Une définition, et trois mots qui comptent
Les chapitres précédents ont montré comment un attaquant entre dans un système, et comment il manipule une personne pour y parvenir.
Reste une question rarement traitée : que se passe-t-il ensuite, quand vos données sont entre ses mains ?
La plateforme nationale d’assistance aux victimes définit l’usurpation d’identité comme « l’utilisation de données personnelles ou professionnelles permettant d’identifier une personne sans son accord et se faire passer pour elle pour réaliser des actions frauduleuses ».
Trois mots portent toute la définition : sans son accord. C’est ce qui distingue l’usurpation d’un simple usage d’informations publiques, et c’est ce qui fait l’infraction.
Qu'est-ce qui caractérise juridiquement l'usurpation d'identité ?
Voir la réponse
Réponse : B. L’absence d’accord de la personne concernée est l’élément déterminant. Le canal utilisé, en ligne ou non, ne change pas la nature de l’acte.
Source : Cybermalveillance.gouv.fr, Usurpation d’identité : que faire ?, mise à jour du 26 février 2026.
Vos données ont probablement déjà fuité
L’usurpation commence rarement chez vous. Elle commence chez une organisation à qui vous aviez confié vos informations.
En février et mars 2024, une attaque contre France Travail a exposé les données de 36 820 828 personnes, soit plus d’un Français sur deux. La Commission nationale de l’informatique et des libertés a prononcé une sanction de 5 millions d’euros en janvier 2026.
L’attaque elle-même reposait sur une usurpation : celle des comptes de conseillers d’organismes partenaires.
D’autres incidents ont suivi la même logique. Une intrusion chez un opérateur télécom en octobre 2024 a exposé 24 millions de contrats d’abonnés, avec des coordonnées bancaires pour une partie d’entre eux, et donné lieu à 42 millions d’euros d’amende. En août 2026, un accès illégitime au système d’information de l’administration fiscale a concerné 678 000 particuliers et professionnels, là encore par usurpation d’identifiants.
Dans aucun de ces cas la personne concernée n’a commis d’erreur. C’est un point important, parce que le sentiment de faute empêche souvent de réagir, et surtout de porter plainte.
Dans le cas de France Travail, comment les attaquants sont-ils entrés ?
Voir la réponse
Réponse : B. L’attaque a reposé sur l’usurpation de comptes légitimes. Parmi les manquements retenus par la CNIL figuraient l’absence d’authentification multifacteur et un verrouillage des comptes déclenché seulement après cinquante tentatives échouées, là où la CNIL recommande dix au maximum.
Source : CNIL, sanction de 5 millions d’euros à l’encontre de France Travail, 29 janvier 2026.
Ce que les fraudeurs en font
Une identité volée sert d’abord à obtenir de l’argent.
Elle permet de souscrire un crédit à votre nom. De faire transférer votre ligne mobile pour recevoir à votre place les codes de confirmation, une technique appelée détournement de carte SIM. De modifier un relevé d’identité bancaire dans votre espace personnel à la caisse d’allocations familiales, à l’assurance maladie ou à la retraite, afin de détourner vos prestations.
La revente de ces données s’est structurée. Le rapport d’activité 2025 de la plateforme nationale décrit un marché où certains acteurs « proposent des identités clés en main qui pourront être directement utilisées par des criminels dans le cyberespace ou l’espace réel », un marché qui suit « la logique de l’offre et de la demande ».
Un mécanisme apparu au dernier trimestre 2025 illustre bien la capacité d’adaptation des fraudeurs. Des escrocs ouvrent un compte bancaire au nom de leur victime, puis écrivent à son employeur pour faire virer son salaire sur ce compte. Cette pratique répond directement à une contre-mesure : la mise en place, en octobre 2025, d’une vérification automatique du nom du titulaire pour tout virement européen.
Autrement dit, la protection n’a pas supprimé la fraude, elle l’a déplacée. C’est une constante de ce domaine, et une raison de plus d’entretenir ses réflexes plutôt que d’attendre une solution définitive.
Pourquoi des escrocs ouvrent-ils un compte bancaire au nom de leur victime avant de contacter son employeur ?
Voir la réponse
Réponse : A. Depuis octobre 2025, un système interbancaire vérifie automatiquement que le nom du bénéficiaire correspond au compte. En ouvrant un compte au nom de la victime, les fraudeurs font correspondre les deux, ce qui suppose qu’ils disposent déjà de suffisamment de documents à son nom.
Source : Cybermalveillance.gouv.fr, rapport d’activité 2025, mars 2026.
Une honnêteté nécessaire sur le téléphone
Toutes les menaces n’ont pas de parade, et il vaut mieux le dire.
L’usurpation du numéro de téléphone affiché lors d’un appel persiste, malgré une loi dédiée et malgré de nouvelles mesures techniques entrées en vigueur en janvier 2026. Les fraudeurs ont trouvé des moyens de continuer à afficher le numéro de leur choix.
La formulation officielle est sans ambiguïté : « à moins de paramétrer temporairement son appareil pour ne plus recevoir d’appels ou de messages de numéros inconnus, il n’existe pas de parade à cette arnaque ».
Le seul réflexe qui tient, dans ce cas comme dans celui d’une voix imitée, consiste à raccrocher et à rappeler sur un numéro que vous connaissez déjà. Ce geste ne repose pas sur la reconnaissance d’un indice, mais sur l’usage d’un canal que l’attaquant ne contrôle pas.
Ce que dit la loi
L’article 226-4-1 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende le fait d’usurper l’identité d’une personne, ou de faire usage de données permettant de l’identifier, en vue de troubler sa tranquillité ou de porter atteinte à son honneur.
Les mêmes peines s’appliquent lorsque les faits sont commis en ligne : le canal numérique est assimilé, il n’aggrave pas la sanction.
Depuis la loi du 30 juillet 2020 relative aux violences conjugales, les peines sont portées à deux ans et 30 000 euros lorsque l’auteur est le conjoint, le concubin ou le partenaire de la victime.
Un second texte, l’article 434-23, vise une situation différente et plus lourdement réprimée : donner le nom d’un tiers dans des circonstances susceptibles d’entraîner des poursuites contre lui est puni de cinq ans d’emprisonnement et de 75 000 euros d’amende.
L'usurpation d'identité commise sur internet est-elle plus lourdement punie que la même infraction hors ligne ?
Voir la réponse
Réponse : B. L’article 226-4-1 précise que l’infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. Le numérique est un canal parmi d’autres, pas une circonstance aggravante.
Si cela vous arrive, dans cet ordre
La plateforme nationale publie une marche à suivre. L’ordre compte, parce que chaque étape conditionne la suivante.
Conservez d’abord les preuves, par des captures d’écran, avant qu’un contenu ne disparaisse. Signalez ensuite aux organismes directement concernés, réseau social ou fournisseur de messagerie.
Déposez plainte. C’est ce document qui débloque tout le reste, et c’est l’étape que les victimes négligent le plus souvent.
Alertez immédiatement vos organismes financiers. Faites annuler et renouveler les documents d’identité utilisés. Produisez une déclaration sur l’honneur, accompagnée d’une copie de votre plainte, aux organismes qui vous réclament quelque chose.
Saisissez enfin la Banque de France : sur la base des éléments transmis, elle contacte les établissements qui vous ont inscrit dans les fichiers d’incidents et appose une mention dès que l’un d’eux reconnaît l’usurpation. Sans cette démarche, vous pouvez rester fiché pour un crédit que vous n’avez jamais souscrit.
Et prévenez vos contacts, pour qu’ils ne deviennent pas les victimes suivantes.
À quel guichet s’adresser
Quatre dispositifs existent, et ils ne font pas la même chose.
17Cyber propose un diagnostic guidé, à toute heure, et une mise en relation avec un policier ou un gendarme lorsque la gravité le justifie. Ce n’est pas un dépôt de plainte.
THESEE permet de déposer plainte en ligne pour une escroquerie, un chantage ou une extorsion, contre un auteur inconnu. Le service est réservé aux particuliers majeurs : une entreprise ne peut pas l’utiliser, et une usurpation sans escroquerie n’entre pas dans son périmètre. La plainte se dépose alors en commissariat, en gendarmerie, ou par courrier au procureur.
PERCEVAL traite la fraude à la carte bancaire, à quatre conditions cumulatives : que la fraude ait eu lieu sur internet, que vous soyez toujours en possession de votre carte, que vous ne soyez pas à l’origine des achats, et que vous ayez déjà fait opposition auprès de votre banque.
Info Escroqueries, au 0 805 805 817, est un service gratuit d’information et d’orientation, assuré par des policiers et des gendarmes.
Vous constatez qu'un faux profil à votre nom diffuse des messages, sans qu'aucune escroquerie n'ait été commise. Pouvez-vous déposer plainte via THESEE ?
Voir la réponse
Réponse : B. Le périmètre de THESEE couvre les escroqueries, chantages et extorsions commis par un auteur inconnu. Une usurpation d’identité sans escroquerie relève d’une plainte classique, en commissariat, en gendarmerie ou par courrier au procureur.
Source : Ministère de l’Intérieur, THESEE.
Le geste de prévention le plus efficace
Le vecteur le plus banal de l’usurpation reste la photocopie de pièce d’identité, envoyée à un bailleur, une salle de sport, un syndic, et dont plus personne ne sait où elle se trouve.
Deux services publics gratuits permettent de tarir cette source.
France Identité produit un justificatif d’identité à usage unique : un document signé électroniquement par le ministère de l’Intérieur, limité à un destinataire, à un motif et à une durée que vous choisissez, et qui ne transmet pas le visuel de votre pièce d’identité.
Filigrane Facile appose sur une copie un filigrane indiquant à qui elle est destinée, ce qui la rend inutilisable ailleurs.
Aucune source officielle ne mesure l’effet de ces outils sur le nombre d’usurpations. Ce sont des dispositifs de prévention : ils réduisent ce qui circule, ils ne détectent rien et ne réparent rien.
Quel est l'intérêt principal d'un justificatif d'identité à usage unique ?
Voir la réponse
Réponse : B. Il limite ce que vous transmettez et l’usage qui peut en être fait, là où une photocopie circule sans contrôle une fois envoyée.
Source : France Identité, le justificatif d’identité à usage unique, octobre 2025.
Pour aller plus loin
Vous savez désormais reconnaître les menaces, comprendre ce qui fait céder l’humain, protéger vos comptes, tenir une hygiène numérique, situer ce que l’intelligence artificielle change réellement, et réagir si votre identité est utilisée par quelqu’un d’autre.
Reste à réduire le matériau disponible : c’est l’objet du dernier chapitre, consacré à ce qui est publié sur vous et à la façon d’en obtenir l’effacement.
Une intervention d’une heure trente reprend ce dernier sujet sous forme de diaporama, avec les chiffres et les sources officielles : Votre identité vous appartient.
En cas de difficulté, 17cyber.gouv.fr vous oriente à toute heure, et cybermalveillance.gouv.fr publie des fiches réflexes gratuites et régulièrement mises à jour.
Ce cours existe aussi en atelier animé, sur site ou à distance.