L’un suppose une intrusion, l’autre non. Les textes applicables, les gestes de reprise, les preuves à constituer et le dépôt de plainte diffèrent du tout au tout. La procédure pour chacun, dans l’ordre.
Deux situations que tout le monde confond. Le compte piraté suppose une intrusion : c’est un accès frauduleux à un système de traitement automatisé de données, puni de trois ans d’emprisonnement et de 100 000 euros d’amende. Le faux profil ne suppose aucune intrusion : il relève de l’usurpation d’identité, un an et 15 000 euros, mêmes peines lorsqu’elle est commise en ligne. La reprise d’un compte piraté commence par la messagerie de secours et jamais par le compte lui-même, et changer le mot de passe ne coupe ni les sessions ouvertes ni les applications déjà autorisées.
Un cousin vous appelle : il vient de recevoir un message de vous, sur une application où vous êtes inscrit, demandant 350 euros en urgence. Vous ouvrez l’application, tout est normal. Vous n’avez rien envoyé. Le message vient d’un compte qui porte votre nom, votre photo de profil et une partie de vos photos publiques, créé il y a quatre jours.
Personne n’est entré dans votre compte. Rien n’a été piraté. Et pourtant le préjudice est réel, la procédure existe, et elle n’a presque rien à voir avec celle qu’on vous indiquera si vous cherchez « compte piraté » dans un moteur de recherche.
La confusion entre ces deux situations coûte des semaines aux victimes. Elles n’ont ni le même texte, ni le même premier geste, ni le même interlocuteur.
Le piratage de compte suppose qu’un tiers soit entré. C’est un accès ou un maintien frauduleux dans un système de traitement automatisé de données, réprimé par l’article 323-1 du code pénal : trois ans d’emprisonnement et 100 000 euros d’amende. Si l’intrus a supprimé ou modifié des données, ou altéré le fonctionnement du service, les peines montent à cinq ans et 150 000 euros. Aucune compétence technique n’est requise pour que l’infraction soit constituée : deviner un mot de passe suffit.
L’usurpation d’identité ne suppose aucune intrusion. L’article 226-4-1 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende le fait d’usurper l’identité d’un tiers, ou de faire usage de données permettant de l’identifier, en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur. Le texte précise que les mêmes peines s’appliquent lorsque les faits sont commis sur un réseau de communication au public en ligne. Depuis la loi d’orientation et de programmation du ministère de l’intérieur de janvier 2023, les faits commis par le conjoint, le concubin ou le partenaire de la victime sont punis plus sévèrement.
Deux précisions sur ce texte, souvent mal lues. D’abord, il exige une intention : troubler la tranquillité ou porter atteinte à l’honneur. Une parodie clairement identifiée comme telle n’entre pas nécessairement dans le champ. Ensuite, il ne se limite pas au nom : une adresse électronique, un numéro de téléphone, un pseudonyme durablement associé à vous sont des données permettant de vous identifier.
| Compte piraté | Faux profil créé de toutes pièces | Profil cloné | |
|---|---|---|---|
| Ce qui s’est passé | Un tiers a obtenu vos identifiants et se connecte à votre compte | Un compte nouveau utilise votre nom ou vos données | Vos photos et votre nom publics ont été recopiés sur un compte neuf |
| Signe caractéristique | Vous êtes déconnecté, ou des publications apparaissent sans vous | Vos proches reçoivent des messages d’un compte inconnu à votre nom | Vos proches reçoivent une seconde demande d’ajout |
| Texte applicable | Article 323-1 du code pénal | Article 226-4-1 du code pénal | Article 226-4-1, et droit d’auteur sur les photos |
| Premier geste | Sécuriser la messagerie associée, puis récupérer le compte | Capturer, puis notifier depuis votre compte authentique | Capturer, notifier, prévenir vos contacts |
| Qui peut agir auprès de la plateforme | Vous seul, par la procédure de récupération | Vous ou votre représentant légal | Vous ou votre représentant légal |
| Prescription pénale | Six ans | Six ans | Six ans |
L’erreur la plus répandue consiste à s’acharner sur le formulaire de récupération du réseau social. C’est perdre du temps. Un attaquant méthodique commence par changer l’adresse électronique associée au compte, précisément pour vous couper de toute procédure de reprise. Tant que cette adresse lui appartient, tout ce que vous demanderez lui sera envoyé.
Si vous ne parvenez plus à accéder à la messagerie elle-même, le problème est plus large qu’un réseau social et la chronologie complète figure dans la marche à suivre après un mot de passe volé. Vérifiez au passage si vos identifiants circulent déjà, comme l’explique notre article sur les fuites de données.
C’est le point le plus coûteux à ignorer. Un nouveau mot de passe ferme la porte d’entrée, pas les portes dérobées déjà installées. Trois d’entre elles survivent presque toujours.
Les sessions ouvertes. Sur la plupart des services, un changement de mot de passe n’invalide pas automatiquement les sessions actives sur d’autres appareils. Cherchez dans les réglages la liste des connexions et déconnectez-les toutes, y compris celle que vous croyez reconnaître.
Les applications tierces autorisées. Chaque fois que vous vous êtes connecté à un service à l’aide de votre compte de réseau social, vous avez délivré un jeton d’accès. Ces jetons vivent leur vie indépendamment de votre mot de passe : l’attaquant qui en a créé un garde un accès parfaitement légitime aux yeux du système. La liste porte un nom du type « applications et sites web » ou « accès des applications ». Révoquez tout ce que vous ne reconnaissez pas, et acceptez de reconnecter ensuite les services utiles.
Les règles de la boîte de réception. Dans la messagerie associée, vérifiez les redirections automatiques, les filtres et les réponses automatiques. Une règle qui transfère à une adresse inconnue tout message contenant le mot « code » ou « facture » est le mécanisme de persistance le plus banal, et il survit à tous les changements de mot de passe.
Ajoutez-y deux contrôles rapides : les numéros de téléphone et adresses de secours enregistrés sur le compte, souvent complétés par l’attaquant, et la liste des méthodes de double authentification, où une application inconnue peut avoir été ajoutée. Le fonctionnement de chaque facteur est détaillé dans notre article sur la double authentification.
Scénario fréquent et déroutant : pendant les heures où il contrôlait votre compte, l’attaquant a envoyé des dizaines de sollicitations frauduleuses. La plateforme détecte l’abus et suspend le compte. Vous vous retrouvez face à un message de violation des règles, sans aucune option de récupération.
Le réflexe est alors de recommencer indéfiniment la procédure de récupération, qui ne s’applique plus. Le bon circuit est celui de la contestation : le règlement européen sur les services numériques impose à chaque plateforme un système interne de traitement des réclamations, gratuit et ouvert pendant au moins six mois après la décision. Contestez la suspension en expliquant la compromission, en donnant la date à laquelle vous avez perdu l’accès et en joignant les preuves. Cette voie est distincte du formulaire de récupération et aboutit plus souvent.
Si la réclamation interne échoue, les étages suivants sont les mêmes que pour tout litige de modération : organe de règlement extrajudiciaire certifié par l’ARCOM, puis plainte auprès de l’ARCOM en tant que coordinateur pour les services numériques. Le détail de ces recours figure dans notre article consacré au signalement.
Contre-intuitif mais constant : mobiliser trente amis pour signaler un faux profil produit rarement le résultat espéré. Les plateformes réservent le traitement des signalements pour usurpation d’identité à la personne concernée ou à son représentant légal, pour une raison simple : elles ne peuvent pas savoir laquelle des deux pages est l’originale sans que quelqu’un affirme, sous sa responsabilité, être cette personne.
Un signalement massif par des tiers produit même parfois l’effet inverse, en déclenchant les mécanismes prévus contre les campagnes de signalement coordonnées. Signalez donc vous-même, depuis votre compte authentique et ancien, par le formulaire dédié à l’usurpation d’identité.
Rédigez la notification comme un acte juridique, pas comme une plainte de service client : l’adresse exacte du faux compte, la qualification (« usurpation d’identité, article 226-4-1 du code pénal »), l’adresse de votre compte authentique, sa date de création si vous la connaissez, et une déclaration de bonne foi. Cette notification fait naître la connaissance effective du contenu par l’hébergeur, qui engage sa responsabilité s’il le laisse en ligne.
Le paradoxe de ces dossiers : le succès détruit la preuve. Le jour où la plateforme supprime le faux compte, tout disparaît de votre écran, y compris ce que vous n’avez pas capturé.
Capturez avant d’agir, et capturez ce qui identifie : l’adresse complète visible dans la barre du navigateur, l’identifiant numérique de la publication lorsqu’il apparaît, le nom exact du compte, la date et l’heure affichées, et l’écran entier plutôt qu’un détail recadré. Faites-le depuis un ordinateur autant que possible : les captures de téléphone omettent l’adresse.
Pour les messages reçus, conservez les originaux et, s’il s’agit de courriels, l’en-tête complet, qui contient le chemin technique du message. Demandez à vos proches de vous transférer leurs propres captures sans les recadrer.
Deux niveaux supérieurs existent. Le constat établi par un commissaire de justice a une valeur probante nettement supérieure à une capture d’écran et reste opposable une fois le contenu effacé ; il est payant et se justifie quand un procès est envisagé. Et surtout, peu de victimes y pensent : le droit d’accès prévu par le RGPD vous permet de demander à la plateforme la copie des données vous concernant, ce qui inclut l’historique des connexions à votre compte, adresses et horodatages. L’organisme dispose d’un mois pour répondre. La procédure complète est décrite dans le mode d’emploi des droits RGPD.
La plainte se dépose dans n’importe quel commissariat ou brigade de gendarmerie, quel que soit votre domicile ou le lieu des faits : le code de procédure pénale impose aux services de recevoir toute plainte et d’en délivrer récépissé. Vous pouvez aussi écrire directement au procureur de la République du tribunal judiciaire, par lettre recommandée, en exposant les faits par ordre chronologique.
Une distinction pratique : la main courante n’est pas une plainte. Elle date une déclaration, elle ne déclenche aucune poursuite. Si l’on vous propose une main courante pour une usurpation d’identité caractérisée, demandez expressément l’enregistrement d’une plainte.
Pour les escroqueries en ligne, un dispositif de dépôt de plainte à distance existe et évite le déplacement. Si votre carte bancaire a été utilisée, le signalement des débits frauduleux relève d’un service dédié de la police nationale, en parallèle de l’opposition auprès de votre banque. Si un proche a réglé une demande frauduleuse par virement, ses recours dépendent du mode de paiement, comme l’explique notre article sur le virement instantané et les escroqueries au faux RIB.
Sur les suites : dans la majorité des cas, l’auteur est à l’étranger et le dossier finit classé. Cela ne rend pas la plainte inutile. Elle date officiellement les faits, elle vous permet de vous justifier auprès d’un tiers trompé, elle alimente les recoupements nationaux, et elle est exigée par la plupart des organismes si un crédit ou un abonnement a été souscrit en votre nom. Dans ce dernier cas, écrivez à l’établissement concerné en joignant le récépissé et demandez la rectification des fichiers d’incidents.
La quasi-totalité des compromissions de comptes personnels commence par l’une de trois portes : un mot de passe réutilisé et présent dans une fuite, une page de connexion imitée, ou un code de validation communiqué à un faux support. La première se ferme avec un secret unique par service, que vous pouvez éprouver avec notre outil de mesure de solidité et stocker dans un gestionnaire de mots de passe.
La deuxième et la troisième relèvent du même mécanisme, celui de l’hameçonnage, contre lequel aucun mot de passe ne protège. Le seul facteur qui y résiste structurellement est la clé d’accès, parce qu’elle est liée au nom de domaine réel du site et refuse de s’authentifier auprès d’une imitation.
Trois réglages complètent utilement le dispositif. Enregistrez et imprimez les codes de secours de vos comptes principaux, seule porte de sortie si vous perdez votre téléphone. Associez vos comptes sensibles à une adresse de messagerie qui n’est ni publique ni utilisée pour vous inscrire ailleurs. Activez les alertes de connexion depuis un nouvel appareil, qui transforment une compromission silencieuse en incident détecté dans la minute.
Une seule question tranche : est-ce que quelqu’un est entré, ou est-ce que quelqu’un imite ? Si vous êtes déconnecté de votre propre compte, vous êtes dans le premier cas et tout commence par la messagerie associée. Si votre compte fonctionne normalement et qu’un autre porte votre visage, vous êtes dans le second et tout commence par une capture d’écran, suivie d’une notification que vous signez vous-même. Dans les deux cas, la plainte se dépose sans attendre la réponse de la plateforme, et le compte ne se supprime qu’une fois les preuves constituées, ce que rappelle notre article sur la suppression réelle d’un compte.
Pas directement. Le dépôt de plainte ouvre une enquête destinée à identifier et poursuivre l’auteur, il n’emporte aucun ordre de retrait. La suppression vient soit de la plateforme, saisie d’une notification motivée, soit du juge des référés qui peut ordonner une mesure sous astreinte. Menez donc les deux actions en parallèle plutôt qu’en séquence, en suivant la méthode décrite dans notre article sur le signalement d’un contenu illicite.
C’est souvent exigé pour traiter une usurpation, et c’est admis dès lors qu’il existe un doute raisonnable sur votre identité. Protégez-vous : masquez le numéro de document, apposez une mention manuscrite indiquant la destination et la date, envoyez par le formulaire officiel et jamais par message privé. Vérifiez aussi la durée de conservation annoncée. Certaines démarches acceptent désormais une preuve d’identité numérique, décrite dans notre article sur France Identité.
Pas avant de l’avoir récupéré et d’avoir capturé les messages envoyés en votre nom. Supprimer un compte encore sous contrôle d’un tiers ne fait rien disparaître chez lui, efface vos preuves et prive l’enquête de l’historique des connexions. Récupérez, sécurisez, capturez, déposez plainte, et seulement ensuite décidez du sort du compte.
Non, vous êtes vous-même victime et rien ne vous rend débiteur des sommes versées. Prévenez vos proches par un canal différent, en priorité par téléphone, et conservez les échanges. La personne qui a payé dispose de ses propres recours auprès de sa banque, différents selon qu’il s’agit d’un virement ou d’un paiement par carte.
De quelques minutes à plusieurs semaines, et un seul facteur explique l’écart : le contrôle de l’adresse de messagerie associée. Si vous y accédez encore et que le message d’alerte « ce n’était pas vous ? » est arrivé, la reprise est souvent immédiate. Si l’attaquant a changé l’adresse et la double authentification, il faut passer par la procédure d’identification manuelle, dont les délais se comptent en jours ou en semaines.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Démarches administratives, paiements, réseaux sociaux, famille et droits : le numérique à la française.