Compte piraté (Instagram, Gmail, WhatsApp) : porter plainte et reprendre la main

Un courriel de Meta annonce que l’adresse associée à votre compte a été modifiée. Vous n’avez rien demandé. Dix minutes plus tard, vos abonnés reçoivent en message privé une proposition d’investissement signée de votre nom, et votre mot de passe ne fonctionne plus. La scène se répète chaque jour, sur Instagram, sur Gmail, sur WhatsApp, et la réaction des premières heures décide de presque tout : ce que vous récupérez, ce que vous pourrez prouver, et si l’auteur sera un jour identifié.

Un compte piraté se traite en deux temps qui ne s’excluent pas : reprendre la main, puis faire sanctionner. Le premier dépend de la plateforme et de votre rapidité. Le second dépend d’une plainte précise, déposée tant que les traces existent.

Les premières heures : reprendre la main sans effacer les traces

Le réflexe est de tout changer tout de suite. Il est juste, à une réserve près : avant chaque correction, faites une capture d’écran de ce que vous corrigez. Un pirate laisse des traces dans les réglages du compte, et ces traces sont la matière de la plainte.

Instagram. La récupération passe par la plateforme, et par elle seule. Si l’adresse de courriel du compte a été changée, le message qu’Instagram vous a envoyé pour vous en informer contient un lien permettant d’annuler ce changement. Si vous ne pouvez plus vous connecter du tout, la page d’aide d’Instagram consacrée aux comptes piratés propose un lien de connexion envoyé à l’adresse ou au numéro d’origine, puis, à défaut, une vérification d’identité. Ces procédures prennent de quelques heures à plusieurs jours. Ni la police ni un juge ne peuvent ordonner à Meta de vous rendre votre compte plus vite.

Gmail. La page de récupération de Google permet de reprendre la main en répondant aux questions de vérification. Une fois rentré, quatre points sont à vérifier dans les paramètres, et à photographier avant de les modifier : le transfert automatique des messages vers une autre adresse, les filtres qui trient ou suppriment des messages entrants, la liste des appareils connectés, et la liste des applications tierces ayant accès au compte. Google recommande de « supprimer les libellés, les filtres et les règles de transfert que vous n’avez pas configurés ». Un transfert automatique discret est la méthode la plus courante pour continuer à lire votre courrier après que vous avez changé le mot de passe.

WhatsApp. Le compte est attaché au numéro de téléphone. Il suffit en principe de réinstaller l’application et de s’enregistrer de nouveau avec son numéro : le code reçu par SMS déconnecte le pirate. Deux pièges. Si le pirate a activé la vérification en deux étapes avec un code PIN que vous ne connaissez pas, WhatsApp impose un délai d’attente avant de laisser le numéro se réenregistrer sans ce code ; ce délai est de l’ordre d’une semaine. Et le piratage de WhatsApp commence presque toujours par un message d’un contact déjà piraté qui vous demande de lui « renvoyer un code reçu par erreur » : ce code est celui qui enregistre votre numéro sur son téléphone. Ne transmettez jamais un code reçu par SMS, quel que soit l’expéditeur de la demande.

Dans les trois cas, ensuite : nouveau mot de passe, différent de tous les autres, double authentification activée, déconnexion de toutes les sessions ouvertes, changement des coordonnées de récupération que le pirate aurait remplacées par les siennes. Puis changement du mot de passe sur tous les services où vous utilisiez le même.

Prévenez vos contacts, par un autre canal que le compte piraté : c’est eux que le pirate vise désormais. Si des coordonnées bancaires étaient lisibles dans le compte (relevés, factures, photographies de cartes), prévenez votre banque sans attendre la plainte.

Ce que vous devez conserver avant de nettoyer

Une plainte pour piratage sans preuve se classe. Une plainte avec un dossier ordonné s’instruit. Ce dossier se constitue dans les heures qui suivent, et une partie disparaît si vous nettoyez trop vite.

• Les notifications de la plateforme : courriels ou SMS annonçant une nouvelle connexion, un changement d’adresse, de numéro ou de mot de passe. Ils portent souvent l’heure, le type d’appareil et une localisation approximative. Conservez-les tels quels, sans les transférer, car le transfert fait perdre les en-têtes techniques.
• Les captures d’écran de chaque réglage anormal : adresse de récupération inconnue, transfert automatique, appareil non reconnu, publication ou message que vous n’avez pas écrit. Datez-les.
• L’historique des connexions que la plateforme met à disposition de l’utilisateur. Meta et Google permettent de télécharger une copie de ses données, qui comprend le journal des connexions et des modifications de sécurité. Demandez-la dès que vous avez repris la main : c’est la pièce que les enquêteurs demanderont de toute façon, et vous la leur apportez prête.
• Les messages envoyés par le pirate à vos contacts, demandés à ceux qui les ont reçus, avec la date et l’heure. S’ils ont versé de l’argent, les références du virement ou du paiement.
• Le message d’hameçonnage qui a précédé le piratage, si vous l’identifiez : courriel, SMS, message privé contenant un lien ou une demande de code.

Pour les publications faites sous votre nom et visibles par des tiers, un constat de commissaire de justice fixe la preuve avant que le contenu soit retiré. Ce n’est pas indispensable pour une plainte, mais c’est décisif si vous demandez ensuite réparation d’une atteinte à votre réputation.

Ce que le pirate a commis : les qualifications pénales

Le piratage d’un compte n’est pas une faute technique, c’est une série d’infractions, et la plainte gagne à les nommer toutes.

L’accès et le maintien frauduleux dans un système de traitement automatisé de données (article 323-1 du Code pénal) est l’infraction de base : trois ans d’emprisonnement et 100 000 € d’amende. La peine passe à cinq ans et 150 000 € lorsque l’accès a entraîné la suppression ou la modification de données, ce qui est le cas dès que le pirate a changé le mot de passe, l’adresse ou le numéro de récupération. Cette circonstance aggravante s’apprécie objectivement : il suffit que la modification soit constatée, sans qu’il faille établir que le pirate la recherchait. Il n’est pas nécessaire non plus qu’il ait forcé quoi que ce soit : celui qui entre avec un mot de passe obtenu par ruse, ou qui reste dans un compte où il sait n’avoir aucun droit, commet l’infraction. La Cour de cassation l’a jugé à propos d’un administrateur de réseau qui disposait légitimement de l’outil d’accès et s’en est servi pour lire la messagerie privée de son associée : commet le délit « la personne qui, sachant qu’elle n’y est pas autorisée, se maintient dans un système de traitement automatisé de données »¹. Elle l’a confirmé en 2025 pour un administrateur qui, fort d’un droit d’accès généralisé à la messagerie de l’entreprise, avait pris connaissance des messages échangés à des fins étrangères à sa mission et à l’insu de leurs titulaires². Le droit d’accéder au système ne couvre jamais l’usage qui en est fait.

L’atteinte au secret des correspondances (article 226-15) vise le fait d’intercepter, de détourner ou d’utiliser des correspondances électroniques : un an d’emprisonnement et 45 000 € d’amende. Elle s’applique à la lecture de vos messages privés, à la mise en place d’un transfert automatique de votre courrier, à la production de vos échanges devant un tiers.

L’usurpation d’identité (article 226-4-1) punit d’un an d’emprisonnement et de 15 000 € d’amende le fait d’utiliser des données permettant d’identifier une personne en vue de troubler sa tranquillité ou de porter atteinte à son honneur. Les peines sont doublées lorsque l’auteur est le conjoint, le concubin ou le partenaire de la victime. Le texte exige une intention particulière : avoir agi pour troubler la tranquillité de la victime ou celle d’autrui, ou pour atteindre son honneur. Les messages, publications ou « stories » diffusés sous votre nom depuis le compte piraté la caractérisent le plus souvent, qu’ils visent votre réputation ou qu’ils servent à solliciter vos contacts, dont la tranquillité est précisément celle « d’autrui ». La Cour de cassation a jugé qu’il importe peu que l’usurpateur soit lui-même l’auteur des messages diffusés : ce qui est réprimé est d’avoir rendu possible leur diffusion sous l’identité d’autrui³. Pour l’hameçonnage qui a précédé le piratage, les tribunaux retiennent plus volontiers l’accès frauduleux et l’escroquerie que l’usurpation ; la plainte gagne à viser les trois⁴.

La collecte de données personnelles par un moyen frauduleux (article 226-18) punit de cinq ans d’emprisonnement et de 300 000 € d’amende le fait d’avoir récupéré, par le piratage, vos données et celles de vos contacts.

À ces infractions s’ajoutent, selon ce que le pirate a fait du compte : l’escroquerie (article 313-1, cinq ans et 375 000 €) lorsque des contacts ont versé de l’argent en croyant vous l’envoyer ; le chantage (article 312-10) lorsque le pirate menace de diffuser des photographies ou des conversations contre paiement ; la diffusion d’images à caractère sexuel sans consentement (article 226-2-1) lorsque des contenus intimes ont été publiés.

La liste n’est pas une coquetterie. Chaque qualification ouvre des pouvoirs d’enquête, fixe une prescription et fonde une demande d’indemnisation distincte. Une plainte qui parle seulement de « piratage » laisse aux enquêteurs le soin de choisir, et ils choisissent souvent la plus simple.

Où et comment déposer plainte

La plainte se dépose en commissariat, en gendarmerie ou par courrier au procureur de la République ; aucun de ces services ne peut la refuser, et elle peut viser un auteur inconnu.

Le commissariat ou la gendarmerie. Les officiers et agents de police judiciaire « sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale », y compris lorsque le service n’est pas territorialement compétent (article 15-3 du Code de procédure pénale). Un refus de prendre la plainte au motif que « c’est sur internet, il n’y a rien à faire » est contraire à la loi : demandez le récépissé, que le texte impose de délivrer immédiatement, et à défaut passez par le procureur.

Le courrier au procureur de la République. Une plainte s’adresse aussi par écrit au procureur du tribunal judiciaire de votre domicile, en recommandé avec accusé de réception. C’est la voie que nous conseillons dès que le dossier comporte plusieurs pièces ou plusieurs qualifications : la plainte est lue par un magistrat, avec les pièces jointes, et non résumée en quelques lignes de procès-verbal. Elle doit contenir l’identifiant exact du compte (nom d’utilisateur, adresse de la page, adresse de courriel, numéro de téléphone), la chronologie heure par heure, les captures d’écran, la liste des contacts sollicités et, le cas échéant, les montants versés.

La plainte en ligne THESEE. Le ministère de l’Intérieur permet aux particuliers majeurs de déposer plainte en ligne pour certaines infractions commises sur internet, dont le piratage de comptes de messagerie. Le dispositif est pensé pour les escroqueries : il demande un IBAN et s’adresse d’abord aux cas où le pirate a réclamé de l’argent, à vous ou à vos contacts. Pour un piratage sans demande d’argent, l’éligibilité n’est pas garantie et la plainte classique reste la voie sûre.

17Cyber et cybermalveillance.gouv.fr orientent et expliquent ; ils ne reçoivent pas de plainte.

Le délai. Les délits se prescrivent par six ans à compter du jour où ils ont été commis (article 8 du Code de procédure pénale). Le délai juridique est confortable ; le délai utile ne l’est pas, pour la raison expliquée ci-dessous.

Si rien ne se passe. Trois mois après le dépôt de la plainte sans réponse du procureur, ou après un classement sans suite, la plainte avec constitution de partie civile devant le juge d’instruction reste ouverte (article 85 du Code de procédure pénale) ; nous en détaillons le mécanisme dans notre article sur les comptes anonymes.

Comment l’enquête identifie l’auteur

Un compte piraté depuis l’autre bout du monde paraît hors d’atteinte. C’est souvent faux, à condition d’aller vite.

Le mécanisme est celui que nous décrivons dans notre article sur l’identification de l’auteur d’un compte anonyme : réquisition à la plateforme, qui livre les adresses IP de connexion et les coordonnées que le pirate a enregistrées pour s’assurer le contrôle du compte, puis réquisition à l’opérateur derrière ces adresses, et, depuis le 18 août 2026, injonction européenne de production adressée directement au fournisseur établi dans un autre État de l’Union. Ce qui change pour un compte piraté, c’est la trace de départ : le pirate a dû remplacer l’adresse de récupération, le numéro ou le mot de passe, et chacune de ces modifications est horodatée et rattachée à une connexion. Le journal des connexions du compte, que vous avez récupéré, dit aux enquêteurs où regarder.

Tout cela repose sur des données que la loi n’oblige à conserver que peu de temps. Les opérateurs gardent les données techniques permettant d’identifier la source d’une connexion pendant un an à compter de la connexion (article L. 34-1 du Code des postes et des communications électroniques). Passé ce délai, l’adresse IP relevée par Meta ne mène plus à personne. Une plainte déposée dix mois après les faits est recevable ; elle est rarement utile.

Le pirate qui a réclamé de l’argent laisse une autre trace : le compte bancaire, le portefeuille de crypto-actifs ou le service de paiement qui a reçu les fonds. Ces intermédiaires répondent aux réquisitions et le chemin de l’argent complète celui des connexions.

Obtenir réparation

La victime d’un piratage peut se constituer partie civile, devant le tribunal correctionnel si l’auteur est poursuivi, ou devant le juge d’instruction par la plainte de l’article 85. Elle demande l’indemnisation de son préjudice : les sommes versées par elle ou par ses contacts sur la foi des messages du pirate, le préjudice moral lié à l’intrusion dans sa correspondance et à la diffusion de contenus sous son nom, et, pour un compte professionnel, la perte de clientèle ou de revenus pendant l’indisponibilité du compte.

Lorsque des paiements ont été effectués depuis vos moyens de paiement sans votre autorisation, par exemple avec une carte enregistrée dans le compte piraté, la banque doit en principe les rembourser sur le fondement de l’article L. 133-18 du Code monétaire et financier, sous réserve de la négligence grave qu’elle tenterait de vous opposer. La contestation auprès de la banque est indépendante de la plainte et doit être faite sans délai.

Les offres de « récupération » de compte ou de fonds contre paiement, qui fleurissent dans les commentaires et en message privé après un piratage, sont presque toujours une seconde escroquerie visant la même victime.

Le cas du compte professionnel

Le compte d’une entreprise, d’un cabinet, d’un commerce ou d’un créateur de contenus appelle trois précautions supplémentaires.

Si le compte piraté contenait des données personnelles de tiers (clients, patients, abonnés, fichiers joints à une messagerie), le piratage est une violation de données au sens du RGPD, avec la notification à la CNIL sous 72 heures et l’exposition du dirigeant que nous avons décrites dans notre article sur la responsabilité pénale après une cyberattaque.

La plainte doit chiffrer le préjudice commercial dès le départ : chiffre d’affaires réalisé par le compte, contrats perdus, campagnes annulées. Ces éléments sont difficiles à reconstituer plusieurs mois après.

Enfin, la communication vers les clients et abonnés se prépare : un message bref, diffusé par un autre canal, qui indique que le compte a été compromis, que les messages reçus de lui pendant la période ne proviennent pas de vous, et qu’aucune demande de paiement n’est légitime. Ce message coupe l’escroquerie en cours et fixe, lui aussi, une date.

Questions fréquentes

Faut-il porter plainte si j’ai déjà récupéré mon compte ?

Oui. La récupération met fin à l’intrusion ; elle n’efface pas l’infraction, ne répare pas ce qui a été envoyé à vos contacts et ne vous protège pas contre une seconde tentative par le même auteur. La plainte est aussi la pièce que votre banque, votre assureur ou la plateforme vous demanderont si le piratage a eu des suites.

Le pirate a remplacé mon adresse e-mail et mon numéro : le compte est-il perdu ?

Non, en général. Les plateformes gardent la trace des coordonnées d’origine et proposent, dans le courriel qui annonce le changement, un lien pour l’annuler, puis une vérification d’identité si ce lien ne suffit plus. Ce qui compte est de lancer la procédure de récupération sans attendre, car certaines de ces voies se ferment au bout de quelques jours, et de conserver le courriel de notification, qui porte l’heure et l’appareil du changement.

Puis-je porter plainte en ligne pour un compte piraté ?

La plateforme THESEE du ministère de l’Intérieur accepte les plaintes des particuliers majeurs pour le piratage de comptes de messagerie, en particulier lorsque le pirate a demandé de l’argent à la victime ou à ses contacts. Pour un piratage sans demande d’argent, ou pour un compte professionnel, la plainte se dépose en commissariat, en gendarmerie ou par courrier au procureur.

Combien de temps ai-je pour porter plainte ?

Le délai de prescription des délits est de six ans. Mais les données de connexion qui permettent d’identifier l’auteur ne sont conservées qu’un an par les opérateurs et les fournisseurs d’accès. Une plainte déposée dans les jours qui suivent les faits est la seule qui laisse à l’enquête une chance réelle d’aboutir.

Un juge peut-il obliger Instagram ou Google à me rendre mon compte ?

Non. La restitution d’un compte relève de la procédure de récupération de la plateforme, à laquelle la plainte ne se substitue pas. En revanche, le procureur ou le juge peuvent requérir de Meta ou de Google les données de connexion du pirate, et, depuis le 18 août 2026, leur adresser directement une injonction européenne de production à exécuter sous dix jours.

Mes proches ont envoyé de l’argent au pirate qui se faisait passer pour moi : qui est victime ?

Vous l’êtes, pour l’accès frauduleux, l’atteinte à vos correspondances et l’usurpation de votre identité. Vos proches le sont, pour l’escroquerie dont ils ont payé le prix. Chacun dépose sa plainte, et il est utile qu’elles se citent mutuellement : les enquêteurs rapprochent plus facilement des dossiers qui se désignent l’un l’autre.