Un message qui ressemble à l’Urssaf ou au Cesu vous réclame une régularisation urgente, menace de suspendre votre avance immédiate de crédit d’impôt ou vous invite à mettre à jour votre RIB. Vous cliquez, vous saisissez vos identifiants et vos coordonnées bancaires sur une page qui imite parfaitement le site officiel, puis plus rien, ou presque. Quelques jours plus tard, votre espace en ligne affiche un RIB modifié, des déclarations que vous n’avez jamais faites ou des paiements que vous n’avez jamais autorisés. Ce scénario n’est pas une hypothèse d’école. L’Urssaf tient à jour une page dédiée, actualisée le 9 juillet 2026, qui décrit ces démarchages abusifs, ces faux courriers, ces faux mails et ces faux sites qui usurpent son identité visuelle pour faire payer de prétendues cotisations par carte bancaire. La page rappelle aussi que des personnes malveillantes peuvent utiliser votre identité pour réaliser des actes en votre nom auprès de l’Urssaf, comme la création d’entreprises ou des demandes d’attestation. Quand l’hameçonnage vise vos comptes sociaux et fiscaux, les dégâts se cumulent : argent détourné, données personnelles et bancaires volées, compte administratif détourné et démarches à reconstruire. Cet article explique comment bloquer l’urgence, figer les preuves, contester les opérations et demander réparation, en distinguant ce qui relève de votre banque, ce qui relève de l’Urssaf ou du Cesu, ce qui relève de la plainte pénale et ce qui relève de la protection de vos données.
I. Couper l’urgence et figer les preuves avant de contester
A. Bloquer les accès, les prélèvements et les usages frauduleux de votre identité
Le premier réflexe consiste à reprendre le contrôle de vos accès sans repasser par le message suspect. Ne cliquez sur aucun lien du SMS ou du courriel reçu. Ouvrez vous-même votre navigateur, saisissez l’adresse officielle et connectez-vous à votre espace. L’Urssaf indique que le nom de domaine de ses sites doit comporter l’extension officielle de l’organisme et appelle à la plus grande vigilance face aux faux sites qui usurpent son identité visuelle pour faire régler de prétendues cotisations. Si vous avez communiqué vos informations bancaires ou effectué un paiement sur un faux site, l’Urssaf recommande de contacter immédiatement votre banque. Changez sans attendre vos mots de passe, en commençant par celui de l’espace compromis, puis ceux de votre messagerie et de vos autres comptes qui partageraient le même mot de passe. Vérifiez dans votre espace Urssaf, Cesu ou Pajemploi les éléments que le fraudeur a pu modifier : RIB, adresse, adresse électronique, numéro de téléphone, déclarations enregistrées, demandes d’attestation et bénéficiaires de paiements. Chacun de ces points contrôle un flux d’argent ou un justificatif opposable, et chaque anomalie devra être signalée par écrit à l’organisme.
Le deuxième réflexe concerne vos paiements. Dès que vous avez connaissance d’une utilisation non autorisée de votre instrument de paiement ou des données qui lui sont liées, informez-en sans tarder votre banque aux fins de blocage. Cette information sans tarder est une obligation légale de l’utilisateur de services de paiement, prévue par l’article L. 133-17 du code monétaire et financier, qui dispose que l’utilisateur informe son prestataire ou l’entité désignée par celui-ci dès qu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées. Faites opposition à votre carte si elle a été communiquée, demandez le blocage des prélèvements suspects et signalez chaque opération non autorisée. Ce signalement doit intervenir sans tarder et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion, comme le prévoit l’article L. 133-24 du code monétaire et financier : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Conservez la preuve de chaque signalement, avec sa date et son heure, car ces écrits conditionnent la suite du remboursement. Quand l’opération contestée est un paiement non autorisé régulièrement signalé, l’article L. 133-18 du code monétaire et financier prévoit que le prestataire rembourse le montant « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf s’il a de bonnes raisons de soupçonner une fraude de votre part et s’il communique ces raisons par écrit à la Banque de France.
Le troisième réflexe consiste à couper la diffusion de l’arnaque et à demander de l’aide. Transférez le SMS frauduleux au 33700, le dispositif d’alerte par SMS mis en place avec les opérateurs, qui permet de couper les numéros surtaxés et d’agir auprès des organismes à l’origine des envois. Signalez le courriel d’hameçonnage sur la plateforme Signal Spam et le faux site sur la plateforme PHAROS, accessible sur internet-signalement.gouv.fr, dont les signalements sont traités par un service de police judiciaire spécialisé et peuvent déboucher sur une enquête pénale sous l’autorité du procureur de la République. Si vous êtes perdu face à l’enchaînement des démarches, le dispositif 17Cyber, cité par l’Urssaf elle-même, permet d’être assisté selon votre situation. Ces signalements ne remplacent pas la plainte, mais ils figent la réalité de l’attaque à une date certaine et protègent d’autres victimes, ce qui compte aussi devant le juge et devant la banque.
B. Nommer exactement l’attaque pour choisir les bons fondements juridiques
Un faux message Urssaf ou Cesu cumule en réalité plusieurs infractions distinctes, et chacune ouvre des recours différents. L’escroquerie est la qualification centrale : l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », et précise que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende ». Se présenter comme l’Urssaf, imiter son site et vous déterminer à payer ou à livrer vos données bancaires entre dans ce texte. L’usurpation de votre identité, elle, est visée par l’article 226-4-1 du code pénal : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » La chambre criminelle de la Cour de cassation a déjà eu à juger un montage où l’auteur avait, selon ses propres motifs, « usurpé deux identités, en utilisant sous le couvert de celles-ci des moyens de paiement qu’il s’était procurés illicitement », soit en achetant des numéros de cartes bancaires sur internet, soit en ouvrant des comptes avec de faux documents (Crim. 21 mars 2018, n° 16-86.961). Votre dossier n’est pas ce dossier, mais cette décision montre comment les juges articulent usurpation d’identité, faux documents et usage de moyens de paiement : conservez tout ce qui permet de rattacher chaque acte à son auteur.
Deux autres qualifications protègent vos données et vos comptes en tant que tels. Le fait d’accéder frauduleusement à votre espace Urssaf, Cesu, bancaire ou de messagerie relève de l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Quand le fraudeur modifie votre RIB, crée des déclarations ou détourne des versements depuis cet espace, l’article 323-3 du code pénal s’ajoute : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » Et la collecte initiale de vos données par le faux message est elle-même punissable : l’article 226-18 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ». Cette qualification est précieuse quand le préjudice financier reste limité mais que vos données circulent : elle permet de faire sanctionner l’hameçonnage pour lui-même, indépendamment des sommes détournées.
II. Contester les opérations et obtenir réparation de chaque préjudice
A. Faire rembourser les paiements, régulariser le compte social et corriger les données
La contestation bancaire obéit à des règles précises qui répartissent la charge de la preuve entre vous et votre banque. Retenez d’abord que votre responsabilité n’est pas engagée quand l’opération a été effectuée en détournant votre instrument de paiement à votre insu : l’article L. 133-19 du code monétaire et financier prévoit que « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées ». Retenez ensuite que l’absence d’authentification forte joue en votre faveur : le même article dispose que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». En revanche, quand l’opération fait suite à la perte ou au vol de votre instrument de paiement, vous supportez les pertes antérieures à votre information de la banque dans la limite d’un plafond de 50 euros. Enfin, la banque peut vous opposer votre faute, mais seulement à des conditions strictes : vous supportez toutes les pertes si elles résultent d’un agissement frauduleux de votre part ou si vous n’avez pas satisfait intentionnellement ou par négligence grave aux obligations de sécurité et d’information, prévues par l’article L. 133-16 et l’article L. 133-17 du code monétaire et financier.
Un jugement récent illustre concrètement comment les tribunaux appliquent ces textes aux manipulations téléphoniques. Le 9 avril 2026, le tribunal judiciaire de Mâcon a condamné une banque à rembourser 1 938 euros à un client victime d’un stratagème comparable : contacté par un prétendu acheteur, dirigé vers une prétendue assistance téléphonique, amené à effectuer des manipulations sur son téléphone pendant plus de trente minutes, puis débité d’un achat qu’il n’avait jamais validé (TJ Mâcon, 9 avril 2026, RG n° 25/00218). Les relevés techniques montraient que l’escroc s’était connecté depuis un autre appareil et un autre fournisseur d’accès, avait modifié le mot de passe et validé l’opération grâce à l’authentification forte du client, tandis que la banque ne justifiait pas l’envoi des SMS de validation sur le téléphone du client. Le tribunal a jugé que le comportement du client, pourtant imprudent face à un stratagème particulièrement abouti, ne relevait pas d’une négligence grave, et a condamné la banque au remboursement avec intérêts. Chaque dossier reste jugé sur ses propres pièces, et une négligence grave reste possible quand le client transmet lui-même ses codes en connaissance de cause, mais ce jugement montre que des manipulations téléphoniques, même longues, ne suffisent pas automatiquement à faire peser les pertes sur la victime.
La contestation sociale et fiscale suit un circuit différent, adressé à l’organisme lui-même. Écrivez à l’Urssaf, au Cesu ou à Pajemploi pour signaler l’usurpation de votre espace, contester chaque déclaration, chaque embauche, chaque demande d’attestation et chaque paiement que vous n’avez pas ordonnés, et demander la rectification de vos données ainsi que le rétablissement de votre RIB. Joignez vos preuves : captures de l’espace détourné, relevés bancaires, récépissés de signalement et copie de votre plainte. Si des cotisations ou des sommes ont été prélevées à tort sur votre compte, demandez-en le reversement et la régularisation de votre relevé de situation. Quand une somme a été versée à une personne qui ne la devait pas recevoir, le droit commun de la répétition de l’indu s’applique : l’article 1302-1 du code civil dispose que « Celui qui reçoit par erreur ou sciemment ce qui ne lui est pas dû doit le restituer à celui de qui il l’a indûment reçu ». Vérifiez aussi votre crédit d’impôt et votre avance immédiate : un RIB modifié peut détourner des versements ou générer des trop-perçus que l’administration vous réclamera ensuite. Contestez par écrit tout trop-perçu qui résulte de la fraude, en rappelant que les opérations ont été effectuées par un tiers sans votre autorisation, et conservez la preuve de vos démarches. Si vous êtes employeur, particulier employeur ou indépendant, surveillez également les attestations demandées en votre nom : une fausse attestation de vigilance ou un faux document établi depuis votre compte peut engager votre responsabilité envers vos cocontractants, et sa contestation rapide limite ce risque. Pour un raisonnement proche sur les faux messages qui visent vos comptes et vos cartes, la méthode de contestation des opérations et de traçage des usages frauduleux décrite pour les faux SMS de livraison qui volent les données bancaires s’applique ici point par point.
B. Déposer plainte, saisir la CNIL et faire réparer chaque dommage prouvé
La plainte pénale reste le socle de tout le dossier : elle seule permet des poursuites contre l’auteur et elle conditionne la plupart des indemnisations. Les officiers et agents de police judiciaire sont tenus de recevoir votre plainte, même si vous vous présentez dans un service territorialement incompétent : l’article 15-3 du code de procédure pénale prévoit qu’ils « sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents », la plainte étant alors transmise au service compétent. Vous pouvez aussi écrire directement au procureur de la République du lieu de l’infraction ou du domicile de l’auteur. Pour les escroqueries commises sur internet, le dispositif THESEE permet aux personnes majeures de déposer plainte ou d’effectuer un signalement en ligne, selon la présentation qu’en fait le ministère de l’intérieur dans sa page actualisée le 14 octobre 2026. Décrivez précisément la chronologie : le message reçu, le numéro ou l’adresse d’expédition, l’adresse du faux site, les données communiquées, les manipulations effectuées au téléphone, les opérations constatées et leur montant. Visez dans votre plainte l’ensemble des qualifications que les faits révèlent : escroquerie, accès frauduleux à un système de traitement automatisé de données, introduction ou modification frauduleuse de données, usurpation d’identité et collecte déloyale de données personnelles. Plus la qualification est complète, plus les réquisitions et les perquisitions techniques ont une base pour identifier l’auteur, et plus votre constitution de partie civile couvre l’ensemble de vos préjudices. La même logique vaut quand l’attaque passe par un faux interlocuteur bancaire : les recours ouverts par un faux conseiller qui appelle avec vos données volées montrent comment articuler blocage, remboursement et sanction de la fuite.
La saisine de la CNIL concerne le volet données personnelles du dossier. La Commission peut être saisie en ligne pour signaler l’hameçonnage et pour vous plaindre du traitement frauduleux de vos données, et sa page dédiée au spam, à l’hameçonnage et aux arnaques détaille les plateformes de signalement des pouvoirs publics et des professionnels. Joignez à votre plainte auprès de la CNIL les démarches déjà effectuées : signalement à l’organisme, opposition bancaire, captures du faux site et récépissés de signalement. Sachez aussi que la réglementation impose des obligations aux organismes eux-mêmes quand leurs données sont compromises : l’article 33 du règlement général sur la protection des données impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf quand la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, et l’article 34 du même règlement lui impose d’informer les personnes concernées quand la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. Si votre espace a été détourné, vérifiez donc si vous avez reçu cette information et ce qu’elle décrit : son contenu, ou son absence, fait partie de votre dossier. Quand l’usurpation a servi à souscrire des engagements financiers en votre nom, les recours ouverts par une usurpation d’identité ayant conduit à un crédit souscrit à votre insu complètent utilement la démarche, notamment pour le fichage et l’effacement.
L’indemnisation obéit à une règle que beaucoup de victimes découvrent trop tard : la violation des règles de protection des données n’ouvre pas automatiquement droit à réparation. L’article 82, paragraphe 1, du règlement général sur la protection des données ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir du responsable du traitement ou du sous-traitant réparation de son préjudice. Le 24 juin 2026, la chambre sociale de la Cour de cassation a cassé un arrêt d’appel qui avait alloué des dommages et intérêts en retenant que le non-respect du règlement avait nécessairement causé un préjudice, en jugeant que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » et qu’il appartient au demandeur d’établir que la violation lui a causé un dommage matériel ou moral (Cass. soc. 24 juin 2026, n° 24-22.792). L’arrêt rappelle aussi l’interprétation de la Cour de justice de l’Union européenne : pas de réparation sans violation établie ni dommage établi, pas de seuil de gravité exigé pour le dommage moral, et une réparation qui compense intégralement le préjudice concrètement subi sans fonction punitive. Concrètement, documentez chaque préjudice : sommes détournées et frais bancaires, temps passé à reconstruire vos comptes, démarches et courriers, majorations et trop-perçus contestés, et atteinte morale liée à l’utilisation de votre identité. Le droit commun de la responsabilité civile complète ces fondements : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Demandez réparation à l’auteur dans le procès pénal par la constitution de partie civile, et discutez avec votre banque et avec l’organisme la prise en charge des frais directement causés par la fraude. Aucune de ces voies ne fonctionne sans pièces : sans relevés, sans récépissés et sans chronologie écrite, même le dossier le mieux fondé en droit reste une affirmation sans preuve.
Conclusion
Un faux message Urssaf ou Cesu ne se traite pas comme un simple courrier indésirable : c’est une attaque qui combine hameçonnage, détournement de compte administratif et fraude aux paiements. La méthode efficace tient en quatre temps. D’abord, reprendre la main sans repasser par le message suspect : connexion directe aux sites officiels, mots de passe changés, RIB et déclarations vérifiés, banque alertée sans tarder. Ensuite, signaler et figer : 33700 pour le SMS, Signal Spam pour le courriel, PHAROS pour le faux site, 17Cyber pour être guidé, et conservation de chaque preuve avec sa date. Puis contester par écrit : opérations bancaires non autorisées dans les treize mois sous peine de forclusion avec remboursement au plus tard à la fin du premier jour ouvrable suivant, déclarations et paiements sociaux contestés auprès de l’organisme, trop-perçus contestés quand ils résultent de la fraude. Enfin, poursuivre et réparer : plainte complète visant l’escroquerie, l’accès frauduleux, la modification de données, l’usurpation d’identité et la collecte déloyale, saisine de la CNIL pour le volet données, et demande d’indemnisation adossée à des dommages documentés, car une violation des règles, même établie, ne suffit pas à elle seule à ouvrir droit à réparation. Menée dans cet ordre, avec des écrits à chaque étape, cette stratégie transforme une attaque subie en dossier contesté, remboursé quand les conditions légales sont réunies, et sanctionné quand l’auteur est identifié.