Usurpation d'identité : que faire dans les 48 heures

Si votre identité est usurpée, procédez dans cet ordre : figez d'abord les canaux financiers, réunissez les preuves, déposez plainte, puis notifiez chaque organisme concerné en joignant le récépissé. Contrôlez ensuite les fichiers Ficoba, FICP et FCC. Enfin, faites disparaître les données qui ont rendu la fraude possible.

Ce que recouvre exactement le terme

L'usurpation d'identité consiste à utiliser sans votre accord des éléments qui permettent de vous identifier, votre nom, votre date de naissance, votre adresse électronique ou votre photographie, afin de troubler votre tranquillité ou de porter atteinte à votre réputation. La CNIL, dans sa fiche consacrée à la réaction face à une usurpation d'identité, distingue deux familles de cas : celle qui vise votre image, par la création d'un faux profil ou de propos publiés en votre nom, et celle qui vise votre patrimoine, lorsque l'usurpateur se présente comme vous auprès d'un organisme.

Le délit est prévu par l'article 226-4-1 du code pénal et sanctionné d'un an d'emprisonnement et de 15 000 € d'amende, peines portées à deux ans et 30 000 € lorsque les faits sont commis par le conjoint, le concubin ou le partenaire de PACS. En pratique, l'usurpation sert rarement de fin en soi : elle prépare une escroquerie, réprimée bien plus lourdement par l'article 313-1 du même code. Cette différence explique pourquoi votre plainte doit décrire tous les faits, y compris les tentatives restées sans effet, plutôt que le seul préjudice financier constaté.

D'où sort votre profil complet

La représentation courante veut qu'un usurpateur commence par dérober une pièce d'identité. C'est devenu l'exception. Le mode opératoire dominant consiste à assembler, à la manière d'un puzzle dont chaque pièce paraît anodine : une adresse électronique issue d'une fuite, un numéro de téléphone acheté à un intermédiaire commercial, une date de naissance affichée sur un profil public, une adresse postale trouvée dans un fichier de prospection. Séparés, ces éléments ne valent rien. Réunis sur une même ligne, ils forment ce que les forums criminels appellent un profil complet, la matière première d'une ouverture de compte à distance.

Ce phénomène a une conséquence contre-intuitive : votre vigilance personnelle ne suffit pas, parce que les fragments proviennent d'organismes que vous ne contrôlez pas. Le rapport d'activité 2025 de Cybermalveillance.gouv.fr décrit précisément cet enchaînement : le dispositif public a dépassé les 500 000 victimes accompagnées, l'hameçonnage concentre environ un tiers des demandes d'assistance des particuliers, et les recherches liées aux violations de données ont plus que doublé sur un an. Une fuite alimente une campagne d'hameçonnage crédible, laquelle donne accès à un compte, lequel fournit les justificatifs manquants. L'usurpation est l'aboutissement de la chaîne, pas son point de départ.

Un détail technique mérite d'être compris, car il explique la vulnérabilité des procédures d'ouverture de compte en ligne. La vérification d'identité à distance repose sur la concordance entre plusieurs informations : si le nom, la date de naissance, l'adresse et le numéro de téléphone se recoupent, le dossier est réputé cohérent. Un fraudeur qui dispose d'un jeu de données complet et exact franchit donc ce contrôle sans avoir besoin de falsifier quoi que ce soit. Il ne trompe pas la machine, il lui présente des informations vraies.

Les signaux qui doivent vous alerter

La plupart des victimes découvrent les faits tardivement, souvent par un courrier inattendu. Ces indices apparaissent pourtant bien avant, à condition de savoir les lire :

• Un courrier sans objet apparent : confirmation d'un contrat que vous n'avez pas signé, relance pour un abonnement inconnu, lettre d'un organisme dont vous n'êtes pas client. Ne classez jamais ce type de pli comme une erreur d'acheminement.
• Un refus de crédit inexpliqué : une demande banale rejetée sans motif clair signale parfois une inscription dans un fichier d'incidents, provoquée par un engagement souscrit en votre nom.
• Un code de validation non sollicité : recevoir un code à usage unique que vous n'avez pas demandé signifie que quelqu'un connaît déjà votre identifiant et votre numéro, et se trouve à une étape de l'accès.
• Un profil qui n'est pas le vôtre : un compte reprenant votre nom et votre photographie, souvent utilisé pour solliciter vos proches. Vérifiez régulièrement par une recherche sur votre nom complet et par la recherche inversée d'images.
• Une anomalie administrative : un remboursement de santé qui vous échappe, une déclaration préremplie incohérente, un changement d'adresse que vous n'avez pas demandé sur un espace public.

Les 48 premières heures, dans l'ordre

L'ordre des démarches compte autant que les démarches elles-mêmes : chaque étape produit une pièce dont la suivante a besoin.

Heure 0 : figer et documenter

Commencez par constituer votre dossier de preuves, avant toute suppression. Réalisez des captures d'écran horodatées, conservez les URL complètes, archivez les courriels d'origine avec leur en-tête, photographiez les courriers reçus. Un faux profil signalé puis retiré par la plateforme disparaît aussi de vos moyens de preuve : capturez d'abord, signalez ensuite. Si des moyens de paiement sont concernés, faites opposition immédiatement auprès de votre banque, puis signalez la fraude à la carte bancaire via le service officiel Perceval, dont le récépissé est fréquemment réclamé par les établissements bancaires.

Heure 2 : verrouiller les accès

Si l'usurpation découle du piratage d'un compte, changez le mot de passe de votre messagerie principale en priorité absolue, car elle commande la réinitialisation de tous les autres services. Activez ensuite la double authentification, puis vérifiez trois éléments souvent négligés : l'historique des connexions, la liste des appareils autorisés et surtout les règles de filtrage de votre boîte de réception. Un attaquant méthodique installe une règle qui déplace automatiquement les alertes bancaires vers la corbeille, ce qui lui offre des semaines de tranquillité. Notre guide du mot de passe sécurisé détaille la méthode de reconstruction de vos accès.

Heure 6 : déposer plainte

La plainte se dépose dans n'importe quel commissariat ou brigade de gendarmerie, sans condition de domicile, ou par lettre adressée au procureur de la République. Pour les escroqueries en ligne sans violence, la plainte peut être déposée par voie numérique via le dispositif Thésée. Distinguez bien la main courante, simple enregistrement d'une déclaration, de la plainte, qui seule déclenche l'action publique. Demandez systématiquement le récépissé et faites-en plusieurs copies : c'est la pièce que réclameront ensuite la banque, l'opérateur, les administrations et les plateformes.

Heure 24 : notifier les organismes

Prévenez par écrit tous les organismes susceptibles d'être sollicités en votre nom : établissements bancaires et de crédit, opérateurs de téléphonie, caisse d'assurance maladie, caisse d'allocations familiales, caisse de retraite, administration fiscale. Joignez la copie du récépissé de plainte et, lorsqu'elle est demandée, une déclaration sur l'honneur contestant les engagements souscrits. Ce courrier a une valeur juridique concrète : il fait courir la date à partir de laquelle l'organisme ne peut plus ignorer la contestation.

Heure 48 : contrôler les fichiers de référence

Trois fichiers permettent de mesurer l'ampleur réelle des dégâts. Le Ficoba recense les comptes bancaires ouverts à votre nom et révèle donc l'existence d'un compte que vous n'avez jamais ouvert. Le FICP répertorie les incidents de remboursement de crédits aux particuliers, et le FCC les interdictions d'émettre des chèques. Ces deux derniers relèvent de la Banque de France, qui traite les demandes d'accès des personnes concernées. Un usurpateur laisse presque toujours une trace dans l'un de ces registres, bien avant que le premier huissier ne se manifeste.

Ensuite : refermer le dossier sur la durée

Passé l'urgence, une usurpation laisse des traces qui se réveillent parfois des années plus tard, généralement sous la forme d'une créance recouvrée par un tiers. Trois chantiers méritent d'être menés jusqu'au bout.

• Constituez un dossier permanent : récépissés, courriers envoyés et accusés de réception, réponses obtenues. Conservez-le durablement. Lorsqu'une créance ressurgit trois ans après, la charge de la démonstration retombe pratiquement sur vous.
• Surveillez la réapparition des données : un jeu d'informations exploité une fois est rarement abandonné. Il est recyclé, revendu, recompilé. Une surveillance continue du darknet vous avertit lorsqu'il refait surface plutôt que de vous laisser le découvrir par un courrier.
• Faites valoir vos droits sur les données : vous pouvez exiger des organismes concernés qu'ils rectifient et effacent les informations rattachées à tort à votre nom. Notre récapitulatif de vos droits RGPD expliqués précise les délais de réponse et les voies de recours en cas de silence.

Prévenir la récidive : réduire la matière première

Aucune de ces démarches n'empêche la répétition des faits, pour une raison simple : elles traitent les conséquences, jamais le stock d'informations qui a rendu la fraude possible. Tant que votre nom, votre adresse, votre date de naissance et votre numéro de téléphone circulent, agrégés sur une même ligne, dans les bases des courtiers de données (data brokers), le profil complet reste reconstituable par le prochain candidat.

La prévention efficace consiste donc à travailler sur la disponibilité de l'information, pas seulement sur la surveillance :

• Exigez l'effacement, pas seulement l'accès : l'article 17 du RGPD ouvre un droit à l'effacement opposable aux organismes qui détiennent vos données. Notre lettre type RGPD de suppression de données vous fournit le formalisme attendu.
• Filigranez toute copie de pièce d'identité : avant d'envoyer un justificatif à un bailleur ou à une plateforme, apposez une mention indiquant le destinataire, la date et l'usage. Le service public gratuit filigrane.beta.gouv.fr le fait en quelques secondes et rend la copie inexploitable ailleurs.
• Cloisonnez vos identifiants : une adresse alias dédiée aux inscriptions commerciales empêche qu'une fuite chez un marchand ne remonte jusqu'à votre messagerie principale, celle qui commande vos réinitialisations de mot de passe.
• Fermez ce qui ne sert plus : les comptes dormants sont les plus vulnérables, car personne ne surveille leurs alertes. Notre guide pour supprimer vos anciens comptes décrit la méthode d'inventaire.

C'est exactement le travail qu'EffaceData prend en charge. Nous cartographions les courtiers de données qui détiennent votre profil et exigeons son effacement sur le fondement de l'article 17 du RGPD, puis nous surveillons en continu la réapparition de vos informations dans les fuites et sur le darknet, afin que vous soyez averti avant qu'un dossier ne soit ouvert en votre nom. Pour mesurer l'ampleur du phénomène en France, notre bilan CNIL 2026 des fuites de données donne l'échelle du problème.

Les numéros à connaître

• 116 006 : France Victimes, aide aux victimes du ministère de la Justice, appel et service gratuits.
• 0 805 805 817 : Info Escroqueries, plateforme du ministère de l'Intérieur, pour être orienté dans vos démarches.
• 33700 : signalement des SMS et appels frauduleux.

Avertissement : Ceci n'est pas un conseil juridique. Cet article est fourni à titre d'information en cybersécurité et reflète l'état des textes et des procédures connu à sa date de publication. Les modalités d'accès aux fichiers mentionnés et les formalités de plainte peuvent évoluer. Pour une situation individuelle, rapprochez-vous d'un professionnel du droit, d'une association d'aide aux victimes ou des services officiels compétents.