Lexique · Sécurité des données
Usurpation de compte
Prise de contrôle d'un compte (messagerie, réseau social, service en ligne ou accès professionnel) par un tiers malveillant, au détriment de son titulaire légitime, avec des identifiants trop simples, réutilisés ou obtenus par hameçonnage. En anglais, on parle d'account takeover.
- Rubrique
- Sécurité
- Mise à jour
- Articles
- 1
Notions liées
Sources · 4
- [1] Le piratage de compte (Cybermalveillance.gouv.fr)
- [2] La CNIL donne ses consignes pour renforcer la sécurité des grandes bases de données (CNIL)
- [3] Incident de sécurité sur Tchap : la DINUM sécurise la plateforme et informe les usagers après une intrusion maîtrisée (DINUM)
- [4] Credential stuffing (attaque informatique) (CNIL)
Ce que ça change pour une organisation
Cybermalveillance.gouv.fr définit le piratage de compte comme la prise de contrôle par un individu malveillant d’un compte au détriment de son propriétaire légitime, et cite trois causes fréquentes : un mot de passe trop simple, un hameçonnage, ou la réutilisation d’un même mot de passe sur plusieurs sites dont l’un a été piraté. Pour les organisations, le sujet est central : la CNIL indiquait en avril 2025 que près de 80 % des violations de grande ampleur constatées en 2024 avaient été permises par l’usurpation du compte d’un employé ou d’un sous-traitant protégé uniquement par un mot de passe. Elle demande dès 2025 l’authentification multifacteur pour les accès à distance aux grandes bases de données et annonce un contrôle renforcé dès 2026, son absence pouvant justifier une procédure de sanction.
En cas d’incident, Cybermalveillance.gouv.fr conseille de changer le mot de passe, de vérifier le numéro et l’adresse de récupération du compte, d’activer la double authentification, de prévenir ses contacts et sa banque, puis de porter plainte. L’accès frauduleux à un système de traitement automatisé de données relève de l’article 323-1 du code pénal.
Exemple
Le 7 juin 2026, selon la DINUM, un compte utilisateur de Tchap, la messagerie chiffrée de l’État, a été compromis à la suite d’une usurpation de compte. Les conversations privées chiffrées sont restées inaccessibles, mais les salons publics, non chiffrés par conception, pouvaient être consultés ; 73 467 agents sur plus de 825 000 inscrits auraient été concernés. Le compte a été bloqué et la CNIL notifiée.
À ne pas confondre avec
- L’usurpation d’identité : infraction prévue à l’article 226-4-1 du code pénal, qui vise l’usage de l’identité ou de données d’un tiers, et qu’un compte détourné peut permettre de commettre.
- Le credential stuffing : technique qui teste en masse des couples identifiant/mot de passe volés, dont l’usurpation de compte est le résultat lorsqu’une connexion aboutit.
- Le spoofing téléphonique : falsification du numéro affiché lors d’un appel, qui ne suppose aucune prise de contrôle d’un compte.