Usurpation d’identité : ce que dit la loi, ce que montre le réseau

L'usurpation d'identité consiste à se faire passer pour une personne réelle, en ligne ou hors ligne, pour ouvrir un crédit, signer un contrat, publier en son nom ou tromper son entourage ; l'article 226-4-1 du Code pénal la punit d'un an d'emprisonnement et de 15 000 euros d'amende, y compris lorsqu'elle est commise sur un réseau de communication au public en ligne. Elle ne se confond pas avec l'usurpation d'une adresse (IP, MAC, expéditeur d'e-mail, numéro d'appelant), qui est un procédé technique et souvent l'un des moyens employés.

Ce que la loi française appelle usurpation d’identité

Le délit est défini à l'article 226-4-1 du Code pénal, introduit par la loi LOPPSI 2 du 14 mars 2011. Il vise le fait d'usurper l'identité d'un tiers ou de faire usage d'une ou plusieurs données permettant de l'identifier, en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur ou à sa considération. La peine encourue est d'un an d'emprisonnement et de 15 000 euros d'amende. Le second alinéa applique les mêmes peines aux faits commis sur un réseau de communication au public en ligne : faux profil, compte cloné, message envoyé sous votre nom.

Point souvent mal compris : aucun préjudice financier n'est exigé. Un faux compte qui publie des propos à votre place suffit à constituer le délit. Les données identifiantes ne se limitent pas non plus à l'état civil, un pseudonyme sous lequel vous êtes connu peut entrer dans le champ du texte.

En revanche, tout ne relève pas de cet article. Quand l'identité empruntée sert à obtenir de l'argent, un bien ou un service, c'est l'escroquerie (article 313-1) qui est retenue, avec cinq ans d'emprisonnement et 375 000 euros d'amende. Quand elle sert à faire endosser des poursuites pénales par un tiers, lors d'un contrôle par exemple, l'article 434-23 prévoit cinq ans et 75 000 euros. Dans un même dossier, ces qualifications se cumulent fréquemment.

Usurpation d’identité ou usurpation d’adresse ?

La requête arrive souvent avec un malentendu. Usurper une identité, c'est se faire passer pour une personne. Usurper une adresse, c'est falsifier un champ dans un paquet ou dans un en-tête. Le second est un outil, pas le délit. Les deux se croisent dans la plupart des affaires, mais ils ne se traitent pas de la même façon : l'un se règle avec une plainte, l'autre avec une configuration.

Une adresse IP publique ne désigne pas une personne. Elle désigne un abonnement, à un instant donné, et parfois plusieurs centaines d'abonnés à la fois. Avec le CGNAT que les opérateurs mobiles et une partie des FAI utilisent (plage partagée 100.64.0.0/10, définie par la RFC 6598), la même IPv4 publique est mutualisée entre de nombreux clients. Sans horodatage à la seconde près et sans port source, un journal qui n'affiche qu'une IP n'identifie personne. C'est la première objection que soulèvera un avocat en face.

Ce qui est falsifié	Nom du procédé	Protocole en cause	Contre-mesure
Adresse IP source	IP spoofing	IPv4 (RFC 791), IPv6 (RFC 8200)	Filtrage en entrée BCP 38 (RFC 2827), uRPF (RFC 3704)
Adresse MAC sur le LAN	ARP spoofing, MAC spoofing	ARP (RFC 826), dépourvu d'authentification	Inspection ARP dynamique sur le commutateur, 802.1X
Champ From d'un e-mail	Email spoofing	SMTP (RFC 5321), format de message (RFC 5322)	SPF (RFC 7208), DKIM (RFC 6376), DMARC (RFC 7489)
Numéro d'appelant	Caller ID spoofing	Signalisation téléphonique	Authentification des numéros imposée par la loi du 24 juillet 2020
Nom de domaine proche du vôtre	Typosquatting, domaine homographe	DNS, enregistrement de noms	Veille sur les dépôts, signalement au registrar
Identité d'une personne	Usurpation d'identité	Aucun, c'est une infraction et non un protocole	Article 226-4-1 du Code pénal

Par où passent réellement les usurpateurs

Les scénarios rencontrés en intervention sont peu nombreux et se répètent. Ce ne sont presque jamais des attaques sophistiquées, plutôt l'enchaînement d'une fuite ancienne et d'un peu de social engineering.

• Réutilisation de fuite : une adresse e-mail et un mot de passe issus d'une base revendue sont rejoués automatiquement sur des dizaines de services (credential stuffing). Un même mot de passe partagé entre votre boîte mail et un forum oublié suffit.
• Hameçonnage en temps réel : le faux site relaie vos identifiants vers le vrai service pendant que vous tapez, puis vous réclame le code de validation, qui est valide quelques secondes. Le domaine a souvent été déposé la veille.
• Faux conseiller bancaire : appel affichant le numéro réel de votre agence, avec demande de valider une opération depuis votre application. Une banque ne vous demande jamais de valider une opération que vous n'avez pas déclenchée vous-même.
• SIM swapping : duplicata de carte SIM ou portage frauduleux obtenu chez l'opérateur, qui redirige tous vos SMS de vérification. C'est la raison pour laquelle le SMS reste le second facteur le plus fragile.
• Pièce d'identité recyclée : une copie envoyée sans filigrane à un loueur, un site d'annonces ou un employeur circule ensuite. Ajoutez systématiquement un filigrane mentionnant la date et le destinataire.

Vérifier soi-même, en quelques commandes

Un cas concret. Vous recevez un message signé du nom d'un collègue, avec son adresse exacte dans le champ From. Affichez la source du message et cherchez la ligne Authentication-Results. Vous y lisez par exemple : spf=fail (sender IP is 203.0.113.45) smtp.mailfrom=exemple.fr; dkim=none; dmarc=fail action=quarantine. Trois informations en une ligne : le serveur émetteur n'est pas autorisé par l'enregistrement SPF du domaine, aucune signature DKIM n'accompagne le message, et le domaine a demandé sa mise en quarantaine. Le champ From affichait pourtant la bonne adresse, parce que SMTP ne vérifie rien de ce champ. C'est le point aveugle historique de la messagerie.

Conservez les preuves avant d'agir, pas après. Capture d'écran datée, URL complète, source du message avec les en-têtes, numéro de transaction, identifiant du profil. Les plateformes suppriment rapidement les faux comptes signalés, et une capture prise une fois le profil disparu ne vaut à peu près rien pour un enquêteur. Si l'enjeu est important, un constat d'huissier reste la forme la plus solide.

• dig +short TXT _dmarc.exemple.fr : affiche la politique DMARC du domaine. p=none ne donne aucune consigne aux serveurs destinataires, p=quarantine et p=reject font écarter les messages non alignés.
• dig +short TXT exemple.fr : l'enregistrement SPF commence par v=spf1. Un ~all final signale un échec souple qui laisse passer, un -all demande le rejet.
• ip neigh sous Linux, arp -a sous Windows et macOS : deux adresses IP distinctes associées à la même adresse MAC sur votre réseau local est la signature classique d'un ARP spoofing.
• Historique de connexion des comptes : Google, Microsoft, Meta et la plupart des services exposent les sessions actives avec IP, appareil et date. Fermez les sessions inconnues, puis changez le mot de passe, dans cet ordre, sinon la session ouverte survit au changement.
• Fichiers de la Banque de France : le FICP (incidents de remboursement) et le FCC (chèques) se consultent gratuitement au titre du droit d'accès, ce qui permet de repérer un crédit ouvert à votre nom. Il n'existe pas en France d'équivalent librement accessible du credit report américain.

Réagir, dans l’ordre

L'ordre compte plus que la vitesse. Bloquer les flux d'argent d'abord, geler les preuves ensuite, déposer plainte, et seulement après reconstruire les accès.

Info Escroqueries répond au 0 805 805 817, appel et service gratuits. Les SMS et appels frauduleux se transfèrent au 33700. Le portail cybermalveillance.gouv.fr publie des fiches réflexe et met en relation avec des prestataires référencés, et 17Cyber oriente vers le service compétent selon la situation.

Une précision honnête pour finir : il n'existe pas de statistique publique fiable sur le nombre d'usurpations d'identité en ligne en France. Les faits sont agrégés avec d'autres atteintes dans les données ministérielles, et une part importante n'est jamais déclarée. Les pourcentages qui circulent sans source vérifiable, souvent produits par des vendeurs de services de surveillance, ne valent pas grand-chose.

• Moyens de paiement : faire opposition, puis signaler l'usage frauduleux de carte bancaire sur le service Perceval, accessible via FranceConnect. L'article L. 133-18 du Code monétaire et financier impose à la banque de rembourser une opération non autorisée immédiatement après signalement, au plus tard à la fin du premier jour ouvrable suivant.
• Plainte : en commissariat, en gendarmerie, ou par courrier au procureur de la République. Une plainte contre X est recevable, l'enquête pourra demander les données de connexion aux opérateurs et aux plateformes. Le délit se prescrit par six ans à compter de sa commission.
• Faux profil : signalement via le formulaire dédié de la plateforme, avec pièce d'identité. En cas d'inaction, une notification circonstanciée fondée sur l'article 6 de la LCEN du 21 juin 2004 engage la responsabilité de l'hébergeur, et le référé reste ouvert.
• Données personnelles diffusées : droit à l'effacement de l'article 17 du RGPD auprès du responsable de traitement, réclamation auprès de la CNIL si la demande reste sans réponse dans le délai d'un mois.
• Verrouillage : mot de passe unique par service via un gestionnaire, second facteur autre que le SMS (application TOTP ou clé FIDO2), et vérification des adresses de récupération, souvent modifiées par l'attaquant en premier.
• Côté domaine : publier SPF et DKIM, passer DMARC en p=reject avec une adresse rua= pour recevoir les rapports agrégés. Tant que la politique reste p=none, n'importe qui peut envoyer des messages affichant votre domaine sans être écarté.

Questions fréquentes

Quelqu’un utilise mon adresse IP, est-ce une usurpation d’identité ?

Non, ce sont deux choses distinctes. Falsifier une adresse IP source relève du spoofing, un procédé technique. Voir la même IP publique que vous n'a d'ailleurs rien d'anormal si votre opérateur pratique le CGNAT : la plage 100.64.0.0/10 mutualise une IPv4 publique entre de nombreux abonnés. L'usurpation d'identité au sens de l'article 226-4-1 suppose qu'on se fasse passer pour vous auprès de tiers, ce que l'IP seule ne permet pas d'établir.

Puis-je porter plainte si je ne connais pas l’auteur ?

Oui, la plainte contre X est prévue pour ce cas et le service qui la reçoit ne peut pas la refuser. Apportez tout ce qui permettra de remonter : en-têtes complets des messages, adresses IP relevées avec date et heure précises, identifiants de profils, références de transaction. Ce sont ces éléments qui permettront de solliciter les opérateurs et les plateformes dans le cadre de l'enquête.

Comment savoir si mon domaine sert à envoyer des e-mails en mon nom ?

Publiez un enregistrement DMARC avec une adresse rua= et vous recevrez des rapports agrégés XML quotidiens de la part des grands opérateurs de messagerie, listant les adresses IP qui émettent sous votre domaine et le résultat des contrôles SPF et DKIM. C'est le seul moyen d'avoir cette visibilité. Tant que vous restez en p=none, vous observez sans bloquer, ce qui est le bon point de départ avant de basculer en p=reject.

Un faux profil a été supprimé mais réapparaît, que faire ?

Signalez chaque nouvelle occurrence en faisant référence au signalement précédent et à sa suite donnée, ce qui établit le caractère répété. Conservez les captures de chaque itération avec leur date. La récidive documentée pèse dans l'appréciation du trouble à la tranquillité, qui est justement l'élément constitutif visé par l'article 226-4-1, et elle rend l'inaction de la plateforme plus difficile à défendre après notification LCEN.

Les services payants de surveillance d’identité servent-ils à quelque chose ?

Ils font surtout de la veille sur des bases de fuites et sur le web, ce que vous pouvez faire gratuitement pour vos adresses e-mail. Ils n'empêchent aucune usurpation et ne remplacent ni la plainte, ni l'opposition bancaire, ni un second facteur correct. Leur intérêt réel est l'assistance administrative incluse dans certains contrats, quand il faut relancer une dizaine d'organismes. Comparez ce point précis, pas les promesses de détection.

À lire aussi

catfishing · authentification a deux facteurs 2fa · attaques mot de passe · attaque man in the middle

Testez vos connaissances