Vos proches reçoivent des messages que vous n’avez jamais écrits : demande d’argent urgente, lien à ouvrir, nouveau relevé à payer. Puis c’est votre tour de découvrir que votre compte WhatsApp ne vous obéit plus : code de vérification qui n’arrive pas, sessions inconnues, photo ou nom modifié. Le piratage de compte de messagerie suivi d’une usurpation auprès des contacts est devenu l’une des crises de données personnelles les plus fréquentes pour les particuliers, avec un préjudice qui se propage à chaque message envoyé en votre nom. Les signalements se multiplient : comptes repris en quelques minutes par un code de vérification intercepté, proches démarchés pour des virements urgents, contenus intimes menacés de diffusion.
Cet article décrit la riposte complète : reprendre le compte et couper l’usurpateur, figer les preuves puis faire identifier l’auteur par le juge des référés, exercer les droits d’accès et d’effacement du RGPD, saisir la CNIL, déposer plainte pour usurpation d’identité et escroquerie, et obtenir réparation du préjudice matériel et moral. Chaque étape repose sur des textes et des décisions vérifiés, cités avec leurs sources officielles.
I. Reprendre la main sur le compte et figer les preuves
A. Récupérer l’accès, couper l’usurpateur et protéger les contacts
Le premier réflexe consiste à reprendre le contrôle du numéro. Sur WhatsApp, le compte est lié au numéro de téléphone : réinstaller l’application puis relancer la vérification du numéro par SMS ou appel permet en principe de déconnecter l’appareil de l’usurpateur, puisque le service ne maintient qu’une session principale par numéro. Si le code de vérification à six chiffres n’arrive pas, c’est souvent le signe que l’usurpateur a activé une brouille ou que la carte SIM elle-même est visée ; il faut alors contacter l’opérateur téléphonique sans tarder pour vérifier la ligne, puis renouveler la demande de code. Dès la récupération, l’activation de la vérification en deux étapes avec un code personnel connu de la seule victime referme la porte la plus couramment exploitée.
En parallèle, chaque minute compte pour limiter la propagation. Les messages envoyés en votre nom réclament de l’argent, diffusent des liens ou collectent des informations auprès de vos proches : prévenir immédiatement les contacts fréquents, par un autre canal (appel direct, SMS depuis un autre numéro, proche de confiance), casse la chaîne. Les administrations rappellent cette méthode : face à l’usurpation d’identité, alerter son entourage fait partie des gestes attendus, au même titre que la plainte et le signalement (service-public.fr). Le ministère de l’économie détaille la même séquence : vérifier les faits, protéger ses comptes, alerter, puis saisir les autorités (economie.gouv.fr).
La conservation des preuves commence dès cet instant et conditionne tout le reste. Captures d’écran des messages envoyés à votre insu avec leurs dates et heures, identité des destinataires, relevés d’appels de vérification, courriels de l’opérateur, accusés de dépôt de plainte : tout doit être horodaté et sauvegardé hors du téléphone, par exemple chez un tiers de confiance ou dans un coffre numérique. Un constat par commissaire de justice (anciennement huissier) des conversations et des paramètres du compte donne à ces éléments une force probante que de simples impressions d’écran n’ont pas toujours. La victime qui documente ainsi, dès les premières heures, se place dans la meilleure position pour la suite : identification de l’auteur, réclamation devant la CNIL et action en réparation.
B. Identifier l’auteur et faire conserver les traces par le juge des référés
L’usurpateur reste souvent invisible derrière un écran, mais il laisse des traces techniques : adresses IP de connexion, appareils utilisés, horodatages, modifications du mot de passe ou des facteurs d’authentification. Ces données sont détenues par les opérateurs et les fournisseurs de services, qui les conservent pour les besoins des procédures pénales et de la sécurité publique : l’article L. 34-1 du code des postes et des communications électroniques impose aux opérateurs de conserver les données d’identification des utilisateurs (legifrance.gouv.fr). La victime ne peut pas les obtenir seule : elle doit passer par le juge. En cas d’urgence, le référé offre en outre un fondement complémentaire, puisque : « Dans tous les cas d’urgence, le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend » (legifrance.gouv.fr), et que le même président peut, même en présence d’une contestation sérieuse, prescrire les mesures nécessaires « soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » (legifrance.gouv.fr).
L’outil adapté est le référé probatoire de l’article 145 du code de procédure civile, aux termes duquel : « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé » (legifrance.gouv.fr). Concrètement, le juge des référés peut ordonner au fournisseur de communiquer les connexions au compte, les modes d’authentification utilisés, les modifications de mot de passe et, pour chaque action, la date, l’heure, l’adresse IP et sa géolocalisation approximative.
Cette voie a déjà servi exactement ce cas de figure. Par ordonnance du 7 octobre 2024, le tribunal judiciaire de Paris a jugé qu’une victime de piratage de messagerie justifiait d’un motif légitime à rechercher la preuve de l’identité de l’usurpateur de son compte et à établir les différentes connexions à son insu, les modifications du mot de passe et les modes de connexion utilisés par ce tiers, en vue d’engager une action au fond à son encontre. Le requérant s’appuyait sur des plaintes déposées au commissariat, des alertes de modification de mot de passe et un procès-verbal de constat relevant des connexions classées suspectes par le fournisseur ; le juge a retenu que l’action pénale envisagée sur le fondement de l’usurpation d’identité numérique, du vol de données et du faux ne serait pas manifestement vouée à l’échec. Par une autre ordonnance du 11 juin 2025, le même tribunal, saisi par deux sociétés sur le fondement de l’article 145, a examiné la communication des données d’identification des titulaires d’adresses de messagerie litigieuses, avec adresses IP, ports sources et journaux de connexion. Ces décisions montrent que le juge parisien manie couramment cet instrument pour percer l’anonymat numérique, y compris lorsque la demande vise un opérateur établi dans un autre État membre.
Deux précisions pratiques découlent de cette jurisprudence. D’abord, le référé probatoire suppose de démontrer un litige plausible : plaintes déjà déposées, constats, captures et correspondances avec le fournisseur forment le socle du motif légitime. Ensuite, la mesure doit rester proportionnée : le juge ordonne la communication des données utiles à l’identification (connexions, IP, facteurs d’authentification sur une période définie) et autorise la victime à s’en prévaloir dans une action ultérieure, sans transformer la procédure en enquête générale. Pour la victime d’un compte WhatsApp piraté, cela signifie viser précisément les journaux de connexion et d’enregistrement du numéro sur la période du piratage, ainsi que les données d’identification du terminal intrus.
II. Faire valoir ses droits et obtenir réparation
A. Exercer ses droits RGPD et saisir la CNIL
Le piratage d’un compte WhatsApp n’est pas seulement un incident technique : c’est un traitement illicite de données personnelles. Nom, photographie, liste de contacts, contenus des messages, données de localisation partagées dans les discussions : l’usurpateur accède à des données personnelles, les utilise et les diffuse. La victime dispose à ce titre de l’arsenal complet du règlement général sur la protection des données.
Le premier levier est le droit d’accès. Aux termes de l’article 15, toute personne peut demander au responsable du traitement de confirmer si des données personnelles la concernant sont traitées et, dans l’affirmative, d’y accéder et d’obtenir des informations sur les finalités, les catégories de données et les destinataires (cnil.fr) (eur-lex.europa.eu). Cette demande, adressée au fournisseur du service, permet d’obtenir la liste des sessions, des appareils connectés et des destinataires auxquels des données ont été communiquées. Le second levier est le droit à l’effacement de l’article 17 : celui-ci permet d’obtenir l’effacement de ses données dans les meilleurs délais, le responsable étant tenu d’y procéder dès lors que l’un des motifs prévus est réuni, par exemple un traitement illicite (cnil.fr) (eur-lex.europa.eu), notamment quand les données ont fait l’objet d’un traitement illicite. Concrètement, la victime peut exiger la suppression des sessions frauduleuses, des sauvegardes compromises et de tout contenu diffusé depuis son compte à son insu.
Le fournisseur doit répondre vite : le règlement impose au responsable du traitement de fournir à la personne concernée des informations donnent suite aux demandes fondées sur les articles 15 à 22 : le responsable doit répondre à ces demandes dans les meilleurs délais et, au plus tard, dans un délai d’un mois à compter de leur réception (cnil.fr) (eur-lex.europa.eu). Ce délai d’un mois à compter de la réception de la demande (eur-lex.europa.eu) court dès la réception de la demande écrite ; le silence ou le refus non motivé ouvre la voie du recours. Si le fournisseur ne donne pas suite, il doit informer la personne, au plus tard dans ce même délai d’un mois (eur-lex.europa.eu), des motifs de son inaction et de la possibilité de saisir l’autorité de contrôle et le juge.
Le troisième levier est la réclamation devant la CNIL. L’article 77 ouvre à toute personne qui s’estime victime d’une violation du règlement le droit de saisir l’autorité de contrôle, notamment celle de l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée (cnil.fr) (eur-lex.europa.eu). La victime résidant en France saisit donc la CNIL en ligne, en joignant plaintes, constats et échanges avec le fournisseur. La CNIL peut contrôler, mettre en demeure et sanctionner ; ses décisions récentes montrent qu’elle n’hésite pas à frapper les manquements à la sécurité, y compris par des sanctions non publiques que la victime peut invoquer devant le juge civil.
La question du rôle du fournisseur mérite un examen attentif. Lorsque la compromission résulte d’une faille de sécurité imputable au service (absence de détection d’enregistrements suspects, réenregistrements multiples sans alerte), le fournisseur, responsable du traitement, peut lui-même être regardé comme tenu des obligations de sécurité et de notification. Le règlement lui impose, en cas de violation de données, d’en notifier la violation à l’autorité de contrôle compétente, et l’article 33 lui impose de notifier la violation dans les meilleurs délais et, si possible, dans les 72 heures au plus tard après en avoir eu connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés (cnil.fr) (eur-lex.europa.eu). Ce délai de 72 heures au plus tard après la connaissance de la violation (eur-lex.europa.eu) pèse sur le responsable du traitement, pas sur la victime, mais celle-ci a intérêt à signaler l’incident au fournisseur par écrit dès sa découverte pour faire courir cette connaissance. Et lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés, le responsable doit aussi avertir la personne concernée : quand la violation est susceptible d’engendrer un risque élevé pour les droits et libertés, l’article 34 oblige le responsable à la communiquer à la personne concernée dans les meilleurs délais (cnil.fr) (eur-lex.europa.eu). La CNIL détaille ces démarches sur sa page consacrée aux règles à suivre en cas de violation (cnil.fr).
L’affaire ayant opposé un client à la société Ledger devant le tribunal judiciaire de Paris illustre l’articulation entre sanction administrative et action civile. Après deux cyberattaques subies en 2020, la CNIL avait prononcé le 10 octobre 2024 une amende de 750 000 euros pour défaut de mesures de sécurité, dans une décision non rendue publique ; la victime demandait la réouverture des débats pour verser cette décision au dossier de son action en réparation. Par jugement avant-dire droit du 4 mars 2025, le tribunal a ordonné la réouverture des débats, retenant qu’il est patent qu’il s’agit d’un élément utile à la solution du litige, dès lors que la CNIL, autorité chargée de contrôler l’application du règlement, a mené des investigations sur les violations en cause et s’est prononcée sur l’un des manquements invoqués, tout en rappelant que la décision de la CNIL ne lie pas le juge judiciaire. La leçon pour la victime d’un compte piraté est claire : une sanction CNIL, même non publique, peut utilement étayer une demande indemnitaire, sans dispenser de prouver la faute, le préjudice et le lien entre les deux.
B. Déposer plainte au pénal et demander réparation au civil, y compris à Paris
Le piratage d’un compte WhatsApp suivi de messages envoyés aux contacts entre dans plusieurs incriminations pénales. La première est l’usurpation d’identité numérique. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende » (legifrance.gouv.fr). Le même texte précise que l’infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne, ce qui couvre l’usage frauduleux d’un compte de messagerie. La seconde incrimination, fréquente quand l’usurpateur réclame de l’argent aux contacts, est l’escroquerie, définie ainsi : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » (legifrance.gouv.fr). Se faire passer pour la victime afin d’obtenir des virements entre dans cette définition. D’autres qualifications peuvent s’ajouter selon les faits. L’intrusion elle-même constitue l’accès frauduleux à un système de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (legifrance.gouv.fr). La captation des informations du compte et des contacts entre dans la collecte frauduleuse : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (legifrance.gouv.fr). Le chantage peut s’y ajouter quand l’usurpateur menace de diffuser des contenus intimes.
Le dépôt de plainte suit le circuit ordinaire : commissariat ou brigade de gendarmerie, ou plainte en ligne via le dispositif Ma Sécurité pour une prise en charge orientée, puis audition. La plainte doit décrire avec précision la chronologie (dernier accès légitime, premier message suspect, code de vérification non reçu), lister les contacts destinataires des messages frauduleux, chiffrer les sommes éventuellement détournées et mentionner les démarches déjà accomplies (signalement au fournisseur, à l’opérateur, à la plateforme PHAROS pour les contenus illicites). À Paris et en Île-de-France, la plainte peut être déposée dans tout commissariat parisien ou de la petite couronne, quel que soit le lieu de résidence ; l’enquête sera ensuite orientée vers les services compétents en matière de cybercriminalité. La constitution de partie civile, devant le juge d’instruction ou à l’audience correctionnelle, permet de demander des dommages et intérêts dans le procès pénal lui-même.
Parallèlement ou alternativement, la voie civile indemnitaire du RGPD offre un terrain direct. Le règlement ouvre à chacun un recours effectif contre le responsable du traitement : l’article 79 garantit à chaque personne concernée un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant en cas de traitement effectué en violation du règlement (cnil.fr) (eur-lex.europa.eu). L’action peut être portée devant les juridictions de l’État membre de la résidence habituelle de la victime, ce qui, pour un résident francilien, désigne le tribunal judiciaire de Paris. Et le droit à réparation est posé en ces termes : l’article 82 pose le droit pour toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (cnil.fr) (eur-lex.europa.eu).
Le préjudice réparable se décline en plusieurs postes qu’il faut documenter séparément. Le préjudice matériel comprend les sommes détournées auprès de la victime ou de ses contacts, les frais de sécurisation (nouveau téléphone, constat, déplacements), voire la perte de revenus professionnels quand le compte servait à l’activité. Le préjudice moral couvre l’angoisse, l’atteinte à la réputation auprès des contacts démarchés et le temps consacré à réparer les dégâts. En pratique, les juridictions exigent la preuve d’un préjudice réel et d’un lien avec la violation ; les factures, relevés bancaires, attestations des contacts ayant reçu les messages et expertises éventuelles forment le dossier. La même logique vaut quand plusieurs victimes d’une même vague de piratage souhaitent agir ensemble : l’action de groupe en matière de données personnelles permet de mutualiser l’effort, comme l’explique notre analyse consacrée aux fuites de données et à l’action de groupe (kohenavocats.fr).
Reste la question des contacts qui ont versé de l’argent à l’usurpateur. Eux aussi sont des victimes, d’une escroquerie dont l’auteur s’est fait passer pour leur proche. Ils doivent déposer plainte à leur tour, contester les virements auprès de leur banque et conserver tous les échanges. La banque n’est pas automatiquement tenue de rembourser un virement autorisé par le client lui-même, même trompé ; tout dépend des circonstances, des alertes et des manquements éventuels de l’établissement. La victime initiale a ici un rôle utile : transmettre à ses contacts les références de sa propre plainte et les éléments techniques obtenus (ordonnance de référé, logs) pour étayer leurs démarches. Cette solidarité documentaire renforce les deux dossiers à la fois.
En conclusion, le compte WhatsApp piraté qui parle à votre place appelle une riposte ordonnée : reprendre le compte et couper la fraude, figer les preuves par constat et, si besoin, par référé probatoire, exercer les droits d’accès et d’effacement, saisir la CNIL d’une réclamation documentée, déposer plainte pour usurpation d’identité et, le cas échéant, escroquerie, puis réclamer au civil la réparation du préjudice matériel et moral sur le fondement de l’article 82 du RGPD. Chaque étape nourrit la suivante : sans preuves conservées tôt, l’identification de l’auteur devient illusoire ; sans demande écrite au fournisseur, la réclamation CNIL manque de socle ; sans plainte et sans chiffrage précis, la réparation reste théorique. Menée dans cet ordre, la démarche transforme un piratage subi en dossier exigible : chaque pièce conservée, chaque courrier et chaque décision obtenue renforcent ensemble la position de la victime face à l’auteur comme face au fournisseur.