Arnaque au CPF : démarchage interdit, signalement et restitution des droits

L'arnaque au compte personnel de formation ne vise pas votre argent mais vos droits : l'objectif, décrit par Cybermalveillance.gouv.fr avec le concours de la Caisse des Dépôts, est d'accéder à votre compte pour vous inscrire, parfois à votre insu, à une formation factice qui sera débitée de votre solde. Depuis fin 2022, la loi et la plateforme ont changé sur trois points qui rendent cette fraude plus facile à reconnaître, et qui encadrent précisément ce que vous devez faire si elle a réussi.

Le démarchage sur le CPF est interdit depuis décembre 2022

Avant cette date, démarcher un titulaire de CPF était permis, et certaines pages officielles plus anciennes le mentionnent encore. Ce n'est plus le cas. La loi n° 2022-1587 du 19 décembre 2022 a inséré dans le Code du travail un article L. 6323-8-1 qui interdit toute prospection commerciale des titulaires d'un compte personnel de formation, par quatre canaux : la voie téléphonique, les messages (SMS et messageries), le courrier électronique et les réseaux sociaux.

L'interdiction vise deux objectifs :

• collecter vos données personnelles, notamment le montant de vos droits et les identifiants qui donnent accès au service ;
• vous faire conclure un contrat portant sur une action finançable par le CPF.

Une seule exception est prévue : la sollicitation qui intervient dans le cadre d'une action en cours et qui présente un lien direct avec elle. Autrement dit, l'organisme chez qui vous suivez déjà une formation peut vous contacter à son sujet, pas un inconnu.

Tout manquement est passible d'une amende administrative de 75 000 euros au plus pour une personne physique et de 375 000 euros au plus pour une personne morale, prononcée dans les conditions prévues par le Code de la consommation.

La conséquence pratique tient en une phrase : un appel, un SMS, un courriel ou un message privé qui vous incite à vous inscrire à une formation avec votre CPF, ou qui vous demande vos identifiants ou le montant de vos droits, relève du démarchage interdit, quel que soit l'organisme annoncé ; la loi ne prévoit qu'une exception, pour les sollicitations qui interviennent dans le cadre d'une action en cours et présentent un lien direct avec son objet. La Caisse des Dépôts, qui gère le service, précise de son côté qu'elle ne propose jamais d'offres commerciales et ne transmet jamais vos coordonnées à des tiers.

Comment le compte est pris

Le scénario documenté par Cybermalveillance.gouv.fr commence par un appel d'une personne qui se présente comme appartenant à « Mon Compte Formation », à un organisme de formation ou à un organisme public. Elle utilise ensuite l'un de ces moyens :

• demander votre numéro de sécurité sociale, et parfois même votre mot de passe ;
• vous « aider » à réinitialiser le mot de passe, pour le récupérer au passage ;
• créer le compte à votre place si vous n'en avez pas, en y inscrivant une adresse de messagerie qui lui appartient ;
• vous orienter, par une publicité sur un site ou un réseau social, vers un formulaire où vous laissez vos coordonnées, avant de vous rappeler.

La même source rappelle qu'aucun organisme de formation ni centre d'appel n'est autorisé à vous demander votre numéro de sécurité sociale ou votre mot de passe. Les cadeaux proposés en échange d'une inscription relèvent eux aussi des offres que la Caisse des Dépôts qualifie de mensongères ou illégales.

Ce que le parcours officiel impose

Deux règles du dispositif permettent de confronter un discours commercial à la réalité.

L'inscription exige FranceConnect+. Pour s'inscrire à une formation, il faut s'identifier via FranceConnect+, soit avec L'Identité Numérique La Poste, soit avec l'identité numérique certifiée France Identité. Selon les conditions publiées par Mon Compte Formation, les deux options supposent d'être majeur et d'avoir un smartphone compatible. La première demande en plus une pièce d'identité française valide (carte d'identité, passeport ou titre de séjour de plus de cinq ans) ; la seconde, la nouvelle carte nationale d'identité au format carte bancaire. Si vous ne remplissez pas ces conditions, une procédure alternative de vérification d'identité existe : elle est traitée manuellement par les services de la Caisse des Dépôts, en quatre semaines environ. Dans tous les cas, vous êtes le seul autorisé à vous connecter à votre compte et à vous inscrire à une offre. Quelqu'un qui propose de « faire la démarche pour vous » vous demande donc, concrètement, de lui confier votre identité numérique.

Une participation reste à votre charge. Service Public indique que le salarié qui mobilise son CPF doit participer au financement de la formation à hauteur de 150 euros, somme indexée sur l'inflation et revue chaque 1er janvier. L'employeur ou l'opérateur de compétences peut la prendre en charge, et la fiche liste quelques cas d'exonération (abondement de l'employeur, par exemple). Une formation présentée comme « sans aucun reste à payer » doit donc pouvoir expliquer laquelle de ces situations s'applique.

Pour consulter vos droits ou chercher une formation, ouvrez vous-même moncompteformation.gouv.fr. Si un message vous laisse un doute, le test d'arnaque aide à le situer, et l'article sur le faux portail administratif explique comment lire une adresse officielle.

Le compte a été utilisé : la procédure, dans l'ordre

La marche à suivre publiée par Mon Compte Formation distingue la protection du compte, la plainte, puis le signalement ; une autre page du service y ajoute l'annulation de l'inscription non voulue.

1. Changer immédiatement le mot de passe de Mon Compte Formation ou le code personnel de L'Identité Numérique La Poste, ainsi que ce mot de passe sur tous les autres services où vous l'utilisez. Si l'escroc vous a fait passer par FranceConnect, Cybermalveillance.gouv.fr recommande de modifier aussi le mot de passe du compte qui a servi à la connexion (impots.gouv.fr ou ameli.fr, par exemple).
2. Consulter l'historique des actions et la liste des dossiers de formation dans l'espace personnel, pour repérer une inscription que vous ne connaissez pas.
3. Rassembler les preuves : adresses postales et électroniques, numéros de téléphone, contrats de formation, échanges de courriels ou de SMS, captures d'écran des sollicitations.
4. Annuler l'inscription que vous n'avez pas voulue : si vous avez été inscrit contre votre volonté à une offre de formation, Mon Compte Formation demande de vous connecter à votre compte et d'annuler l'inscription. Relevez d'abord les informations du dossier (organisme, intitulé, dates, montant), utiles pour la plainte et le signalement.
5. Déposer plainte si vos droits ont été utilisés frauduleusement. Ce point n'est pas facultatif : la restitution des droits CPF est conditionnée à l'analyse de la copie du procès-verbal du dépôt de plainte. Notez à l'avance la raison sociale de l'organisme de formation et la date de création du dossier.
6. Signaler l'escroquerie par le formulaire de l'espace connecté : « Besoin d'aide » en haut à droite, catégorie « Signalement de fraude », puis « J'ai accès à mon compte », sélection du dossier concerné et « Signaler une escroquerie concernant mon compte ou mon dossier ». Les pièces justificatives se joignent à cette étape.

Si vous n'avez plus accès à votre espace, le compte doit d'abord être débloqué avant tout signalement ; la même page donne le lien. Mon Compte Formation indique qu'après examen de votre situation, ses services vous informeront de la suite réservée à votre demande et pourraient, dans ce cadre, être amenés à vous contacter par téléphone. Même dans ce cas, la consigne de Cybermalveillance.gouv.fr reste valable : ne communiquez jamais votre mot de passe à un tiers.

La plainte se dépose dans le commissariat de police ou la gendarmerie de votre choix, ou par courrier au procureur de la République, à envoyer au tribunal judiciaire du lieu de l'infraction ou du domicile de l'auteur de l'infraction, comme l'indique Service Public. Selon les faits, Cybermalveillance.gouv.fr cite trois qualifications possibles : l'escroquerie (article 313-1 du Code pénal, cinq ans d'emprisonnement et 375 000 euros d'amende), l'accès frauduleux à un système de traitement automatisé de données (article 323-1) et l'usurpation d'identité (article 226-4-1).

Être aidé, et signaler même sans préjudice

Deux lignes téléphoniques gratuites sont indiquées par Mon Compte Formation. Le 116 006, numéro national d'aide aux victimes du ministère de la Justice géré par France Victimes, répond sept jours sur sept pour l'information juridique et l'orientation vers une association ; il n'est pas un support technique du site et ne connaît pas les suites données à un signalement. La plateforme Info Escroqueries du ministère de l'Intérieur, au 0 805 805 817, conseille sur les démarches du lundi au vendredi de 9h à 18h30.

Si vous avez seulement reçu un appel ou un message, sans rien communiquer, le signalement reste utile. Un SMS se transfère au 33700, et la Caisse des Dépôts indique que ce signalement entraîne la coupure des numéros utilisés chez les opérateurs. Le démarchage lui-même se déclare sur SignalConso, le service de la DGCCRF, comme le rappelle Service Public à propos de l'interdiction générale du démarchage téléphonique entrée en vigueur le 11 août 2026.

Pour aller plus loin : le guide fraude aux aides situe le CPF parmi les autres dispositifs visés, l'article sur le démarchage abusif traite des appels commerciaux en général, et compte piraté, que faire détaille la reprise en main d'un compte en ligne.