Compte piraté, que faire ? Agir dans les 60 premières minutes, dans un ordre précis : un pirate qui tient votre boîte mail change le mot de passe et l'adresse de récupération en moins de 10 minutes, puis rebondit sur vos autres comptes. Voici cet ordre, et la faute la plus coûteuse : tout nettoyer avant d'avoir capturé les traces, ce qui ruine ensuite la plainte et le remboursement bancaire.
Compte piraté, que faire dans l'heure ? Les 6 réflexes dans l'ordre
Chaque geste prépare le suivant. Inverser l'ordre, c'est soit laisser le pirate revenir, soit détruire la preuve de son passage.
Minutes Réflexe Pourquoi à ce moment 0-5 1. Passer sur un appareil sain Un mot de passe tapé sur un appareil infecté est recapté 5-10 2. Figer les preuves Les réflexes 3 à 5 effacent les traces du pirate 10-20 3. Reprendre la boîte mail Elle réinitialise tous vos autres comptes 20-30 4. Changer le mot de passe, fermer les sessions Sans déconnexion, le pirate reste connecté 30-40 5. Verrouiller la récupération, activer la 2FA Empêche une nouvelle prise de contrôle 40-60 6. Banque, contacts, signalement Le remboursement court à partir du signalementRéflexe 1 (0-5 min) : passer sur un appareil sain
En 2025, Cybermalveillance.gouv.fr classe le logiciel espion de type infostealer parmi les cinq vecteurs principaux de piratage, avec l'hameçonnage, le mot de passe trop simple, la réutilisation d'un même mot de passe et l'appareil compromis. Si votre ordinateur est la source, chaque nouveau mot de passe saisi part chez le pirate en quelques secondes.
Utilisez un autre appareil à jour, en 4G plutôt que sur un Wi-Fi inconnu, jamais un poste public. L'appareil suspect est coupé du réseau, pas réinitialisé : il contient lui aussi des traces.
Réflexe 2 (5-10 min) : figer les preuves avant de supprimer quoi que ce soit
Voici l'erreur du titre. Le réflexe naturel : supprimer la redirection du pirate, l'appareil inconnu, les messages envoyés en votre nom. Or ces éléments sont la preuve de l'accès frauduleux, puni de 3 ans d'emprisonnement et 100 000 € d'amende par l'article 323-1 du Code pénal. Service-public.fr et la fiche réflexe officielle l'écrivent dans cet ordre : capturer d'abord, supprimer ensuite. En 5 minutes, relevez :
- la page des appareils et sessions actives (lieu, adresse IP, date) ;
- l'adresse mail et le numéro de récupération ajoutés par le pirate ;
- les règles de filtrage ou de transfert inconnues dans la messagerie ;
- les mails d'alerte « nouvelle connexion » ou « mot de passe modifié », avec leur heure ;
- les messages, publications ou commandes frauduleux.
Chaque capture montre l'heure et l'adresse de la page ; copiez-les hors du compte piraté (clé USB, autre messagerie) et tenez un journal : heure, constat, fichier.
Une capture prise après le nettoyage ne prouve plus rien. Supprimer une redirection sans l'avoir photographiée efface l'adresse vers laquelle vos mails partaient, souvent la seule piste qui mène à l'auteur et le seul élément qui démontre à la banque que vous n'avez pas autorisé l'opération.Réflexe 3 (10-20 min) : reprendre la boîte mail avant tout autre compte
La messagerie est le passe-partout : elle reçoit les liens de réinitialisation de vos réseaux sociaux, de votre banque, de vos comptes Ameli ou impots.gouv. Tant qu'elle reste aux mains du pirate, sécuriser Instagram ou Vinted ne sert à rien : il en reprend le contrôle en un clic « mot de passe oublié ».
Si vous n'avez plus accès, passez uniquement par la page officielle de récupération du fournisseur (Gmail, Outlook, Orange, Laposte.net), jamais par un lien reçu par SMS ou mail. Une fois connecté, supprimez les redirections et filtres déjà capturés.
Réflexe 4 (20-30 min) : changer le mot de passe et déconnecter toutes les sessions
Nouveau mot de passe d'au moins 12 caractères, jamais utilisé ailleurs. Puis, dans les paramètres de sécurité (chez Google : « Vos appareils », puis « Gérer tous les appareils »), déconnectez toutes les sessions. Sans cette étape, le pirate reste connecté même après le changement de mot de passe.
Changez aussi chaque site où l'ancien servait : le credential stuffing teste un identifiant volé sur des centaines de services.
Réflexe 5 (30-40 min) : verrouiller la récupération et activer la double authentification
Supprimez l'adresse et le numéro de récupération inconnus, puis activez la double authentification par application (Google Authenticator, Microsoft Authenticator) ou par clé de sécurité. Le code SMS reste détournable par un SIM-swap, le duplicata de votre carte SIM obtenu auprès de l'opérateur. Imprimez les codes de secours : Google en fournit 10, à usage unique.
Si le code n'arrive jamais ou si le service bloque le compte, ne multipliez pas les essais : ils prolongent le verrouillage. Hitweb consacre le dépannage des tracas en ligne à ces situations, avec des solutions pas à pas : code SMS qui n'arrive pas, double authentification bloquée, compte verrouillé.
Réflexe 6 (40-60 min) : prévenir la banque, vos contacts, puis signaler
Si une carte est enregistrée dans le compte, appelez la banque et faites opposition. Pour une opération non autorisée, l'article L133-18 du Code monétaire et financier impose un remboursement au plus tard à la fin du premier jour ouvrable suivant votre signalement ; vous disposez de 13 mois pour contester. En 2025, les demandes d'assistance pour piratage de compte bancaire ont bondi de 205 %.
Prévenez vos contacts par un autre canal : le pirate leur réclame de l'argent ou un code en votre nom. Signalez ensuite sur 17cyber.gouv.fr, guichet gratuit 24 h/24 qui oriente vers un policier ou un gendarme par tchat. La fiche réflexe officielle de Cybermalveillance.gouv.fr liste les recours par service.
La plainte se dépose au commissariat, en gendarmerie ou par courrier au procureur, captures jointes, même contre X ; en cas d'escroquerie, la plateforme THESEE l'accepte en ligne. Le délai de prescription est de 6 ans. Écoute gratuite : France Victimes au 116 006 (7 j/7, 9 h-19 h), Info Escroqueries au 0 805 805 817.
Notre conseil : déposez plainte même sans préjudice financier immédiat. Les identifiants volés servent souvent des semaines plus tard à ouvrir un crédit ou un abonnement à votre nom ; une plainte datée du jour du piratage prouve alors que l'usurpation n'est pas de votre fait.
