Vos prestations n’ont pas été versées ce mois-ci. En vous connectant à votre espace sur le site caf.fr, vous constatez que le relevé d’identité bancaire enregistré n’est plus le vôtre : un compte inconnu a remplacé le vôtre, sans que vous en ayez été informé. Cette situation n’est pas théorique : les services d’aide aux usagers décrivent des cas d’allocataires qui, ne recevant plus leurs prestations, découvrent dans leur espace que leurs coordonnées bancaires ont été remplacées à leur insu, et la consigne donnée consiste à rétablir sans attendre ses coordonnées dans l’espace personnel puis à changer le mot de passe d’accès. C’est la mesure du réflexe attendu : reprendre la main sans attendre.
L’enjeu dépasse pourtant la simple remise en ordre du dossier. Les allocations détournées vers le compte d’un tiers peuvent être regardées par l’organisme comme des sommes versées à tort, et donner lieu à la notification d’un indu, parfois majoré, à votre encontre. Vous devez alors mener deux actions de front : démontrer que le détournement provient d’un piratage et non d’une fraude de votre part, et obtenir réparation des préjudices subis, auprès du fraudeur comme, le cas échéant, au titre de la protection de vos données personnelles. Cet article explique comment sécuriser le compte, prouver l’usurpation, contester l’indu devant la commission de recours amiable puis devant le pôle social du tribunal judiciaire, et engager les voies pénale, administrative et indemnitaire, y compris à Paris et en Île-de-France où les mêmes règles s’appliquent devant les organismes et juridictions du ressort.
I. Comprendre ce qui s’est passé et reprendre le contrôle du compte
A. Couper l’accès au fraudeur et sécuriser les versements à venir
La première heure compte autant que les premières démarches écrites. La modification du relevé d’identité bancaire dans votre espace allocataire, combinée à un mot de passe changé ou à des connexions que vous ne reconnaissez pas, caractérise un accès indésirable à un compte de prestations sociales : quelqu’un s’est présenté comme vous pour capter vos allocations. La page de la CAF consacrée au phishing rappelle que l’organisme ne réclame jamais vos coordonnées bancaires par message ou par téléphone, et tout message qui vous les a demandées doit être traité comme suspect.
Reprenez d’abord la main sur l’espace en ligne : réinitialisez le mot de passe avec une formule longue et inédite, vérifiez l’adresse électronique et le numéro de téléphone de contact enregistrés, puis rétablissez vos coordonnées bancaires exactes et conservez la confirmation de chaque modification. Les services d’accueil recommandent précisément de modifier de nouveau les coordonnées bancaires dans l’espace personnel et de changer le mot de passe d’accès, avant de suivre l’évolution du dossier par des consultations régulières du compte. Si l’accès à l’espace vous est impossible parce que l’adresse électronique ou le mot de passe ont été remplacés, utilisez la procédure de récupération du site, puis, en cas d’échec, déplacez-vous à l’accueil de votre caisse avec une pièce d’identité ou écrivez sans délai : chaque jour de blocage reporte la remise en paiement.
Prévenez ensuite votre banque. Lorsque des prestations ont été versées sur un compte qui n’est pas le vôtre, demandez à votre établissement l’historique des virements reçus de l’organisme sur les derniers mois, signalez toute opération que vous ne reconnaissez pas et interrogez la possibilité de faire opposition aux prélèvements ou virements suspects. Les relevés bancaires serviront deux fois : à établir que vous n’avez pas perçu les sommes détournées, et à chiffrer le manque à gagner si le versement du mois a disparu. La même logique vaut pour les allocataires dont le dossier ressemble à celui des comptes bancaires ouverts à leur insu : la démonstration de l’usurpation passe par les documents bancaires autant que par les écrits de l’organisme, comme l’explique cet éclairage sur les comptes ouverts au nom d’autrui et les réflexes à adopter.
Signalez le piratage à votre caisse d’allocations familiales par écrit, dans votre messagerie de l’espace allocataire et, parallèlement, par lettre recommandée avec accusé de réception. Décrivez les faits avec des dates : date du dernier versement normalement reçu, date de découverte du relevé modifié, références du compte substitué si elles apparaissent encore, mesures déjà prises. Demandez expressément la suspension de tout versement vers les coordonnées frauduleuses, le rétablissement de vos coordonnées, la communication des traces de connexion et de modification de votre dossier, et la copie des versements effectués depuis la compromission. Ce courrier fera foi de votre diligence et de votre bonne foi, deux éléments décisifs lorsque l’organisme examinera ensuite si un indu peut vous être imputé.
Déposez enfin une plainte. L’accès au compte d’autrui pour détourner des prestations caractérise, selon les circonstances, l’usurpation d’identité et l’escroquerie. L’article 226-4-1 du code pénal dispose que « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende », étant précisé que la rédaction même du texte, lue sur Legifrance dans ce run, punit d’un an d’emprisonnement et de 15 000 euros d’amende et prévoit les mêmes peines lorsque les faits sont commis sur un réseau de communication au public en ligne. L’article 313-1 du code pénal, de son côté, définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », puni de cinq ans d’emprisonnement et de 375 000 euros d’amende. L’intrusion dans l’espace allocataire caractérise en outre l’accès frauduleux à un système de traitement automatisé de données : l’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende ». Le dépôt de plainte peut s’effectuer au commissariat ou à la gendarmerie, après une pré-plainte en ligne, et un signalement sur la plateforme 17Cyber de cybermalveillance.gouv.fr permet d’être orienté vers des prestataires et des démarches adaptés. Conservez le récépissé : il sera demandé par la caisse, par la Commission nationale de l’informatique et des libertés et, le cas échéant, par le juge.
B. Prouver le piratage avec des pièces que la caisse et le juge peuvent vérifier
Une fois l’urgence traitée, le dossier se joue sur la preuve. L’organisme qui notifie un indu part d’un raisonnement simple : des prestations ont été versées, elles ne correspondaient pas à vos droits ou ont été captées par un tiers, et la régularisation passe par vous. Pour renverser cette lecture, vous devez établir trois points : que votre compte a été compromis, que les sommes détournées ne vous ont pas profité, et que vous avez réagi avec diligence. Chacun de ces points se prouve par des pièces différentes, qu’il faut réunir dès maintenant plutôt qu’au moment du recours.
Commencez par figer l’état du compte. Réalisez des captures d’écran datées de chaque anomalie : coordonnées bancaires modifiées, adresse électronique ou numéro de téléphone remplacés, messages de l’espace allocataire que vous n’avez pas écrits, historique des déclarations en ligne contestées. Complétez par l’export de vos propres relevés bancaires sur la période : l’absence de versement de la caisse sur votre compte habituel, alors même que l’organisme affirme avoir payé, constitue l’indice matériel le plus parlant du détournement. Si des proches ou des travailleurs sociaux ont constaté avec vous la découverte du piratage, leurs attestations circonstanciées, rédigées avec copie de pièce d’identité, pourront corroborer votre chronologie.
Exercez ensuite vos droits sur vos données personnelles auprès de la caisse, qui agit comme responsable du traitement de votre dossier d’allocataire. Demandez la communication des données de connexion à votre espace, des journaux de modification de vos coordonnées bancaires et de vos données de contact, ainsi que la copie des échanges intervenus depuis le compte pendant la période compromise. La CNIL décrit les droits d’accès, de rectification et d’opposition dont dispose toute personne sur ses données, et ces demandes écrites produisent un double effet : elles vous fournissent des pièces, et elles obligent l’organisme à tracer sa réponse. Si la caisse tarde ou refuse sans motif, ce comportement nourrira votre plainte auprès de la CNIL, dont le site précise la marche à suivre et les pièces à joindre.
Classez enfin les preuves de votre diligence : récépissé de plainte, signalement à la plateforme 17Cyber, courriers et messages adressés à la caisse avec leurs accusés de réception, démarches auprès de la banque, déclarations de changement de mot de passe. Devant la commission de recours amiable comme devant le pôle social du tribunal judiciaire, ces pièces dessinent le portrait d’un allocataire victime d’un piratage et non d’un fraudeur : la fraude suppose une intention que vos démarches immédiates contredisent. Le jugement du pôle social du tribunal judiciaire de Grenoble du 22 juillet 2025 (RG 23/00684), rendu dans un litige où la caisse imputait à une allocataire la perception frauduleuse de prestations destinées à un tiers, illustre l’importance de ce débat : le tribunal y examine minutieusement qui a perçu les sommes, quels codes ont été utilisés et quelles pièces rapportent la preuve d’une manoeuvre imputable à la personne poursuivie, avant de trancher l’imputation de l’indu. Retenez la méthode : pièce par pièce, le juge vérifie si l’organisme rapporte la preuve d’une fraude personnelle, et c’est à cette vérification que votre dossier doit se préparer.
II. Contester les sommes réclamées et obtenir réparation intégrale
A. Faire juger que l’indu frauduleux ne vous est pas imputable
La notification d’un indu après un piratage surprend toujours : comment l’organisme peut-il vous réclamer des sommes que vous n’avez jamais touchées ? La réponse tient au mécanisme légal de récupération. L’article L553-2 du code de la sécurité sociale organise la reprise des prestations familiales versées à tort « par retenues sur les prestations à venir ou par remboursement intégral de la dette en un seul versement si l’allocataire opte pour cette solution ». Concrètement, la caisse retient chaque mois une fraction de vos allocations jusqu’à apurement, ou vous demande le remboursement global. Lorsque le versement indu résulte d’une fraude, le même texte ajoute une sanction financière : « En contrepartie des frais de gestion qu’il engage lorsque le versement indu est le résultat d’une fraude de l’allocataire, l’organisme payeur recouvre auprès de ce dernier une indemnité équivalant à 10 % des sommes réclamées au titre des prestations versées à tort ». Le mot décisif est celui de fraude de l’allocataire : sans fraude qui vous soit personnellement imputable, ni l’indu frauduleux ni la majoration de dix pour cent ne devraient peser sur vous.
Le régime des pénalités confirme cette lecture. L’article L114-17 du code de la sécurité sociale permet au directeur de l’organisme de prononcer un avertissement ou une pénalité, notamment pour « L’inexactitude ou le caractère incomplet des déclarations faites pour le service des prestations, sauf en cas de bonne foi de la personne concernée » et pour l’absence de déclaration d’un changement de situation, là encore « sauf en cas de bonne foi de la personne concernée ». La victime d’un piratage qui signale immédiatement la compromission, rétablit ses coordonnées et dépose plainte se place précisément sur le terrain de la bonne foi : ce n’est pas elle qui a déclaré des informations inexactes, c’est un tiers qui a pris le contrôle de son dossier. Le même article punit aussi les agissements visant à obtenir le versement indu de prestations, même sans en être le bénéficiaire : cette formule vise l’auteur du piratage, pas l’allocataire dépossédé, et votre plainte désigne cet auteur aux enquêteurs.
Votre première contestation s’exerce devant la commission de recours amiable de votre caisse. L’article R142-1 du code de la sécurité sociale dispose que « Cette commission doit être saisie dans le délai de deux mois à compter de la notification de la décision contre laquelle les intéressés entendent former une réclamation ». Ce délai court à compter de la notification de la décision d’indu ou de pénalité, et votre courrier de contestation doit donc partir sans attendre : exposez la chronologie du piratage, joignez le récépissé de plainte, les relevés bancaires démontrant l’absence de perception, les captures du compte compromis et les réponses de la caisse à vos demandes de communication des journaux de connexion. Demandez à la commission de constater l’absence de fraude imputable, d’annuler l’indu et la pénalité éventuelle, et de renvoyer l’organisme à mieux se pourvoir contre l’auteur du détournement.
Si la commission maintient la réclamation, le litige relève du pôle social du tribunal judiciaire. Le jugement grenoblois déjà cité montre comment le juge procède : saisi après le rejet d’une contestation par la commission de recours amiable, le tribunal vérifie la recevabilité du recours, examine la preuve de la perception des sommes et celle des manoeuvres alléguées, et départage les versions lorsque l’allocataire soutient que les fonds destinés à un tiers ne lui ont pas profité et que l’organisme soutient l’inverse. Dans cette affaire, le tribunal a notamment pris en compte la plainte déposée par l’allocataire, les circonstances de vulnérabilité invoquées et la question de savoir qui avait usurpé quels codes pour demander le versement des prestations sur un compte ouvert au nom de l’allocataire. transposez cette grille à votre dossier : chaque pièce qui éloigne la fraude de votre personne et la rapproche du pirate fragilise la réclamation de la caisse.
Deux demandes complémentaires méritent d’être formulées par écrit à l’organisme pendant la procédure. D’une part, sollicitez l’aménagement des retenues en fonction de votre situation, en expliquant que l’amputation mensuelle de vos allocations compromet vos charges courantes. D’autre part, si vos ressources sont modestes, demandez l’examen d’une réduction ou d’une remise, en vous appuyant sur la lettre du texte : « la créance de l’organisme peut être réduite ou remise en cas de précarité de la situation du débiteur, sauf en cas de manœuvre frauduleuse ou de fausses déclarations » (article L553-2 du code de la sécurité sociale). Cette dernière réserve joue en votre faveur lorsque vous démontrez l’absence de manoeuvre de votre part : la précarité n’efface pas une fraude, mais elle peut justifier l’allègement d’une dette que vous contestez déjà comme non imputable.
À Paris et en Île-de-France, le parcours est identique mais les guichets sont ceux du ressort : la contestation de l’indu se porte devant la commission de recours amiable de la CAF de Paris ou de la caisse du département de résidence, puis devant le pôle social du tribunal judiciaire de Paris ou du tribunal du domicile, avec les mêmes pièces et les mêmes fondements. Les allocataires franciliens confrontés à un accueil saturé ont intérêt à doubler tout dépôt au guichet d’un envoi recommandé et à conserver les récépissés de la messagerie de l’espace allocataire : en cas de litige sur les dates, notamment sur le point de départ du délai de recours, ces preuves de dépôt feront la différence. Les délais pratiques de traitement y sont parfois plus longs qu’ailleurs, ce qui renforce l’intérêt d’une contestation complète dès le premier courrier, sans attendre une régularisation spontanée qui ne vient pas toujours.
B. Activer la voie pénale, la CNIL et l’indemnisation du préjudice
L’annulation de l’indu ne répare pas tout. Le mois sans allocations, les frais bancaires, les démarches, l’angoisse d’être traité comme un fraudeur et l’exposition de vos données personnelles constituent des préjudices distincts, qui appellent des voies distinctes mais complémentaires. Les articuler dès le départ évite les demandes tardives et les pièces perdues.
Sur le plan pénal, votre plainte pour usurpation d’identité et escroquerie déclenche l’enquête sur l’auteur du détournement. Les peines encourues ont été rappelées plus haut à partir des textes en vigueur lus sur Legifrance : un an d’emprisonnement et 15 000 euros d’amende pour l’usurpation d’identité commise y compris sur un réseau de communication au public en ligne, cinq ans d’emprisonnement et 375 000 euros d’amende pour l’escroquerie, trois ans et 100 000 euros d’amende pour l’accès frauduleux au système, et cinq ans et 300 000 euros d’amende pour la collecte déloyale de données personnelles que réprime l’article 226-18 du code pénal : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». Devant le juge pénal, la constitution de partie civile permet de demander la réparation des préjudices patrimoniaux et moraux résultant directement des faits : allocations non perçues et non encore régularisées, frais exposés pour sécuriser les comptes, temps consacré aux démarches lorsque des justificatifs l’étayent, trouble et atteinte à la tranquillité. Même si l’auteur n’est pas identifié, le procès-verbal de plainte et l’éventuelle enquête alimentent vos autres recours, et l’existence d’une procédure pénale en cours donne du poids à votre contestation devant la caisse.
Sur le plan administratif, saisissez la Commission nationale de l’informatique et des libertés si l’organisme ne répond pas à vos demandes ou si vous estimez que la sécurité de votre dossier a failli. La procédure de plainte en ligne de la CNIL suppose en principe une démarche préalable auprès de l’organisme : vos courriers à la caisse et l’absence de réponse satisfaisante constituent précisément ce préalable. Exposez la compromission du compte, la modification de vos coordonnées bancaires par un tiers, les demandes d’accès aux journaux restées sans effet et, le cas échéant, l’inaction face à vos alertes de phishing. Parallèlement, la page de la CNIL sur les notifications de violation de données personnelles rappelle le cadre qui s’impose aux organismes : lorsqu’une violation de données présente un risque pour les droits des personnes, le responsable du traitement doit la notifier à l’autorité et, dans les cas les plus graves, en informer les personnes concernées. Sans préjuger de la qualification que la CNIL retiendra dans votre dossier, votre signalement documenté l’invite à examiner si l’organisme a respecté ces obligations de sécurité et de notification, et une sanction ou une mise en demeure éventuelle de l’autorité pèsera dans votre demande indemnitaire.
Sur le plan indemnitaire, deux fondements se combinent. D’une part, le droit commun de la responsabilité : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». D’autre part, le droit européen des données personnelles : le règlement général sur la protection des données (règlement (UE) 2016/679) ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement un droit à réparation contre le responsable du traitement ou le sous-traitant. La chambre sociale de la Cour de cassation, dans son arrêt du 24 juin 2026 (pourvoi n° 24-22.792), vise expressément l’article 82 du règlement et en rappelle le droit à réparation au profit de toute personne ayant subi un dommage du fait d’une violation. La Cour précise la portée de ce droit à la lumière de la jurisprudence de la Cour de justice de l’Union européenne : la simple violation des dispositions du règlement ne suffit pas à ouvrir droit à réparation, la personne qui demande réparation devant établir non seulement la violation, mais aussi le dommage matériel ou moral qu’elle lui a causé, et la réparation remplit une fonction compensatoire destinée à compenser intégralement le préjudice concrètement subi, sans fonction punitive. La Cour ajoute qu’aucun seuil de gravité ne peut être exigé pour le dommage moral. Concrètement, chiffrez chaque poste : allocations détournées et restées sans régularisation, frais bancaires et postaux, coût des déplacements et des démarches, perte de temps étayée, préjudice moral lié à la privation de prestations alimentaires et au soupçon de fraude. Produisez les justificatifs poste par poste : un préjudice allégué sans pièce est un préjudice divisé par deux devant le juge.
Articulez enfin ces voies sans les confondre. La contestation de l’indu devant la commission puis devant le pôle social répond à la question de savoir qui doit supporter la dette. La plainte pénale répond à la question de savoir qui a commis les faits et permet la réparation par l’auteur. La démarche devant la CNIL répond à la question de savoir si l’organisme a protégé vos données comme il le devait. Et l’action indemnitaire, fondée sur l’article 1240 du code civil comme sur l’article 82 du règlement européen, répond à la question de savoir qui répare ce que le piratage vous a coûté. Menées ensemble, avec un dossier de preuves unique et tenu à jour, ces quatre branches font converger vers le même constat : un allocataire de bonne foi, dépossédé de son compte, qui a signalé, prouvé et contesté dans les formes.
Conclusion
Un compte CAF piraté ne se résume ni à un incident technique ni à une fraude présumée de l’allocataire. Les bons réflexes tiennent en quatre gestes : reprendre la main sur l’espace et le relevé d’identité bancaire, signaler par écrit à la caisse et à la banque, déposer plainte pour usurpation et escroquerie, et réunir les preuves de la compromission et de votre diligence. Sur cette base, contestez tout indu devant la commission de recours amiable dans le délai légal rappelé plus haut avec sa source, puis devant le pôle social du tribunal judiciaire en démontrant l’absence de fraude imputable, demandez l’aménagement des retenues et l’examen d’une remise en cas de précarité, saisissez la CNIL en cas de carence de l’organisme, et chiffrez poste par poste la réparation de vos préjudices sur le fondement du droit commun comme du droit européen des données personnelles. La jurisprudence récente exige de vous la preuve du dommage, mais elle vous dispense de prouver une gravité minimale et impose une compensation intégrale : un dossier précis, daté et sourcé reste votre meilleur atout pour transformer un mois d’allocations détournées en une dette annulée et un préjudice réparé.