Compte piraté : récupérer l'accès, le sécuriser, porter plainte

Le piratage de compte désigne la prise de contrôle d'un compte par un individu malveillant, au détriment de son propriétaire légitime : messagerie, réseau social, site administratif, plateforme de commerce en ligne. La fiche réflexe de Cybermalveillance.gouv.fr en donne quatre origines possibles : un mot de passe trop simple, un message d'hameçonnage auquel vous avez répondu, un mot de passe identique sur plusieurs sites dont l'un a été piraté, ou un virus voleur de mots de passe installé sur l'un de vos appareils.

Les indices recensés par Service-Public.fr sont concrets : identifiants refusés, messages envoyés dont vous n'êtes pas l'auteur, contacts ajoutés ou supprimés, notification de connexion depuis un nouvel appareil, appareil inconnu dans l'historique des connexions, informations du profil modifiées. La suite dépend d'une seule question : pouvez-vous encore vous connecter ?

Vous n'avez plus accès au compte

La récupération passe par le service lui-même. Cybermalveillance.gouv.fr indique de le contacter pour signaler le piratage et demander la réinitialisation du mot de passe. Sa fiche réunit les liens de signalement des principaux services (Facebook, Instagram, LinkedIn, Snapchat, TikTok, X, Gmail, Outlook, Yahoo), et deux pages complètent la liste : l'une pour les boîtes mail (avec Laposte.net, Orange et Apple), l'autre pour les réseaux sociaux (avec WhatsApp).

Le délai n'est pas garanti. Cette seconde page prévient que les réseaux sociaux n'ont aucune obligation contractuelle de réactivité, que de nombreux justificatifs peuvent être demandés pour prouver que vous êtes le propriétaire légitime, et que la procédure peut durer de plusieurs jours à plusieurs semaines. Pendant ce temps, rien n'empêche de traiter ce qui ne dépend pas de la plateforme : prévenir vos contacts, votre banque, et déposer plainte (voir plus bas).

Si le pirate réclame de l'argent pour vous rendre le compte, Service-Public.fr qualifie les faits d'extorsion. C'est l'un des deux cas qui ouvrent la plainte en ligne.

Vous pouvez encore vous connecter : l'ordre des vérifications

L'ordre ci-dessous suit celui de la fiche réflexe. Elle commence par les coordonnées de récupération, que le pirate a pu modifier pour garder la main, avant même le changement de mot de passe.

1. Les coordonnées de récupération. Vérifiez que le numéro de téléphone et l'adresse de secours sont bien les vôtres. Sinon, faites une capture d'écran (elle servira de preuve), puis supprimez-les : ils ont pu être ajoutés pour garder le contrôle du compte.
2. Les règles de la messagerie. Pour une boîte mail, contrôlez l'absence de redirection ou de règle de filtrage dans les paramètres. Cybermalveillance.gouv.fr explique que certains pirates paramètrent la boîte de leur victime pour dissimuler leurs envois et les réponses reçues : l'absence de message suspect dans les éléments envoyés ne garantit donc rien.
3. Le mot de passe. Changez-le pour un mot de passe solide, que vous n'utilisez sur aucun autre site. Le repère donné par la CNIL est d'au moins 12 caractères de quatre types (minuscules, majuscules, chiffres, caractères spéciaux), sans rapport avec votre vie personnelle. Notre vérificateur de mot de passe permet d'éprouver la robustesse d'une construction de mot de passe, sans y saisir celui que vous allez réellement utiliser.
4. La double authentification. Activez-la si le service la propose : toute connexion depuis un nouvel appareil exigera un code de confirmation que vous seul recevez.
5. Les sessions et appareils connectés. Dans l'historique des connexions, capturez puis déconnectez tout appareil ou session inconnu. La fiche est explicite : sans cela, le pirate peut rester connecté même après le changement de mot de passe.
6. Les autres comptes. Changez le mot de passe piraté partout où vous l'utilisiez.
7. Ce qui a été fait en votre nom. Vérifiez qu'aucune publication ni commande n'a été passée depuis le compte. Si c'est le cas, conservez la preuve, puis supprimez la publication ou faites annuler la commande auprès du service.

La fiche demande aussi de prévenir tous vos contacts, pour qu'ils ne soient pas victimes à leur tour d'un message envoyé sous votre nom. Si l'un d'eux a reçu une demande d'argent, Service-Public.fr précise qu'il peut lui-même faire un signalement ou déposer plainte sur THESEE.

La boîte mail d'abord

Si plusieurs comptes sont touchés, commencez par la messagerie. Les bonnes pratiques de Cybermalveillance.gouv.fr sur les mots de passe en donnent la raison : votre adresse reçoit les liens de réinitialisation de vos autres comptes, et celui qui contrôle la boîte peut utiliser la fonction « mot de passe oublié » de chaque service, compte bancaire compris.

La page consacrée aux boîtes mail ajoute un second risque : si des copies de vos documents d'identité se trouvent dans la messagerie, le pirate peut s'en servir pour contracter des crédits, souscrire des abonnements téléphoniques ou louer des véhicules à votre nom. Le piratage devient alors une usurpation d'identité, avec ses démarches propres (plainte, vérification des fichiers de la Banque de France et du Ficoba).

Banque, impôts, Assurance Maladie

Banque. Si vos coordonnées de carte étaient enregistrées sur le compte piraté, Service-Public.fr indique de prévenir votre banque au plus vite et, si nécessaire, de faire opposition. Vous pouvez contester un virement effectué par le pirate et demander le remboursement des opérations qu'il a réalisées. Le détail figure dans notre article sur la fraude à la carte bancaire. Restez prudent dans les jours qui suivent : un appel d'un prétendu service antifraude est le scénario du faux conseiller bancaire.

Impôts. La Direction générale des finances publiques envoie un code à usage unique par SMS pour le renouvellement du mot de passe et pour la modification des coordonnées bancaires utilisées pour l'impôt sur le revenu, à condition que vous ayez enregistré et validé votre numéro de portable dans votre espace Finances publiques.

Assurance Maladie. Si vous avez communiqué vos identifiants ameli à la suite d'un hameçonnage, l'Assurance Maladie demande d'appeler votre CPAM au 3646 pour clôturer temporairement le compte et le réactiver avec un nouveau mot de passe. La connexion au compte ameli passe désormais par un code à usage unique envoyé par mail : une raison de plus de sécuriser la messagerie en premier.

Signaler et porter plainte

En ligne, sur THESEE, dans deux cas précis

La plateforme THESEE du ministère de l'Intérieur reçoit les signalements et les plaintes lorsqu'une boîte mail ou un compte de réseau social a été piraté pour se faire passer pour vous auprès de vos contacts et leur demander de l'argent, ou pour exiger de vous une rançon. La page de la démarche en ligne pose deux conditions cumulatives : le piratage doit porter sur une messagerie ou un réseau social, et une demande d'argent doit avoir été faite depuis le compte. Il n'est pas nécessaire qu'un versement ait eu lieu.

À savoir avant de commencer :

• la plainte en ligne est réservée aux majeurs et l'identification se fait avec FranceConnect ;
• le piratage d'un autre type de compte (site marchand, compte ameli) n'entre pas dans THESEE, précise Service-Public.fr : la plainte reste possible, par les voies décrites plus bas ;
• un signalement n'est pas une plainte. Il informe les services d'enquête, mais vous n'êtes pas tenu au courant des suites ;
• une fois la plainte validée, une notice d'information est déposée dans votre espace personnel Service-Public.fr (suites données, aides possibles, indemnisation), et vous êtes informé si l'auteur est identifié et interpellé.

Au commissariat, à la gendarmerie ou par courrier

Dans tous les autres cas, la plainte se dépose dans le commissariat ou la gendarmerie de votre choix, ou par courrier au procureur de la République du tribunal judiciaire du lieu de l'infraction ou du domicile de l'auteur. Service-Public.fr rappelle que les services sont obligés de l'enregistrer et que vous recevez un récépissé. Le délai est de six ans à compter des faits, et la plainte peut viser X.

Apportez les captures d'écran faites au fil des vérifications : coordonnées de récupération ajoutées, sessions inconnues, messages envoyés à votre insu.

Pour être conseillé avant ou après la plainte, la plateforme Info Escroqueries du ministère de l'Intérieur répond au 0 805 805 817, du lundi au vendredi de 9 h à 18 h 30 (appel gratuit).

Ce que risque l'auteur

La fiche de Cybermalveillance.gouv.fr liste les infractions qui peuvent être retenues selon les cas :

• l'accès frauduleux à un système de traitement automatisé de données (article 323-1 du Code pénal), passible de trois ans d'emprisonnement et de 100 000 euros d'amende, cinq ans et 150 000 euros si des données ont été supprimées ou modifiées ;
• l'atteinte au secret des correspondances (article 226-15), pour une messagerie : un an et 45 000 euros ;
• l'usurpation d'identité (article 226-4-1), si le compte a servi à se faire passer pour vous : un an et 15 000 euros.

Service-Public.fr mentionne une peine complémentaire récente. Depuis le 21 mai 2024, une personne condamnée pour usurpation d'identité sur internet peut être bannie de la plateforme sur laquelle elle a commis l'infraction, pour six mois au plus, un an en cas de récidive.

Après l'incident

Deux mesures réduisent le risque que cela recommence, et toutes deux figurent dans les recommandations de la CNIL. La première est un mot de passe différent pour chaque compte sensible, conservé dans un gestionnaire de mots de passe protégé par un mot de passe maître d'au moins 12 caractères. La seconde est l'authentification multifacteur. La CNIL en reconnaît les limites (hameçonnage en temps réel, interception des SMS, remplacement frauduleux de la carte SIM) et recommande malgré tout de l'activer chaque fois qu'un service la propose.

Cherchez enfin par où le mot de passe est sorti. S'il servait sur un site qui a subi une violation de données, les démarches sont décrites dans notre guide sur les fuites de données. S'il a été saisi sur une fausse page de connexion, relisez le fonctionnement du phishing sur les réseaux sociaux. Et si aucune de ces pistes ne tient, l'hypothèse du virus voleur de mots de passe reste ouverte : Cybermalveillance.gouv.fr recommande de maintenir à jour le système, les logiciels et l'antivirus de vos appareils.