Vous ouvrez votre application SNCF Connect pour préparer un départ et vous découvrez des billets que vous n’avez jamais achetés, des voyageurs que vous ne connaissez pas ou un e-mail de confirmation pour un trajet que vous ne ferez jamais. Quelqu’un utilise votre compte, vos cartes enregistrées et vos données personnelles. La première urgence consiste à reprendre la main, la seconde à contester chaque achat et chaque débit, la troisième à faire reconnaître la violation de vos données et à obtenir réparation. Cet article décrit, dans cet ordre, les réflexes utiles, les preuves à figer, les contestations à adresser à SNCF et à votre banque, le dépôt de plainte, l’exercice de vos droits sur vos données et les fondements de l’indemnisation. Votre compte SNCF Connect ressemble à un portefeuille doublé d’un agenda, accessible depuis n’importe quel appareil connecté : billets et réservations, cartes bancaires enregistrées, cartes de réduction, compteur Grand Voyageur, voyageurs habituels, factures et historique de vos déplacements sur tout le territoire. Un intrus qui s’en empare peut acheter des billets pour lui ou pour des tiers, revendre les trajets, épuiser vos points de fidélité et lire où vous voyagez, quand et avec qui. C’est cette concentration de paiements et de traces de vie quotidienne qui rend ce piratage plus grave qu’un simple mot de passe oublié, et qui justifie d’agir sur les trois tableaux à la fois : sécurité, argent et données.
I. Reprendre la main sur le compte dans les premières heures
A. Verrouiller, récupérer et vérifier : les gestes qui limitent la casse
Changez immédiatement le mot de passe depuis un appareil sain, c’est-à-dire un téléphone ou un ordinateur dont vous êtes sûr, puis vérifiez l’adresse électronique rattachée au compte : si l’intrus l’a remplacée par la sienne, c’est par elle qu’il recevra les codes et les confirmations. Choisissez un mot de passe long, unique à ce compte, et enregistrez-le dans un gestionnaire plutôt que de le réutiliser ailleurs : la reprise d’un mot de passe déjà employé sur un autre service est l’un des chemins les plus fréquents de ces piratages. Activez la double authentification partout où elle est proposée, à commencer par votre messagerie, car reprendre votre e-mail permet à l’intrus de réinitialiser presque tous vos autres accès. Déconnectez toutes les sessions actives lorsque l’application le permet, contrôlez les cartes bancaires enregistrées et supprimez celles que vous ne reconnaissez pas, puis passez en revue les voyageurs enregistrés, les cartes de réduction et le compteur du programme de fidélité : un billet émis au nom d’un inconnu ou des points utilisés sont la trace la plus lisible de l’intrusion. Examinez le faux message qui a permis le piratage : adresse d’expéditeur approchante mais inexacte, fautes inhabituelles, menace de suspension du compte ou gain inattendu, lien dont l’adresse réelle ne correspond pas au site officiel. Ne rappelez jamais un numéro figurant dans un message suspect et ne saisissez plus vos identifiants depuis un lien reçu : rejoignez toujours le site ou l’application par vos propres moyens. Si un paiement vient d’être débité, la consigne des fiches officielles est constante : prévenez votre banque au plus vite et, si nécessaire, faites opposition sur votre carte bancaire (piratage d’un compte d’utilisateur, service-public.fr). La même fiche officielle recommande de modifier votre mot de passe sur la plateforme concernée et sur tous les autres comptes qui partagent ce mot de passe. Transférez le SMS suspect au 33700 et signalez tout contenu illicite en ligne sur la plateforme PHAROS de signalement. Concrètement, le faux message qui imite SNCF Connect, dont l’aide officielle met en garde contre les e-mails et SMS frauduleux, arrive presque toujours par SMS ou par courrier électronique et vous pousse à saisir vos identifiants sur une fausse page : ne cliquez plus, ne répondez plus, et conservez le message tel quel pour la plainte. Vérifiez enfin vos autres comptes qui partagent le même mot de passe ou la même adresse électronique, car l’intrus tente souvent d’élargir l’accès à la messagerie puis aux comptes bancaires, selon un enchaînement déjà jugé dans une affaire où un faux SMS suivi d’un faux appel de conseiller avait permis des virements (tribunal judiciaire de Paris, 11 avril 2025, RG n° 23/11667). À Paris comme en Île-de-France, ces démarches se font en ligne, sans déplacement : la récupération du compte, l’opposition bancaire par téléphone et les signalements au 33700 et à la plateforme PHAROS ne nécessitent pas de vous rendre en gare ni au commissariat dans un premier temps. Passez aussi en revue les e-mails de confirmation reçus pendant la période du piratage et les notifications de l’application : chaque billet émis, modifié ou remboursé y laisse une trace horodatée qui reconstitue le film de l’intrusion. Si une carte bancaire enregistrée a servi aux achats frauduleux, demandez à votre banque son renouvellement et vérifiez qu’aucun autre prélèvement inconnu n’apparaît sur vos relevés des dernières semaines. Enfin, ne laissez passer aucun message resté sans réponse de SNCF ou de votre banque : chaque relance écrite fait courir la preuve de leur inertie et consolide votre position pour la suite du dossier. Ne restez pas seul face aux démarches : signalez le piratage à votre entourage proche si des messages ont pu partir depuis votre compte, afin que personne ne donne suite à une demande d’argent ou à un lien transmis en votre nom.
B. Figer les preuves avant qu’elles ne disparaissent
Avant de supprimer quoi que ce soit, photographiez ou enregistrez chaque trace : captures d’écran des billets inconnus avec leurs références de dossier, des voyageurs ajoutés, des cartes enregistrées, des e-mails et SMS suspects avec l’expéditeur visible, relevés bancaires montrant les débits, et journal des connexions si l’application l’affiche. Notez par écrit, avec dates et heures, tout ce que vous avez fait : changement de mot de passe, opposition, appels au service client, signalements. Si un proche a reçu un message envoyé depuis votre compte ou a constaté avec vous l’existence des billets frauduleux, demandez-lui une attestation décrivant ce qu’il a vu et quand : ce témoignage complète utilement vos captures. Pour les préjudices importants, un commissaire de justice peut constater le contenu du compte et des messages, ce qui fige la preuve avec une force particulière devant le juge. Demandez ensuite à SNCF, par écrit, la communication des traces relatives à votre compte : dates et heures de connexion, appareils utilisés, billets émis, annulés ou échangés, voyageurs ajoutés, et remboursements éventuellement versés. Ce droit d’accès résulte directement du règlement général sur la protection des données : chacun peut obtenir du responsable du traitement la confirmation que des données le concernant sont traitées et y accéder, afin de vérifier ce qui est détenu (vos droits pour maîtriser vos données, CNIL). Ce même droit porte notamment sur « les finalités du traitement » et les catégories de données concernées, ainsi que sur les destinataires auxquels les données ont été communiquées, ce qui permet de savoir quelles informations l’intrus a pu voir et à qui des billets ont été transmis. Conservez les réponses et les refus écrits : un refus de communiquer vos propres données ou de rembourser un billet que vous n’avez pas acheté servira devant la banque, devant la CNIL et devant le juge. Si l’intrus a modifié votre adresse électronique de contact, gardez la preuve de l’ancienne adresse et de la modification, car elle établit que vous avez été privé de l’information sur les achats litigieux. Sauvegardez l’ensemble sur un support distinct de votre téléphone, afin qu’une perte ou un nouvel incident ne fasse pas disparaître le dossier. Demandez également le gel temporaire de toute utilisation du compte le temps de l’enquête : suppression des voyageurs inconnus, désactivation des cartes enregistrées et blocage des remboursements vers des moyens de paiement que vous ne reconnaissez pas. Interrogez aussi par écrit les durées de conservation appliquées aux journaux de connexion et à l’historique des achats : si des traces anciennes ont déjà été effacées, faites consigner par écrit la règle appliquée et sa base, car cette réponse éclaire le juge sur la gestion de vos données et sur ce que l’intrus a pu exploiter. Si SNCF vous indique que les traces anciennes ne sont plus disponibles, faites-le consigner par écrit avec la durée de conservation appliquée, car cette réponse elle-même éclaire le juge sur la gestion de vos données.
II. Contester les achats et obtenir réparation
A. Contester chaque débit et signaler l’usurpation
Adressez à SNCF une réclamation écrite pour chaque billet litigieux : identifiez chaque dossier par sa référence, affirmez que vous n’êtes ni l’acheteur ni le voyageur, précisez la date à laquelle vous avez repris le contrôle du compte, demandez l’annulation des billets encore utilisables et le remboursement de ceux qui ont été débités, et exigez une réponse écrite. Même si un billet a déjà été utilisé par l’intrus, contestez-le : le voyage effectué par un tiers avec vos moyens de paiement ne devient pas votre dette parce que le train a circulé. Joignez vos captures, le dépôt de plainte dès que vous l’avez, et l’attestation d’opposition bancaire. En parallèle, contestez par écrit auprès de votre banque chaque opération de paiement non autorisée liée au piratage, en joignant la réclamation SNCF et les captures : en cas d’opération de paiement non autorisée signalée dans les conditions prévues par l’article L. 133-24, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L133-18 du code monétaire et financier). Ce même texte prévoit des intérêts majorés en cas de retard de la banque, ce qui donne un poids réel à une relance écrite après le premier jour ouvré. Respectez le délai de signalement, car « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L133-24 du code monétaire et financier). Avant l’opposition, les pertes liées à l’utilisation de l’instrument peuvent rester à votre charge « dans la limite d’un plafond de 50 € » (article L133-19 du code monétaire et financier), ce qui rend l’opposition immédiate d’autant plus importante. Sur le plan pénal, l’accès à votre compte par l’intrus constitue un accès frauduleux : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal). Lorsque l’intrus agit sous votre nom, l’usurpation d’identité s’ajoute : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende » (article 226-4-1 du code pénal). Portez plainte en visant ces deux qualifications, en décrivant les billets émis et les débits, et en joignant vos preuves : même si vous ignorez qui a piraté le compte, vous pouvez « porter plainte contre X » (piratage d’un compte d’utilisateur, service-public.fr). Le dépôt peut se faire en ligne via la plateforme THESEE pour le piratage de compte, au commissariat ou à la gendarmerie de votre choix, y compris à Paris ou dans votre département d’Île-de-France, ou par courrier au procureur de la République, et la plainte peut être déposée pendant six ans à compter des faits (piratage d’un compte d’utilisateur, service-public.fr). Complétez par les signalements utiles : SMS transféré au 33700, contenu illicite signalé sur internet-signalement.gouv.fr, et parcours d’aide au dépôt de plainte proposé par Cybermalveillance.gouv.fr pour l’usurpation d’identité. Si SNCF ne répond pas à la réclamation dans un délai raisonnable, renouvelez-la en recommandé avec l’ensemble des pièces et conservez la preuve de chaque envoi, car le silence conservé face à des billets manifestement frauduleux pèsera dans l’appréciation du litige. Si la banque refuse le remboursement ou tarde à recréditer votre compte, relancez-la par écrit en rappelant le remboursement au plus tard à la fin du premier jour ouvré suivant et les intérêts majorés prévus par la loi, puis conservez son refus : il motivera la saisine de la CNIL sur le volet des données comme celle du juge sur le volet financier. Si vous recevez après le piratage des relances, des factures ou des messages relatifs à des dossiers que vous n’avez pas créés, ne les ignorez pas et ne les payez pas sans réagir : contestez chaque document par écrit en rappelant le piratage, la reprise du compte et la plainte, et conservez la preuve de chaque envoi. Un dossier frauduleux laissé sans réponse peut produire des prélèvements ultérieurs ou des usages répétés de vos données, alors qu’une contestation écrite et datée fige votre position pour la suite. Conservez précieusement le récépissé de votre plainte et le numéro de dossier : les enquêteurs pourront demander à SNCF les journaux de connexion et à la banque les bénéficiaires des paiements, et ces réquisitions aboutissent d’autant mieux que votre dossier est daté et complet. Si des paiements ont aussi transité par un autre compte piraté, la méthode de récupération et de contestation décrite pour les comptes Google, Instagram ou bancaires piratés s’applique de la même façon à la partie bancaire du dossier.
B. Faire valoir vos droits sur vos données et chiffrer le préjudice
Votre compte SNCF Connect concentre des données personnelles sensibles : identité, coordonnées, habitudes de voyage, cartes de réduction, moyens de paiement et historique des déplacements. Exigez l’effacement des données ajoutées par l’intrus et, si vous quittez le service, la suppression de ce qui n’a pas à être conservé : chacun peut obtenir l’effacement de ses données dans les meilleurs délais, par exemple lorsqu’elles ne sont plus nécessaires ou que le consentement est retiré (le droit à l’effacement, CNIL). Vous pouvez aussi refuser à tout moment l’utilisation de vos données à des fins de prospection (le droit d’opposition, CNIL). Le responsable du traitement doit garantir la sécurité du service par des mesures techniques et organisationnelles adaptées au risque, couvrant la confidentialité et la résilience des systèmes (sécurité et violations de données, CNIL), et lorsqu’une violation expose vos données, il doit la notifier à la CNIL dans les meilleurs délais et si possible dans les 72 heures, en expliquant tout retard (notifier une violation de données personnelles, CNIL). Si SNCF ne répond pas à votre demande d’accès ou d’effacement, ou si le compte reste exploité par l’intrus, vous pouvez adresser une plainte à la CNIL, y compris lorsque vous estimez que le traitement de vos données viole le règlement européen (adresser une plainte à la CNIL). Le préjudice se chiffre poste par poste : billets et débits non autorisés, frais bancaires et d’opposition, temps passé à récupérer le compte et à contester, trajets manqués ou rachetés au dernier moment, et préjudice moral lié à l’utilisation de votre identité et à l’exposition de vos déplacements. Tenez un décompte précis et daté : chaque heure passée au téléphone avec les services clients, chaque déplacement inutile en gare, chaque billet racheté au tarif du dernier moment et chaque frais bancaire compte. Joignez les justificatifs correspondants, car un préjudice chiffré et documenté se défend mieux qu’une estimation globale, et conservez une copie de l’intégralité du dossier pour la transmettre à la CNIL puis au juge sans avoir à la reconstituer. Le fondement de la réparation est double : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil), et « Chacun a droit au respect de sa vie privée » (article 9 du code civil), texte qui permet au juge, y compris en référé en cas d’urgence, de prescrire toute mesure propre à faire cesser l’atteinte. En matière de données personnelles, le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Lorsque l’intrus conserve un accès ou que vos billets circulent encore sous votre nom, le juge peut être saisi en urgence sur le fondement du droit au respect de la vie privée : « Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé » (article 9 du code civil). La jurisprudence illustre ces principes : la Cour de cassation a rejeté le pourvoi contre une condamnation pour maintien frauduleux dans un système de traitement automatisé de données, avec trois mois d’emprisonnement avec sursis et indemnisation des intérêts civils (Cass. crim., 2 septembre 2025, n° 24-83.605), et le tribunal de proximité de Haguenau a, le 9 avril 2026, condamné l’auteur d’un accès frauduleux au compte et aux données d’autrui à verser 950 euros de dommages et intérêts sur le fondement de l’article 9 du code civil (RG n° 25/03391). Si SNCF refuse le remboursement, si la banque tarde à recréditer ou si vos données restent entre les mains de l’intrus, ces refus écrits deviennent les pièces du recours devant la CNIL puis devant le juge.
Un compte SNCF Connect piraté ne se résume jamais à un simple incident technique : des billets émis à votre nom engagent votre argent, votre identité, vos points de fidélité et vos déplacements. Le préjudice ne se limite pas aux sommes débitées : il comprend les démarches, l’attente, l’inquiétude de voir votre identité voyager sans vous et la crainte d’une réutilisation de vos données pour d’autres fraudes. Verrouiller le compte et faire opposition dans les premières heures, figer chaque preuve, contester par écrit chaque billet et chaque débit dans les délais que la loi attache à ces contestations, déposer plainte en visant l’accès frauduleux et l’usurpation d’identité, puis exercer vos droits d’accès, d’effacement et de réclamation sur vos données : cet enchaînement protège à la fois le remboursement et la réparation. Rassemblez vos captures, vos relevés, votre dépôt de plainte et les réponses écrites de SNCF et de votre banque, car ce sont elles qui permettront à la CNIL et au juge de mesurer l’atteinte et d’en fixer le prix. Le fil conducteur tient en cinq verbes : verrouiller, prouver, contester, signaler et demander, sans attendre que la situation s’aggrave, que de nouveaux billets soient émis ou que vos moyens de paiement soient réutilisés ailleurs. Verrouiller le compte et les paiements pour stopper l’hémorragie, prouver chaque achat et chaque débit par des captures et des écrits, contester chaque billet auprès de SNCF et chaque opération auprès de la banque dans les délais que la loi attache à ces contestations, signaler le piratage et déposer plainte pour permettre l’enquête, puis demander l’accès, l’effacement et la réparation de vos données. Menées ensemble et par écrit, ces démarches transforment un incident subi en dossier solide. Un dossier complet, daté et chiffré poste par poste transforme un incident subi en demande crédible : remboursement des débits, effacement des traces de l’intrus et réparation du préjudice matériel et moral.