À quelques semaines de la sortie de GTA 6, prévue le 19 novembre 2026 sur consoles, les escrocs exploitent l’impatience des joueurs avec une ampleur inédite. D’après l’enquête des chercheurs d’Avast relayée par Clubic, plus de 200 noms de domaine liés au jeu ont été repérés en une seule journée, dont une vingtaine jugés à risque : fausses boutiques de précommande copiant le PlayStation Store, faux téléchargements pour PC ou mobile, faux jetons crypto et fausses pages de téléchargement. CNews rapporte de son côté que plus de 4 millions d’exemplaires du jeu auraient déjà été précommandés, ce qui donne aux faux sites un vivier considérable de victimes potentielles. Aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide. Cet article explique comment vérifier un site avant de payer, quels réflexes protègent vos données bancaires, et quels recours la loi française ouvre aux victimes : signalements, plainte et remboursement par la banque.

I. Reconnaître le faux site de précommande ou de téléchargement GTA 6 avant de payer

A. GTA 6 précommande : les signaux qui doivent alerter sur une fausse boutique ou un faux téléchargement

Le cas le plus abouti décrit par Avast, et relayé par Clubic, porte le nom de order-gta6.com : le site se présente comme une boutique vendant une prétendue « Grand Theft Auto VI: Ultimate Edition », avec un habillage calqué sur celui du PlayStation Store. D’après Clubic, sous ce vernis officiel, le dispositif serait destiné à récupérer les identifiants des visiteurs et à encaisser leur argent, et Avast y aurait même déniché un code fonctionnel de connexion à un portefeuille de cryptomonnaies. Le piège serait redoutable parce que l’édition imitée existerait bel et bien : l’éditeur commercialiserait une Édition Ultime à 99,99 euros, et le jeu serait livré sous forme de code de téléchargement même en boîte. Acheter un simple code auprès d’un vendeur inconnu pourrait donc sembler normal, alors que ce serait précisément le mécanisme de l’arnaque présumée.

D’autres sites joueraient la carte de l’appât du gain plutôt que celle de l’impatience. Toujours d’après l’enquête d’Avast relayée par Clubic, le site fangta6.com vanterait un faux jeton baptisé ViceFuel, encore en développement, avec des cadeaux à la clé, tandis que la plateforme gta6casinoslots.online cumulerait collecte d’identifiants, demandes de paiement, références crypto et offres promotionnelles sous une identité visuelle empruntée au jeu. Avast signalerait aussi gta6-radar.com, gta6-mods.com ou gta6.my parmi les pages les plus dangereuses. Une partie de la liste viserait les joueurs sans console adaptée, avec des sites comme gta6pcgame.com, gta6mobile.net ou gta6modapk.com.in qui promettraient le jeu sur ordinateur ou en application Android : l’un assurerait qu’une bêta Android aurait été lancée, un autre afficherait 150 Go, un bouton de téléchargement direct et 27 494 téléchargements au compteur, pour un jeu qui n’existerait pas encore sur ces supports. Or, et c’est le point de contrôle le plus simple, GTA 6 sortirait uniquement sur deux consoles de salon, sans version PC ni mobile annoncée, et la piste d’un accès sur PC via le cloud aurait été refermée le 7 octobre. Toute promesse de téléchargement gratuit, de version PC ou d’accès anticipé sur mobile contredirait donc l’offre officielle connue et devrait conduire à fermer la page immédiatement.

Ce phénomène ne serait pas nouveau : dès l’ouverture des précommandes, de faux magasins copiant le PlayStation Store et un pseudo-jeton $GTAVI auraient déjà été repérés par Kaspersky, et à la fin du mois d’août, une prétendue démo PC du jeu aurait caché un logiciel malveillant. Depuis le 8 octobre, un fichier de plus de 370 Mo baptisé « Extended Leek » ferait en outre circuler de prétendues vidéos inédites du jeu. Face à cette vague, Avast recommanderait de n’acheter le jeu que sur les boutiques officielles, de fuir toute promesse de téléchargement gratuit ou anticipé sur PC, de ne jamais relier son portefeuille de cryptomonnaies à un site de jeu, et de vérifier l’adresse affichée dans le navigateur avant de taper un mot de passe ou un numéro de carte. Le préchargement de la version numérique, qui permettrait d’installer le jeu à l’avance pour y jouer dès minuit le jour de la sortie, ouvrirait le 12 novembre sur les canaux officiels : avant cette date, aucun téléchargement présenté comme venant du jeu ne pourrait être authentique.

Sur le plan juridique, une page qui imiterait une boutique officielle pour capter des paiements pourrait relever de plusieurs qualifications, qu’il appartiendrait au juge de retenir. L’article L121-1 du code de la consommation interdit les pratiques commerciales déloyales, définies comme contraires aux exigences de la diligence professionnelle et de nature à altérer de manière substantielle le comportement économique du consommateur normalement informé et raisonnablement attentif et avisé (article L121-1 du code de la consommation). Les pratiques commerciales trompeuses seraient quant à elles punies de deux ans d’emprisonnement et de 300 000 euros d’amende, avec des majorations proportionnées aux avantages tirés du délit, en application de l’article L132-2 du même code (article L132-2 du code de la consommation). Sur le terrain pénal, l’article 313-1 du code pénal définirait l’escroquerie comme le fait de tromper une personne, par l’usage d’un faux nom ou d’une fausse qualité ou par des manoeuvres frauduleuses, pour la déterminer à remettre des fonds ou des valeurs, infraction punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal). Un faux site de précommande qui se ferait passer pour une boutique officielle et encaisserait des paiements sans jamais livrer pourrait correspondre à cette définition, sous réserve de l’appréciation du juge. De même, la copie servile du logo et de la mise en page d’une marque connue pour paraître authentique, relevée par Clubic sur certains sites, pourrait être regardée comme un usage non autorisé d’un signe protégé : l’article L713-3 du code de la propriété intellectuelle interdirait, sauf autorisation du titulaire, l’usage dans la vie des affaires d’un signe identique ou similaire à une marque de renommée, dès lors que cet usage tirerait indûment profit de son caractère distinctif ou de sa renommée, ou leur porterait préjudice (article L713-3 du code de la propriété intellectuelle). Le tribunal judiciaire de Paris a d’ailleurs déjà ordonné, dans un litige de contrefaçon de marque sur internet, la suppression d’un nom de domaine litigieux sous astreinte : par jugement du 8 octobre 2025 (RG 24/10123), il a ordonné la suppression du nom de domaine marmaxshop.com dans les trente jours de la signification, sous astreinte de 200 euros par jour de retard pendant cent quatre-vingts jours, avec confiscation des supports et 5 000 euros de dommages et intérêts. Pour fixer les réparations, le tribunal a appliqué l’article L716-4-10 du code de la propriété intellectuelle, qui inviterait la juridiction à prendre en considération distinctement les conséquences économiques négatives dont le manque à gagner, le préjudice moral et les bénéfices réalisés par le contrefacteur, avec la possibilité d’une somme forfaitaire supérieure aux redevances qui auraient été dues (article L716-4-10 du code de la propriété intellectuelle). Le titulaire d’une marque détournée par des faux sites disposerait donc d’armes civiles éprouvées, même si la victime directe d’un paiement frauduleux doit d’abord penser à ses propres recours.

Le premier réflexe consiste à ne jamais précommander depuis un lien reçu par message, par réseau social ou par une publicité, et à taper soi-même l’adresse de la boutique connue ou à passer par l’application officielle de la console. D’après Clubic, l’un des sites épinglés par Avast copierait sans gêne le PlayStation Store : l’habillage, le logo et la mise en page ne prouveraient donc rien, et seule l’adresse exacte affichée dans la barre du navigateur permettrait de démasquer l’imposteur. Avant tout paiement, il faudrait vérifier le nom de domaine lettre par lettre, se méfier des fautes d’orthographe, des extensions exotiques et des sous-domaines trompeurs, et refuser toute page qui demanderait de créer un compte, de saisir des identifiants de console ou de relier un portefeuille de cryptomonnaies pour « valider » une précommande. Avast mettrait en garde précisément sur ce point : relier son application de stockage de cryptomonnaies à un site de jeu reviendrait à lui ouvrir l’accès à ses fonds. De manière générale, un vendeur légitime de jeu vidéo ne demanderait jamais les identifiants du compte PlayStation ou Xbox, le code secret de la carte bancaire, ni une validation par code reçu par SMS pour confirmer un achat : toute demande de ce type signerait une tentative de captation.

Le deuxième réflexe tient au moyen de paiement. Pour une précommande en ligne, la carte bancaire offrirait la meilleure traçabilité et ouvrirait la voie du remboursement en cas d’opération non autorisée, comme on le verra dans la seconde partie. Les virements directs vers un inconnu, les recharges de cartes prépayées, les paiements en cryptomonnaies et les transferts entre particuliers seraient à proscrire : une fois exécutés, ils seraient très difficilement réversibles, et le faux jeton ViceFuel décrit par Avast montrerait que les escrocs cherchent justement à attirer les paiements vers des circuits non bancaires. Si un site n’accepte que la crypto ou exige de connecter un portefeuille numérique, il faudrait renoncer à l’achat. Pour les joueurs qui craignent de compromettre leur carte principale, une carte virtuelle à usage unique ou un plafond temporaire abaissé auprès de la banque constitueraient une protection utile, sans pour autant dispenser des vérifications sur le vendeur.

B. Précommande GTA 6 en ligne : les réflexes qui protègent le paiement et les données bancaires

Le troisième réflexe concernerait les données personnelles et l’accès au compte. Les faux sites décrits viseraient autant les identifiants que l’argent : comptes de console, adresses électroniques, mots de passe, parfois numéros de téléphone pour la suite de l’arnaque par faux conseiller bancaire. Saisir les mêmes identifiants que ceux du compte officiel sur une page douteuse exposerait à une prise de contrôle du compte, avec à la clé des achats frauduleux et parfois la perte d’une bibliothèque de jeux entière. L’article 323-1 du code pénal punirait de trois ans d’emprisonnement et de 100 000 euros d’amende le fait d’accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données, peine portée à cinq ans et 150 000 euros en cas de suppression ou de modification de données ou d’altération du fonctionnement du système (article 323-1 du code pénal). Par ailleurs, l’article 226-4-1 punirait d’un an d’emprisonnement et de 15 000 euros d’amende l’usurpation d’identité d’un tiers ou l’usage de données permettant de l’identifier, avec les mêmes peines lorsque les faits seraient commis sur un réseau de communication au public en ligne (article 226-4-1 du code pénal). Concrètement, activer la double authentification sur le compte de console et sur l’adresse électronique associée, utiliser un mot de passe unique par service et conserver les captures d’écran de toute page suspecte (adresse, offres, conditions affichées) constitueraient à la fois une protection et une preuve pour la suite. Ces captures serviraient en effet si le litige devait être porté devant la banque ou le juge, et elles permettraient de signaler précisément le site aux plateformes dédiées.

Enfin, pour les achats réguliers, les règles de la vente à distance continueraient de s’appliquer et offriraient un filet de sécurité distinct de l’arnaque pure : un acheteur qui aurait précommandé le jeu ou un coffret collector auprès d’un vendeur identifié et solvable disposerait du droit de rétractation et des garanties de livraison, comme l’explique notre analyse des droits de l’acheteur en cas de précommande GTA 6 à prix cassé ou de collector sans le jeu. Mais ce régime supposerait un vendeur existant : face à un faux site qui n’aurait jamais eu l’intention de livrer, le terrain serait celui de la fraude, avec la plainte pénale et la demande de remboursement bancaire comme voies principales. La frontière entre les deux situations tiendrait à un critère simple : un vendeur réel, immatriculé et joignable, qui tarde ou se trompe, relèverait du droit de la consommation ; une boutique fantôme qui capterait des paiements et des identifiants relèverait de l’escroquerie présumée, et exigerait d’agir vite.

II. Agir après l’arnaque : signaler, porter plainte et se faire rembourser

A. Arnaque internet précommande que faire : opposition, signalements et plainte dans les premières heures

Les premières heures suivant la découverte du paiement seraient décisives. Si une carte bancaire a été utilisée sur un faux site, il faudrait faire opposition sans attendre auprès de la banque, relever les opérations suspectes et demander par écrit le remboursement des opérations non autorisées, en conservant une copie de chaque échange. Si des identifiants ont été saisis, il faudrait changer immédiatement les mots de passe du compte de console, de l’adresse électronique associée et de tout service partageant le même mot de passe, activer la double authentification et vérifier qu’aucune adresse de récupération ni aucun moyen de paiement inconnu n’a été ajouté. Si un fichier a été téléchargé et exécuté, il faudrait déconnecter l’appareil d’internet, le faire analyser par un antivirus à jour et, en cas de doute persistant, le faire examiner par un professionnel avant toute nouvelle connexion au compte bancaire. Si un portefeuille de cryptomonnaies a été connecté au site, il faudrait révoquer sans délai les autorisations accordées et transférer les fonds restants vers une nouvelle adresse, car les transferts d’actifs numériques seraient en pratique irréversibles.

Parallèlement, plusieurs signalements ouverts aux victimes permettraient de faire tracer les faits et d’aider les enquêteurs. La plateforme 17Cyber, service public d’assistance aux victimes d’infractions numériques, permettrait de qualifier les faits et d’être orienté vers le dépôt de plainte. Un dépôt de plainte pourrait ensuite être préparé en ligne puis déposé au commissariat ou à la gendarmerie, ou adressé au procureur de la République, en joignant les captures d’écran, les relevés bancaires, les courriels de confirmation et tout élément d’identification du site. Le signalement du site frauduleux sur la plateforme PHAROS d’une part, et le signalement du litige de consommation sur SignalConso d’autre part, compléteraient utilement la plainte : le premier alimenterait la lutte contre les contenus illicites en ligne, le second alerterait la direction générale de la concurrence, de la consommation et de la répression des fraudes sur une pratique commerciale présumée trompeuse. Ces démarches ne remplaceraient ni l’opposition bancaire ni la plainte, mais elles créeraient une trace datée des faits, précieuse si la banque contestait ensuite la réalité de la fraude. Lorsque l’arnaque aurait conduit à communiquer des données personnelles ou à subir une usurpation d’identité en ligne, les faits pourraient en outre être signalés comme une atteinte aux données, dans la logique décrite par notre dossier sur les démarches après un piratage de données personnelles.

La plainte pénale aurait un double intérêt : déclencher l’enquête sur les auteurs présumés et permettre à la victime de se constituer partie civile pour demander réparation de son préjudice devant le juge pénal. Les qualifications encourues, qu’il appartiendrait au parquet puis au juge de retenir, pourraient inclure l’escroquerie de l’article 313-1 du code pénal, l’accès ou le maintien frauduleux dans un système de traitement automatisé de données de l’article 323-1, et l’usurpation d’identité commise sur un réseau de communication au public en ligne de l’article 226-4-1. Le délai de prescription de l’action publique en matière délictuelle serait de six ans à compter du jour où l’infraction aurait été commise, ce qui laisserait le temps d’agir, sans pour autant justifier d’attendre : les preuves numériques s’effaceraient vite et les fonds détournés seraient rapidement dispersés. Il faudrait donc déposer plainte rapidement, même si l’enquête sur des auteurs souvent installés à l’étranger et masqués derrière des noms de domaine éphémères s’annonçait longue et incertaine. La voie la plus rapide vers une indemnisation resterait, dans la plupart des cas, la demande de remboursement adressée à la banque.

B. Paiement frauduleux remboursement banque : le droit au remboursement et la bataille de la négligence grave

Le principe posé par le code monétaire et financier serait favorable à la victime d’une opération non autorisée. L’article L133-18 obligerait le prestataire de services de paiement à rembourser le montant de l’opération non autorisée dès qu’il en aurait connaissance et au plus tard à la fin du premier jour ouvrable suivant, puis à rétablir le compte dans l’état où il se serait trouvé sans cette opération, sauf s’il soupçonnerait une fraude de l’utilisateur lui-même et en aviserait par écrit la Banque de France (article L133-18 du code monétaire et financier). La banque ne pourrait donc refuser le remboursement qu’en soupçonnant une fraude de son propre client, et à charge pour elle d’en aviser par écrit la Banque de France. Par ailleurs, l’article L133-19 prévoirait des plafonds protecteurs : en cas de perte ou de vol de l’instrument, le payeur supporterait les pertes antérieures à l’information de la banque dans la limite de 50 euros, sans aucune responsabilité en cas d’opération effectuée sans les données de sécurité personnalisées, de détournement à son insu ou de contrefaçon de l’instrument resté en sa possession, et surtout sans aucune conséquence financière, sauf agissement frauduleux de sa part, lorsque l’opération aurait été effectuée sans authentification forte (article L133-19 du code monétaire et financier). Une opération exécutée sans authentification forte laisserait donc en principe un reste à charge nul pour le client de bonne foi.

La charge de la preuve pèserait en outre sur la banque. L’article L133-23 imposerait au prestataire, lorsque l’utilisateur nierait avoir autorisé une opération, de prouver qu’elle aurait été authentifiée, enregistrée et comptabilisée sans déficience technique, en précisant que la seule utilisation enregistrée de l’instrument ne suffirait pas à prouver l’autorisation ni l’absence de manquement du client, et que la banque devrait apporter des éléments prouvant la fraude ou la négligence grave de l’utilisateur (article L133-23 du code monétaire et financier). La banque qui refuserait le remboursement devrait donc démontrer positivement soit une fraude du client, soit sa négligence grave, et la simple utilisation des codes ne suffirait pas à l’établir. Le tribunal judiciaire de Tours l’a rappelé avec netteté le 13 août 2026 (RG 23/03706) : saisie du cas d’un client victime de onze virements frauduleux pour près de 55 000 euros, la juridiction a estimé que la négligence grave ne pouvait se déduire de la seule utilisation de l’instrument, que la banque supportait la charge de cette preuve, et qu’aucune fraude ni négligence grave n’étant établie contre un client qui avait avisé la banque dès le premier virement suspect et accompli les démarches préconisées, le refus de rembourser n’était pas fondé. Le tribunal a en conséquence condamné la banque à verser 54 935,34 euros au titre des fonds indûment prélevés, augmentés des intérêts au taux légal majoré, plus 3 000 euros de préjudice moral et 3 500 euros au titre de l’article 700 du code de procédure civile, avec exécution provisoire. Cette décision montrerait qu’un client diligent, qui alerterait sa banque dès la première opération suspecte, pourrait obtenir le remboursement intégral, même pour des montants importants.

Mais la réciproque serait vraie, et la cour d’appel de Douai l’a illustrée le 9 juillet 2026 (RG 25/03149) en confirmant le rejet de la demande d’un client victime d’hameçonnage et de faux conseiller bancaire. La cour a rappelé, en visant la Cour de cassation (chambre commerciale, 5 mars 2025, n° 23-22.687), qu’il appartiendrait à la banque de prouver que l’utilisateur contestant l’autorisation aurait agi frauduleusement ou manqué par négligence grave à son obligation de préserver la sécurité de ses données personnalisées. En l’espèce, le client avait cliqué sur un lien reçu par SMS tard le soir, communiqué ses coordonnées bancaires hors de son espace sécurisé, puis validé lui-même les opérations litigieuses par code SMS en croyant les annuler, guidé par un faux conseiller. La cour a estimé que le défaut de vigilance d’un payeur qui communiquerait ses données et aiderait un tiers à utiliser son espace bancaire en contournant l’authentification forte, dans des circonstances qui devaient l’alerter, caractériserait la négligence grave, et elle a confirmé en toutes ses dispositions le jugement du tribunal judiciaire de Lille du 29 avril 2025, en condamnant l’appelant aux dépens et à 2 000 euros au titre de l’article 700. L’enseignement pour la victime d’un faux site de précommande serait direct : signaler vite, ne jamais valider d’opérations dictées par un interlocuteur inconnu, ne jamais saisir ses codes bancaires hors du site officiel de la banque, et conserver toute preuve de sa diligence. La frontière entre le remboursement intégral et le refus de la banque se jouerait largement sur ces comportements, que le juge apprécierait au cas par cas.

La vague de faux sites décrite par Avast et relayée par Clubic et CNews rappellerait une règle simple : avant la sortie officielle, aucun téléchargement, aucune bêta et aucune précommande hors des boutiques officielles ne serait authentique, et toute page qui demanderait des identifiants, un code SMS ou une connexion de portefeuille crypto devrait être fermée puis signalée. Après un paiement suspect, l’opposition immédiate, le changement des mots de passe, les signalements sur 17Cyber, PHAROS et SignalConso, puis la plainte constitueraient le premier cercle des démarches, tandis que la demande écrite de remboursement à la banque, fondée sur les articles L133-18, L133-19 et L133-23 du code monétaire et financier, ouvrirait la voie de l’indemnisation, comme l’illustreraient le jugement du tribunal judiciaire de Tours du 13 août 2026 et l’arrêt de la cour d’appel de Douai du 9 juillet 2026, sous réserve de l’absence de négligence grave. Aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge, saisi des faits précis de chaque dossier, déciderait de la qualification et de la réparation.