informations. Les articles 15 à 17 et 21 du règlement (UE) 2016/679 vous donnent un accès direct à ces informations : toute personne peut obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, dans ce cas, l’accès à ces données avec leurs finalités, leurs destinataires et leur durée de conservation. La CNIL détaille ces droits offerts pour maîtriser vos données personnelles — accès, rectification, effacement, opposition — et la marche à suivre pour les exercer. Concrètement, écrivez à chaque service pour demander la copie des données liées à votre compte sur la période du piratage : dates et heures de connexion, adresses IP utilisées, démarches effectuées, documents déposés, modifications de coordonnées et destinataires auxquels vos données ont été communiquées. Ce droit est gratuit en principe et la réponse doit intervenir dans un délai d’un mois. Les réponses obtenues serviront deux fois : à repérer tout ce que vous n’avez pas encore découvert, et à prouver l’étendue de l’intrusion devant le juge ou la CNIL.
Quand une donnée est fausse — adresse modifiée par l’intrus, RIB qui n’est pas le vôtre, situation familiale altérée — exigez sa rectification immédiate, en joignant vos justificatifs. Quand une donnée collectée ou conservée indûment doit disparaître — compte ouvert frauduleusement, pièce d’identité téléversée par l’intrus, consentement donné par l’usurpateur — demandez son effacement. Le même règlement ouvre l’effacement dans les meilleurs délais quand les données ont été traitées illicitement ou ne sont plus nécessaires une fois la fraude établie. Invoquez précisément le motif : données traitées illicitement, ou données qui ne sont plus nécessaires une fois la fraude établie. Et si un service continue d’utiliser à votre encontre des démarches passées par le compte piraté — relances, majorations, décisions automatiques — opposez-vous à ce traitement en invoquant le droit d’opposition ouvert pour des raisons tenant à votre situation particulière (article 21 du même règlement).
Si un service refuse l’accès, tarde à répondre ou maintient des données frauduleuses, conservez la preuve du refus : elle fondera votre réclamation auprès de la CNIL, examinée en partie II.B. Sachez toutefois que l’effacement n’est pas absolu. La cour d’appel de Paris a ainsi rejeté, le 20 février 2025, la demande d’un homme qui exigeait d’un journal en ligne la suppression ou l’anonymisation d’articles relatant sa condamnation pénale, sur le fondement des articles 17 et 21 du règlement : la cour a confirmé le jugement qui le déboutait, retenant que la mise à jour de l’article suffisait à l’équilibre entre ses droits et la liberté de la presse (CA Paris, pôle 4, chambre 10, 20 février 2025, RG 21/15496). La leçon pour votre dossier : l’effacement joue pleinement contre les traces frauduleuses laissées par l’usurpateur dans vos espaces personnels, mais il ne permet pas de faire disparaître des informations licitement publiées par des tiers, comme un article de presse relatant l’affaire.
Pour identifier l’auteur lui-même, la voie la plus rapide reste le juge des référés. Le 17 avril 2026, le tribunal judiciaire de Paris a ordonné à deux sociétés du groupe Google de communiquer à l’avocate des victimes, dans un délai de dix jours, les données d’identité du titulaire d’un compte frauduleux — nom, prénom, pseudonyme, date et lieu de naissance, adresses postales, électroniques et téléphoniques — ainsi que les informations de paiement et les adresses IP de connexion avec leurs dates et heures (TJ Paris, ordonnance de référé du 17 avril 2026, RG 26/52518). Cette décision montre ce qu’une juridiction peut obtenir d’un hébergeur ou d’une plateforme : l’identité déclarée, la trace financière et la trace technique. Dans votre dossier, la même logique s’applique : si l’usurpateur a agi depuis une plateforme identifiable — création d’un compte, d’une cagnotte, d’une boutique ou d’une chaîne à votre nom — un référé peut contraindre l’hébergeur à livrer ces éléments avant qu’ils ne soient effacés. Agissez vite, car les données de connexion ne sont pas conservées indéfiniment.
Présentez ces demandes par écrit, en recommandé ou par courriel avec accusé de réception, en joignant une copie de votre pièce d’identité et en décrivant précisément la période et les faits. Adressez une demande distincte à chaque organisme : direction des finances publiques pour l’espace fiscal, caisse d’assurance maladie pour Ameli, établissement bancaire pour les comptes et les opérations, FranceConnect pour les traces de fédération d’identité. Le descriptif officiel du fonctionnement de FranceConnect et de ses fournisseurs d’identité figure sur la page officielle de service-public.fr consacrée à FranceConnect, utile pour identifier le bon interlocuteur selon le compte d’origine utilisé. Chaque réponse, chaque refus et chaque silence doit être classé dans votre dossier : c’est ce faisceau qui démontrera, s’il le faut, que vous avez épuisé les voies amiables avant de saisir la CNIL et le juge.
II. Contester les démarches et les paiements frauduleux, puis obtenir réparation
A. Impôts, Ameli, banque : contester chaque acte passé à votre nom, sans jamais communiquer vos codes
Devant les impôts, contestez par écrit chaque démarche que vous n’avez pas faite : déclaration modifiée, changement d’adresse ou de RIB, option exercée sans votre accord. Joignez votre journal des faits, le signalement FranceConnect et les journaux de connexion obtenus par votre droit d’accès. Demandez la remise en l’état antérieur de votre dossier fiscal et la suspension de toute mesure prise sur la base des données frauduleuses — majorations, mises en demeure, prélèvements sur le RIB de l’intrus — jusqu’à vérification. Si un avis d’imposition ou une pénalité a déjà été émis à partir d’une déclaration falsifiée, exercez les voies de réclamation propres à la matière fiscale dans leurs délais, en expliquant que la démarche initiale n’émane pas de vous et en produisant le récépissé de votre plainte pénale. Ne régularisez jamais une démarche frauduleuse en la signant ou en la payant sans réserve : un paiement peut ensuite être interprété comme une reconnaissance.
Devant l’assurance maladie, signalez la fraude aux prestations : RIB modifié, soins que vous n’avez pas reçus, indemnités journalières versées sur un compte inconnu, carte Vitale commandée à une adresse qui n’est pas la vôtre. Demandez le rétablissement de vos coordonnées véritables, le reversement des prestations détournées et la copie des mouvements constatés. Le faux SMS se présentant comme Ameli est un grand classique de l’hameçonnage : il invite à mettre à jour sa carte Vitale ou à confirmer un remboursement, puis renvoie vers une fausse page qui capte les identifiants et les codes bancaires. Si vous avez cliqué, faites opposition bancaire sans attendre et signalez le message, car la suite se joue souvent sur votre compte en banque dans les heures qui suivent.
C’est là que le droit bancaire devient décisif, et deux décisions récentes fixent le cadre avec netteté. Le 6 mai 2025, la cour d’appel de Besançon a jugé le cas d’un client victime d’un hameçonnage téléphonique : un individu se présentant comme un conseiller de sa banque lui avait soutiré les moyens de valider des paiements, pour un total de 18 678,47 euros prélevés sur ses comptes professionnel et personnel, et la cour, infirmant le jugement de première instance, a débouté le client de sa demande de remboursement contre la Caisse d’épargne (CA Besançon, 1re chambre civile et commerciale, 6 mai 2025, RG 24/00535). Le 24 février 2025, le tribunal judiciaire de Rennes a statué dans le même sens après un faux SMS Ameli : le client avait communiqué ses identifiants et ses codes de sécurité à l’escroc, la Société Générale avait exécuté des opérations ainsi validées, et le tribunal a débouté le client en retenant sa négligence (TJ Rennes, 24 février 2025, RG 23/02653). Dans cette dernière affaire, le tribunal a appliqué l’article L. 133-19 du code monétaire et financier, dont le paragraphe IV dispose : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. »
La leçon pratique est directe : en matière de paiements, celui qui communique lui-même ses codes à l’escroc — même manipulé par un faux conseiller ou un faux message Ameli — supporte en principe les pertes, au titre de la négligence grave tenant à la conservation et à l’usage de ses données de sécurité personnalisées, que l’utilisateur doit préserver en vertu de l’article L. 133-16 du code monétaire et financier. C’est pourquoi l’interdiction de communiquer vos codes n’est pas un conseil de prudence, mais la condition de votre remboursement. À l’inverse, quand l’opération a été exécutée sans utilisation de vos données de sécurité, quand vous n’avez rien validé, ou quand la banque n’a pas exigé l’authentification forte prévue par les textes, la responsabilité ne peut pas vous être imputée dans les mêmes termes : contestez alors par écrit sans tarder — l’article L. 133-17 du code monétaire et financier impose à l’utilisateur qui a connaissance d’une utilisation non autorisée d’en informer son prestataire aux fins de blocage —, demandez le remboursement immédiat des opérations non autorisées, exigez la preuve de l’authentification invoquée par la banque et, en cas de refus persistant, portez le litige devant le médiateur bancaire puis devant le juge. Chaque situation se tranche sur les faits techniques — qui a validé quoi, avec quel code, sur quel appareil — et vos journaux de connexion comme les relevés d’opérations feront la différence.
Si la fraude a déjà produit des effets secondaires — compte ouvert à votre nom, crédit souscrit, fichage à la Banque de France — traitez chaque effet pour lui-même : opposition et contestation auprès de l’établissement concerné, demande de défichage avec preuve de l’usurpation, mainlevée des mesures d’exécution engagées sur une dette que vous n’avez pas contractée. La méthode détaillée figure dans notre dossier consacré à l’usurpation d’identité avec crédit ou compte ouvert à votre nom, qui complète le présent article sur ce versant.
B. Porter plainte, saisir la CNIL et demander la réparation de chaque préjudice démontré
L’usurpation d’identité est une infraction pénale autonome. L’article 226-4-1 du code pénal dispose : «Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le même article ajoute : « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Une connexion FranceConnect frauduleuse, une démarche fiscale falsifiée ou un compte Ameli détourné entrent dans ce champ dès lors que l’auteur a fait usage de vos données d’identification. Selon les faits, d’autres qualifications peuvent s’y ajouter — accès frauduleux à un système de traitement automatisé de données, escroquerie, faux et usage de faux — et c’est au parquet, puis au juge, de les retenir : votre plainte doit décrire les faits avec précision, sans les qualifier vous-même.
Déposez plainte au commissariat ou à la gendarmerie, en apportant votre dossier classé : journal des faits, captures, courriels, relevés, signalement FranceConnect, réponses des services. L’article 15-3 du code de procédure pénale dispose : «Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » Aucun service ne peut donc refuser votre plainte au motif que les faits auraient été commis ailleurs, y compris depuis l’étranger. À Paris, le dépôt peut se faire dans n’importe quel commissariat, et la plainte sera transmise au service compétent. Demandez le récépissé et conservez-en une copie : administrations, banques et assurances vous le réclameront pour traiter vos contestations. Si l’auteur est identifié, constituez-vous partie civile pour demander au juge pénal la réparation de vos préjudices ; s’il reste inconnu, la plainte contre X fait courir l’enquête et interrompt la prescription.
En parallèle, saisissez la CNIL contre chaque organisme qui a méconnu vos droits : refus d’accès aux journaux de connexion, absence de réponse à votre demande d’effacement ou de rectification, maintien de données frauduleuses, traitement fondé sur des démarches usurpées. L’article 77 du règlement (UE) 2016/679 ouvre à toute personne qui estime que le traitement de ses données méconnaît le règlement le droit de porter réclamation devant une autorité de contrôle, en pratique celle de son pays de résidence. En pratique, la CNIL attend que vous ayez d’abord contacté l’organisme concerné : adressez votre plainte en ligne (procédure officielle pour adresser une plainte à la CNIL) en joignant vos demandes préalables, les réponses ou les preuves de silence, et l’ensemble de votre chronologie. La CNIL peut alors contrôler l’organisme, le mettre en demeure et, si nécessaire, le sanctionner — et ses constats appuieront votre demande de réparation devant le juge.
Cette réparation se demande sur deux fondements complémentaires. D’abord, le droit commun de la responsabilité : l’article 1240 du code civil dispose : «Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer.» L’auteur de l’usurpation répond de vos pertes sur ce fondement dès lors que sa faute et votre dommage sont établis. Ensuite, le fondement propre à la protection des données : l’article 82 du règlement (UE) 2016/679, qui permet à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Ce second fondement vise les organismes dont la violation — sécurité défaillante, droits ignorés, conservation abusive — a permis ou aggravé le dommage.
La Cour de cassation a précisé le régime de ce texte le 24 juin 2026 : la simple violation du règlement ne suffit pas à ouvrir droit à réparation, le préjudice doit être démontré dans son existence et son étendue, mais aucune gravité minimale n’est exigée pour le dommage moral, et le montant se fixe selon les règles internes de réparation (Cass. soc., 24 juin 2026, n° 24-22.792, FS-B). Concrètement, chiffrez tout : sommes détournées, frais bancaires, majorations fiscales indûment supportées, jours de démarches et perte de revenus, préjudice moral lié à l’angoisse et à l’atteinte à votre identité administrative. Produisez les justificatifs poste par poste : relevés, avis, factures, attestations. Un préjudice même modeste mais prouvé — quelques centaines d’euros de frais et de démarches — ouvre droit à réparation, tandis qu’un préjudice grave mais affirmé sans preuve sera rejeté. C’est l’écart entre ces deux issues qui fait toute la valeur du dossier constitué dès les premières heures.
Un dernier point si un service vous a notifié une violation de vos données : conservez ce courriel comme une pièce maîtresse. Les articles 33 et 34 du règlement (UE) 2016/679 imposent au responsable du traitement de notifier la violation à l’autorité dans les meilleurs délais et, si possible, au plus tard dans les 72 heures après en avoir pris connaissance, puis d’en avertir la personne concernée quand le risque pour ses droits est élevé. La CNIL expose les règles applicables aux violations de données personnelles. Cette notification prouve la date à laquelle l’organisme a su, l’étendue qu’il reconnaît et les mesures qu’il annonce : elle borne vos discussions avec lui et, en cas de litige, elle établit ce qu’il savait et quand il l’a su.
Conclusion
Une usurpation passée par FranceConnect se traite comme une course contre la montre dont chaque étape laisse une trace utile : signalement immédiat à FranceConnect, verrouillage de chaque service depuis un appareil sain, conservation intégrale des preuves, exercice écrit des droits d’accès, de rectification, d’effacement et d’opposition, contestation de chaque démarche fiscale, sociale et bancaire, puis plainte pénale systématique, réclamation CNIL contre les organismes défaillants et demande de réparation poste par poste. Les décisions de 2025 et 2026 rappellent les deux bornes du parcours : les juges déboutent le client qui a lui-même livré ses codes à un faux conseiller ou à un faux SMS Ameli, et ils indemnisent la victime qui démontre un préjudice précis né d’une violation des textes. Entre ces deux bornes, tout se joue dans la rapidité de votre réaction et la rigueur de votre dossier. À Paris comme ailleurs, déposez plainte sans attendre, écrivez à chaque organisme en recommandé et ne laissez passer aucun délai de contestation : c’est ce faisceau de diligences, plus que la sophistication de l’attaque, qui décidera de l’issue.