Vous venez de comprendre que vous avez peut-être été victime d'une arnaque sur Internet ? La priorité n'est pas de trouver immédiatement le nom exact de l'escroquerie, mais de limiter les conséquences : contacter votre banque si un paiement ou des données bancaires sont concernés, sécuriser vos comptes, conserver les preuves et utiliser ensuite le dispositif de signalement ou de plainte adapté.
Toutes les fraudes en ligne ne se signalent pas au même endroit. Un courriel de phishing, une carte utilisée à votre insu, un faux site marchand, un compte piraté ou une usurpation d'identité appellent des démarches différentes. Le service public 17Cyber permet également d'effectuer un diagnostic en ligne afin d'être orienté selon la situation rencontrée.
Les premières démarches dépendent de ce que l'escroc a obtenu. Si de l'argent ou des données bancaires sont en jeu, la banque passe en priorité. Si vous avez communiqué un mot de passe, commencez en parallèle à sécuriser les comptes concernés.
Le signalement ne doit donc pas retarder les mesures urgentes. Si votre carte ou votre compte bancaire est exposé, commencez par la banque ; si votre messagerie est piratée, commencez par reprendre le contrôle du compte.
| Situation | Premier réflexe | Interlocuteur ou démarche |
|---|---|---|
| Courriel de phishing | Ne plus cliquer ni répondre, sécuriser les comptes si des identifiants ont été transmis | Signal Spam ; plainte si vous avez subi une infraction ou un préjudice |
| Phishing par SMS ou appel sur mobile | Ne pas rappeler le numéro fourni et vérifier directement auprès de l'organisme usurpé | 33700 ; plainte si nécessaire |
| Faux site de phishing | Fermer le site et sécuriser les données éventuellement communiquées | Phishing Initiative |
| Achats par carte que vous n'avez pas effectués | Faire opposition et contester les opérations auprès de la banque | Perceval si les conditions du téléservice sont réunies |
| Virement ou paiement envoyé à un escroc | Contacter immédiatement la banque pour tenter de bloquer ou rappeler l'opération | Plainte ; THESEE lorsque la nature de l'escroquerie entre dans son champ |
| Faux vendeur ou faux site commercial | Ne plus payer, conserver l'annonce, la commande et les échanges | THESEE pour certaines escroqueries en ligne ; SignalConso lorsqu'il s'agit d'un problème relevant de la consommation |
| Compte de messagerie ou réseau social piraté | Reprendre le contrôle du compte, changer le mot de passe et vérifier les activités réalisées | Plateforme concernée ; plainte ou THESEE selon la nature des faits et le préjudice |
| Données personnelles volées ou divulguées | Sécuriser les comptes concernés et surveiller toute utilisation frauduleuse | Organisme à l'origine de la fuite ; plainte en cas d'usurpation ou d'utilisation frauduleuse ; CNIL si un problème de protection des données relève de sa compétence |
| Contenu illicite accessible publiquement sur Internet | Conserver l'adresse et les preuves du contenu | PHAROS lorsque le contenu entre dans le champ de la plateforme |
Ce tableau montre pourquoi PHAROS ou la CNIL ne doivent pas être présentés comme des guichets universels contre les arnaques. Le bon interlocuteur dépend d'abord de ce qui s'est réellement produit.
Si vous avez fourni votre numéro de carte, ses données de sécurité ou si vous constatez des paiements inconnus, contactez immédiatement votre banque. L'objectif est d'empêcher de nouvelles opérations et de déterminer si une opposition doit être réalisée.
Lorsqu'un virement vient d'être effectué vers un escroc, prévenez également la banque sans attendre. Elle peut tenter d'intervenir ou d'engager une demande de retour des fonds, mais le succès de cette démarche n'est pas garanti, notamment si les sommes ont déjà été transférées ou retirées.
Si vous avez donné un mot de passe à la suite d'un phishing, changez-le immédiatement sur le compte concerné et partout où vous utilisiez le même. La messagerie électronique mérite une attention particulière : celui qui en prend le contrôle peut parfois réinitialiser les mots de passe d'autres services.
Pensez également à fermer les sessions ouvertes sur les appareils que vous ne reconnaissez pas et à activer l'authentification à plusieurs facteurs. Cybermalveillance recommande ces démarches dans ses consignes destinées aux victimes de phishing.
Si un escroc a pris le contrôle d'un compte, vérifiez enfin les messages envoyés, les commandes réalisées, les modifications de coordonnées et les publications effectuées en votre nom. Prévenir vos contacts peut également éviter qu'ils soient à leur tour trompés par des messages provenant de votre compte compromis.
Un signalement sert principalement à porter une fraude, un message ou un contenu à la connaissance du service compétent. Une plainte correspond à une démarche différente : elle permet à une personne qui estime avoir été victime d'une infraction de dénoncer les faits aux autorités judiciaires.
Pour un courriel frauduleux, Cybermalveillance recommande notamment Signal Spam. Pour un SMS ou un appel frauduleux reçu sur un téléphone mobile, le dispositif de référence est le 33700. Lorsqu'un lien conduit vers un site de phishing, l'adresse peut être transmise à Phishing Initiative.
Ces démarches de signalement ne remplacent pas les mesures de protection. Si vous avez donné les informations de votre carte, contactez la banque ; si vous avez transmis un mot de passe, modifiez-le ; si vos données servent déjà à usurper votre identité ou si des opérations frauduleuses apparaissent, envisagez également le dépôt de plainte.
Non. PHAROS permet de signaler certains contenus ou comportements illicites présents sur Internet, mais cette plateforme ne constitue pas le point d'entrée unique de toutes les escroqueries en ligne.
Pour le phishing, les recommandations officielles distinguent précisément le support utilisé. Service-Public indique par exemple que certains courriels de phishing seulement peuvent relever de PHAROS, tandis que Signal Spam, le 33700 ou Phishing Initiative correspondent à d'autres formes d'hameçonnage.
Envoyer systématiquement une victime vers PHAROS peut donc lui faire perdre du temps alors qu'une démarche plus spécifique existe.
THESEE est une plateforme consacrée à certaines e-escroqueries. Elle peut permettre, selon la nature des faits et les conditions prévues par le téléservice, de réaliser un signalement ou de déposer plainte en ligne.
Elle concerne notamment plusieurs situations d'escroquerie entièrement réalisées sur Internet. Pour une fausse vente ou un faux site commercial, Service-Public détaille les conditions permettant d'utiliser THESEE.
THESEE ne doit cependant pas être présenté comme la voie obligatoire pour toute fraude numérique. Si votre situation ne correspond pas au téléservice, une plainte peut être déposée dans un commissariat, une brigade de gendarmerie ou adressée au procureur de la République.
Il faut distinguer l'opération que vous n'avez jamais autorisée de celle que vous avez vous-même réalisée parce qu'un escroc vous a trompé. Cette différence peut avoir des conséquences importantes sur les démarches bancaires et sur la possibilité d'obtenir un remboursement.
Perceval est destiné à certaines fraudes à la carte bancaire commises sur Internet. Selon les conditions indiquées par Service-Public pour utiliser Perceval, la victime doit notamment toujours avoir sa carte, ne pas être à l'origine des achats frauduleux et avoir déjà fait opposition auprès de sa banque.
Perceval intervient donc après l'opposition. Ce téléservice sert à signaler la fraude aux forces de l'ordre ; il ne remplace pas la contestation des opérations auprès de la banque.
Non, toutes les situations ne doivent pas être confondues. Pour une opération de paiement que vous n'avez pas autorisée, le Code monétaire et financier prévoit un régime protecteur, sous réserve notamment des circonstances de l'opération et des règles applicables. La banque peut examiner les modalités d'authentification et les conditions dans lesquelles la fraude s'est produite.
Lorsqu'au contraire vous avez volontairement effectué un paiement ou validé un virement parce qu'un escroc vous a manipulé, la situation est différente. Contactez tout de même la banque immédiatement : elle peut tenter de bloquer l'opération ou de demander le retour des fonds, sans que cette récupération soit garantie.
Lors d'un achat effectué par carte, une procédure contractuelle de rétrofacturation, également appelée chargeback, peut parfois exister. Elle dépend cependant de la marque de carte et du contrat applicable ; il ne s'agit pas d'un droit automatique applicable à tous les achats frauduleux.
Les personnes qui vous contactent ensuite en affirmant pouvoir récupérer à coup sûr les sommes perdues contre le paiement de nouveaux frais doivent susciter une vigilance particulière. Les victimes d'une première escroquerie peuvent être ciblées une seconde fois.
Une fuite de données n'implique pas automatiquement qu'une fraude financière a déjà été commise. Elle peut néanmoins augmenter le risque de phishing, de piratage de compte ou d'usurpation d'identité.
Si vous êtes informé qu'un organisme a subi une fuite de données, vérifiez quelles informations sont concernées. Changez les mots de passe lorsque des identifiants peuvent avoir été compromis et surveillez particulièrement vos comptes si les données exposées peuvent être utilisées pour vous identifier ou vous contacter.
Si une personne commence effectivement à utiliser votre identité, la démarche ne consiste pas simplement à « signaler l'arnaque à la CNIL ». Une usurpation d'identité peut justifier un dépôt de plainte, tandis que votre banque doit être prévenue si vos données financières ou votre compte risquent d'être utilisés. La CNIL présente ces différents réflexes dans ses recommandations destinées aux personnes concernées par une fuite ou un vol de données.
La CNIL est compétente lorsqu'un problème concerne le traitement ou la protection de vos données personnelles. Elle peut notamment être saisie lorsqu'un organisme ne respecte pas les droits que vous exercez sur vos données ou lorsque vos démarches auprès de cet organisme n'aboutissent pas dans une situation relevant de ses compétences.
Il faut également distinguer la personne victime de la fuite de l'organisme qui détient les données. Lorsqu'une entreprise ou une administration subit une violation de données personnelles, les éventuelles obligations de notification à la CNIL incombent au responsable du traitement dans les conditions prévues par le RGPD. Ce n'est pas à chaque particulier concerné de notifier lui-même la violation à la place de l'organisme.
La CNIL ne remplace donc ni l'opposition bancaire ni le dépôt de plainte pénale. Elle intervient sur le volet « données personnelles » de la situation.
Un problème après un achat en ligne n'est pas nécessairement une escroquerie. Un commerçant réel peut être en retard dans une livraison ou être en désaccord avec vous sur un remboursement. À l'inverse, un site créé pour encaisser des paiements sans jamais livrer les produits peut relever d'une fraude pénale.
Lorsque vous êtes face à un faux vendeur, une fausse annonce ou un faux site commercial et que les conditions du téléservice sont remplies, THESEE peut être adapté au signalement ou au dépôt de plainte.
Si vous êtes en présence d'un professionnel identifiable et que le problème concerne plutôt vos droits de consommateur, une pratique commerciale ou un litige relatif à un achat, SignalConso permet de signaler la situation et d'obtenir une orientation sur les démarches adaptées.
Dans les deux cas, conservez la page du produit, les conditions de vente, la confirmation de commande, les justificatifs de paiement et les échanges avec le vendeur. Si vous pensez que les données de votre carte ont également été compromises, la démarche auprès de la banque reste prioritaire.
Après une fraude, restez particulièrement prudent face aux appels et messages qui semblent connaître votre situation. Les données récupérées lors de la première arnaque peuvent être utilisées pour rendre une nouvelle approche plus crédible.
Un interlocuteur peut par exemple connaître votre nom, votre banque, le montant approximatif d'une opération ou le site sur lequel vous avez acheté. Ces informations ne prouvent pas qu'il travaille réellement pour votre banque, la police ou un organisme officiel.
Ne validez jamais une opération bancaire présentée comme nécessaire pour « annuler » une fraude sans avoir vous-même contacté votre banque par son application officielle ou par un numéro dont vous connaissez l'origine. De la même manière, ne versez pas de nouveaux frais à une société qui vous promet la récupération certaine de l'argent perdu.
Après l'urgence, gardez les preuves et les récépissés de vos démarches. Ils permettent de reconstituer précisément la chronologie de la fraude si votre banque, les forces de l'ordre ou un autre organisme vous demande ultérieurement des justificatifs.
Article rédigé par
