Votre mot de passe Fortnite ne passe plus, l’adresse électronique du compte a changé sans vous, un pseudo inconnu apparaît et vos V-bucks ont fondu en achats que vous n’avez jamais faits. Pour un adulte comme pour un enfant, la découverte est brutale : un compte Epic Games concentre l’identité du joueur, son historique d’achats, parfois une carte bancaire enregistrée et des années de progression. La première urgence consiste à reprendre la main. La seconde consiste à protéger vos données personnelles, car un compte piraté ouvre l’accès à votre adresse, à vos contacts et à vos moyens de paiement. La troisième consiste à faire sanctionner les faits et à obtenir réparation des sommes perdues. Ce guide suit cet ordre : récupérer le compte et figer les dégâts, sécuriser et conserver les preuves, exercer vos droits sur vos données puis engager les recours pénaux et indemnitaires. Chaque étape compte, car une récupération précipitée sans preuve complique la suite, et une plainte sans constat technique précis perd de sa force. Suivez-les dans l’ordre, sans sauter la conservation des preuves, qui conditionne l’ensemble des recours décrits ensuite.
I. Reprendre la main sur un compte Epic Games piraté
Lorsqu’un tiers prend le contrôle de votre compte, chaque heure compte : il peut dépenser votre solde, revendre le compte, utiliser votre carte ou se servir de votre identité pour tromper vos contacts. La méthode ci-dessous suit l’ordre recommandé par l’assistance d’Epic Games pour les comptes compromis et par la CNIL pour les comptes piratés en général.
A. Récupérer l’accès pas à pas
Commencez par vérifier si votre boîte électronique est elle-même compromise. Un pirate change d’abord l’adresse du compte de jeu depuis votre messagerie : si vous ne recevez plus les courriels d’Epic Games ou si des messages de changement d’adresse que vous n’avez pas demandés s’y trouvent, récupérez votre messagerie en priorité auprès de votre fournisseur, avec un mot de passe neuf et unique. Sans une boîte saine, toute récupération du compte de jeu reste fragile.
Rendez-vous ensuite sur la page d’assistance consacrée aux comptes compromis, accessible depuis le centre d’aide d’Epic Games, et suivez la procédure de récupération : formulaire de contact, description précise des faits, date approximative de la perte d’accès et tout élément prouvant que le compte est le vôtre. Rassemblez avant d’écrire : pseudos successifs, adresses électroniques utilisées, factures d’achat de V-bucks ou de jeux, quatre derniers chiffres et relevés de la carte utilisée, ville et fournisseur d’accès habituels, dates de création et de jeu. Plus le faisceau d’indices est précis, plus la restitution est rapide. Pendant cette phase, ne créez pas un second compte pour rejouer avec les mêmes identifiants : vous compliqueriez l’identification du compte d’origine.
Si des achats que vous n’avez pas autorisés apparaissent, contestez-les sans tarder auprès d’Epic Games en joignant vos relevés, puis auprès de votre banque. Quand une carte enregistrée a servi à des paiements initiés par le pirate, faites opposition si l’instrument a été détourné et demandez le remboursement des opérations non autorisées, en conservant chaque écrit. Vérifiez aussi les autres comptes qui partageaient le même mot de passe : boîtes électroniques, réseaux sociaux, plateformes de jeu. Une grande partie des piratages de comptes de jeu provient d’identifiants volés ailleurs puis rejoués automatiquement, ce que les spécialistes appellent le bourrage d’identifiants. Changez ces mots de passe un par un, en commençant par la messagerie, sans réutiliser l’ancien.
Quand le compte appartient à votre enfant, accompagnez chaque démarche et vérifiez les paramètres familiaux : consentement parental, plafonds d’achat, restrictions de communication vocale. Un compte d’enfant piraté expose les mêmes risques financiers, avec une vigilance parentale en moins au moment critique. Notez enfin les faux messages reçus avant le piratage : fausses pages de connexion, faux cadeaux de V-bucks, faux support technique. Ces messages constituent la piste des enquêteurs et serviront votre plainte.
B. Sécuriser le compte récupéré et conserver les preuves
Une fois l’accès rétabli, activez immédiatement l’authentification à deux facteurs depuis les paramètres du compte, en privilégiant une application d’authentification plutôt que le simple code par message, et conservez vos codes de secours sur un support distinct. Déconnectez toutes les sessions et appareils inconnus, vérifiez l’adresse électronique et le numéro associés, puis remplacez le mot de passe par une phrase longue et unique, inconnue de tout autre service. La CNIL recommande un mot de passe que personne ne peut deviner, jamais communiqué à un tiers, jamais enregistré dans un navigateur sans mot de passe maître, accompagné d’un dispositif d’alerte en cas de connexion depuis un terminal inconnu et d’une déconnexion à distance des appareils encore liés au compte. Ces réflexes valent pour le compte de jeu comme pour la boîte électronique qui le protège. Pour approfondir ces gestes, la page de la CNIL consacrée au piratage des comptes détaille la marche à suivre, et le centre d’aide d’Epic Games pour les comptes compromis décrit la procédure de récupération officielle.
Pour ne pas retomber dans le piège de la réutilisation, confiez vos mots de passe à un gestionnaire chiffré plutôt qu’à votre mémoire ou à un fichier en clair : un mot de passe unique par service rend le bourrage d’identifiants inopérant, puisque la fuite d’un site ne livre plus la clé des autres. Imprimez ou recopiez vos codes de secours d’authentification à deux facteurs sur un papier conservé hors ligne, à jour à chaque régénération, afin de ne jamais perdre l’accès en cas de téléphone perdu ou volé. Vérifiez enfin, compte par compte, les adresses de récupération et les questions secrètes : un pirate patient modifie d’abord ces issues de secours pour revenir après la première récupération. Un contrôle trimestriel de ces réglages, quelques minutes par compte, suffit à garder la main durablement.
Conservez ensuite les preuves avant de tout nettoyer. Capturez avec la date visible : le solde de V-bucks, l’historique des achats contestés, les courriels de changement d’adresse ou de mot de passe, les messages suspects reçus, les relevés bancaires des opérations litigieuses. Exportez les en-têtes complets des courriels d’hameçonnage, qui contiennent l’adresse réelle de l’expéditeur. Tenez un journal chronologique simple : date de découverte, premier signe, démarches effectuées, interlocuteurs, références de dossiers. Ne supprimez pas tout de suite les messages du pirate ni les journaux de connexion : ils établissent l’accès frauduleux et sa durée. Ces pièces serviront à la fois la réclamation auprès de l’éditeur, la plainte pénale et la demande d’indemnisation.
Déposez plainte au commissariat ou à la gendarmerie en apportant ce dossier, et effectuez en parallèle un signalement sur la plateforme officielle de signalement des contenus illicites de l’internet, qui oriente vers le service compétent. Décrivez les faits sans les qualifier juridiquement : qui a fait quoi, quand, avec quelles conséquences financières. Demandez et conservez le récépissé de dépôt. Si le pirate a utilisé vos données pour tromper d’autres joueurs ou vos proches, mentionnez-le : ces usages caractérisent des infractions distinctes et aggravent le dossier.
II. Faire valoir ses droits sur vos données et obtenir réparation
Récupérer le compte ne solde rien : vos données personnelles ont circulé entre des mains inconnues, et le préjudice financier demeure. Le droit des données personnelles vous donne des leviers directs contre l’éditeur du jeu, tandis que le droit pénal vise l’auteur du piratage. Les deux voies se cumulent.
A. Vos données personnelles : accès, effacement et recours devant la CNIL
L’éditeur du jeu, qui détermine les finalités et les moyens du traitement lié à votre compte, agit comme responsable du traitement de vos données : identité, adresse électronique, adresse IP, historique de connexion et d’achats, enregistrements de paiement, contenus échangés. Le règlement européen sur la protection des données vous reconnaît un droit d’accès : vous pouvez obtenir la confirmation que des données vous concernant sont traitées et en exiger la communication avec les finalités, les catégories de données, les destinataires et la durée de conservation. Concrètement, demandez à l’éditeur la copie de vos données de compte, l’historique des connexions et la liste des modifications intervenues pendant la période du piratage : ces éléments prouvent l’intrusion et chiffrent le préjudice.
Vous disposez aussi d’un droit à l’effacement lorsque les données ne sont plus nécessaires, lorsque vous retirez votre consentement sans autre fondement, lorsque vous vous opposez au traitement sans motif légitime impérieux contraire, ou lorsque les données ont fait l’objet d’un traitement illicite. Demandez la suppression des données devenues inutiles et, si vous quittez définitivement la plateforme, la clôture complète du compte avec effacement. L’effacement n’est toutefois pas absolu : l’éditeur peut conserver certaines données le temps nécessaire à la sécurité, à la lutte contre la fraude ou au respect d’obligations légales, et vous avez intérêt à conserver vous-même les preuves du piratage avant toute suppression. La Cour de cassation rappelle d’ailleurs que le droit à l’oubli se met en balance avec les autres droits fondamentaux : dans un arrêt du 3 juin 2026, la première chambre civile approuve une cour d’appel qui, « Ayant fait ressortir que le droit à l’information devait en l’espèce prévaloir sur le droit à la protection de la vie privée de M. [G] et ainsi procédé à la mise en balance des intérêts en présence, elle a légalement justifié sa décision de rejeter la demande d’anonymisation » (arrêt n° 25-14.228 du 3 juin 2026). La leçon vaut pour les comptes de jeu : chaque demande d’effacement s’apprécie au regard des intérêts concurrents, et une demande précise et motivée obtient davantage qu’une injonction générale.
L’éditeur reste tenu d’assurer la sécurité du traitement par des mesures techniques et organisationnelles adaptées au risque, ce qui inclut la proposition d’une authentification à deux facteurs et la surveillance des connexions anormales. Si la compromission provient d’une violation de ses propres systèmes présentant un risque pour vos droits, il doit la notifier à l’autorité de contrôle dans les meilleurs délais, si possible dans les soixante-douze heures, et vous en informer directement lorsque le risque est élevé, en des termes clairs, avec la nature de la violation et les mesures à prendre. Distinguez bien les situations : un mot de passe rejoué depuis une fuite subie ailleurs ne traduit pas une faille de l’éditeur, tandis qu’une intrusion massive touchant des milliers de comptes relève de ses obligations propres. Cette distinction conditionne le succès d’une réclamation.
Exercez ces droits par écrit, depuis l’adresse électronique associée au compte ou via le formulaire dédié de l’éditeur, en précisant ce que vous demandez : copie des données, effacement de telle catégorie, clôture du compte. Le principe posé par le règlement est une réponse dans les meilleurs délais, au plus tard sous un mois, avec une motivation en cas de refus : passé ce délai sans réponse satisfaisante, la plainte devant la CNIL devient l’étape naturelle, comme rappelé ci-dessus. Vous pouvez aussi vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l’intérêt légitime de l’éditeur, par exemple la prospection ou le profilage publicitaire greffé sur le compte de jeu : l’éditeur doit alors cesser, sauf motif légitime impérieux qu’il lui appartient de démontrer. Pour un enfant de moins de quinze ans, ce sont les parents qui exercent ces droits et consentent pour lui aux traitements qui le requièrent : vérifiez qui a consenti à quoi lors de la création du compte, car un consentement donné par l’enfant seul ne suffit pas toujours. Conservez chaque demande et chaque réponse : en cas de contentieux, l’envoi et le silence de l’éditeur se prouvent par écrit, jamais de mémoire.
Si l’éditeur ne répond pas à vos demandes d’accès ou d’effacement, ou si sa réponse reste insatisfaisante passé un mois, saisissez la CNIL par une plainte en ligne en joignant vos échanges. Toute personne qui estime qu’un traitement de ses données viole le règlement peut porter réclamation devant l’autorité de contrôle, qui instruit et peut mettre en demeure puis sanctionner. La méthode pas à pas, les délais et les suites d’une plainte sans réponse sont décrits dans notre guide pour déposer et relancer une plainte devant la CNIL, utile lorsque l’éditeur tarde à restituer vos données ou à clôturer le compte. Une plainte documentée, avec le journal chronologique et les captures constitués plus tôt, aboutit plus sûrement qu’un récit sans pièce.
B. La réponse pénale et l’indemnisation de votre préjudice
Le piratage d’un compte de jeu constitue d’abord une atteinte aux systèmes de traitement automatisé de données. La loi punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », la peine montant à cinq ans et 150 000 euros en cas de suppression, de modification de données ou d’altération du fonctionnement (article 323-1 du code pénal). La Cour de cassation applique ce texte avec constance : « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 sept. 2025, n° 24-83.605). Peu importe donc que le pirate ait deviné, volé ou acheté votre mot de passe : l’accès sans autorisation suffit. La même chambre juge que « se rend coupable de l’infraction prévue à l’article 323-1 du code pénal la personne qui, sachant qu’elle n’y est pas autorisée, accède, à l’insu des victimes, à un système de traitement automatisé de données », à propos d’un dispositif espion installé pour capter des codes d’accès (Cass. crim., 16 janv. 2018, n° 16-87.168). Quand le pirate aspire vos contenus, revend vos objets ou vide votre solde, un second texte s’ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende » (article 323-3 du code pénal).
Les usages faits de votre identité ouvrent d’autres qualifications. Quand le pirate se fait passer pour vous auprès de vos contacts ou de l’assistance, l’usurpation d’identité s’applique, et « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne », soit un an d’emprisonnement et 15 000 euros d’amende (article 226-4-1 du code pénal). Quand il obtient de l’éditeur ou de votre banque un remboursement ou un avantage en se présentant comme vous, l’escroquerie entre en jeu : tromper autrui par l’usage d’un faux nom, d’une fausse qualité ou de manoeuvres frauduleuses pour obtenir fonds, valeurs ou décharge est puni de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal). La lecture des messages privés du compte par le pirate relève en outre de l’atteinte au secret des correspondances par voie électronique (article 226-15 du code pénal). Visez ces textes dans votre plainte en décrivant les faits correspondants : accès au compte, extraction des contenus, usage de votre nom, messages lus, sommes détournées.
Identifier l’auteur du piratage conditionne souvent l’aboutissement pénal : adresse IP de connexion, journaux conservés par l’éditeur, boutique ayant reçu les fonds détournés. Signalez dès la plainte les créneaux horaires des connexions frauduleuses visibles dans l’historique du compte : le procureur et les enquêteurs peuvent requérir ces données techniques auprès des intermédiaires, qui ne les conservent qu’un temps limité. C’est une raison supplémentaire d’agir dans les premiers jours plutôt que après plusieurs semaines. Si l’enquête n’aboutit pas, vos droits sur vos données et votre action civile contre l’éditeur, lorsqu’il a manqué à ses obligations propres, subsistent indépendamment : les voies pénale, administrative et civile avancent chacune à son rythme et se renforcent mutuellement.
L’indemnisation suit deux chemins complémentaires. Devant le juge pénal, constituez-vous partie civile pour obtenir la réparation de vos préjudices : achats frauduleux, solde et contenus perdus, frais bancaires, temps passé, préjudice moral lié à la perte de contrôle de votre identité numérique. Les juridictions indemnisent ce préjudice moral avec attention : dans l’affaire jugée en septembre 2025, la cour d’appel avait relevé un « préjudice certain et important, évalué à la somme de 10 000 euros », et la Cour de cassation valide que la perte de confiance subie constituait bien « un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal » (Cass. crim., 2 sept. 2025, n° 24-83.605). Devant le juge civil, le principe général s’applique : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Cette action vise l’auteur du piratage quand il est identifié, et le règlement européen ouvre en outre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation des règles de protection des données le droit d’en obtenir réparation auprès du responsable du traitement ou de son sous-traitant. Les comptes de jeu présentent des préjudices que les grilles classiques saisissent mal : skins rares ou plus commercialisés, progression de plusieurs saisons, statistiques et classements, contenus créés par le joueur. Faites évaluer chaque élément : captures du casier avant et après, valeur d’achat en V-bucks puis en euros, ancienneté et rareté des objets disparus, temps de jeu investi documenté par l’historique. Un objet virtuel acquis à titre onéreux ou par un effort caractérisé constitue un préjudice réparable, et sa perte s’ajoute aux sommes directement détournées. Mentionnez aussi le temps passé à la récupération, aux démarches bancaires et à la sécurisation des autres comptes : ce temps contraint, justifié par pièces, entre dans l’évaluation du dommage.
Chiffrez chaque poste avec vos pièces : relevés, factures, captures du solde, échanges avec l’assistance. Un dossier chiffré et daté obtient davantage qu’une estimation globale.
Conclusion : agir vite, prouver, puis exiger
Un compte Fortnite ou Epic Games piraté se traite comme un dossier en trois temps : récupérer l’accès par la procédure officielle en prouvant que le compte est le vôtre, sécuriser avec une authentification à deux facteurs et des mots de passe uniques, puis conserver chaque preuve avant de déposer plainte et d’exercer vos droits d’accès et d’effacement. La plainte pénale vise l’auteur de l’intrusion sur le fondement de l’accès frauduleux et des infractions associées, la réclamation devant la CNIL vise l’éditeur qui tarde à répondre, et l’action en réparation chiffre les sommes détournées comme le préjudice moral. Les victimes qui obtiennent le plus sont celles dont le dossier est tenu dès la première heure : journal des faits, captures datées, relevés et échanges conservés. Si votre enfant est concerné, ajoutez le contrôle des paramètres familiaux et des plafonds d’achat à chaque étape, car la vigilance se partage et la preuve aussi. Un compte récupéré, sécurisé par une double authentification et adossé à un dossier daté devient alors un dossier solide devant l’éditeur, la CNIL et le juge.