Usurpation d'identité
En clair
Quelqu'un se fait passer pour une personne ou un organisme que vous connaissez, le temps d'un échange, afin d'obtenir de vous quelque chose que vous n'accorderiez pas à un inconnu.
Ce que cherche l'attaquant : collecter des données personnelles.
Définition
L'usurpation d'identité, au sens de cette famille, est le fait d'emprunter l'identité d'une personne ou d'une organisation existante pendant un échange, afin de bénéficier de la confiance qui lui est accordée.
Comment ça fonctionne
L'usurpation joue sur la façon dont nous accordons notre confiance : à un nom affiché, à un logo, à un numéro, à un ton — c'est-à-dire à des éléments qui se copient tous. Le nom d'expéditeur d'un email est un champ libre, l'expéditeur d'un SMS est un simple libellé, le numéro appelant peut être falsifié, et une photographie de profil se recopie en une seconde. L'attaquant n'a donc pas besoin de compromettre un compte pour paraître en être le titulaire, même si une messagerie réellement piratée rend l'usurpation indétectable. Elle est rarement l'objectif final : elle sert de couche de confiance à autre chose, un virement, un identifiant, un accès. C'est pourquoi elle apparaît en amont de nombreuses fiches de ce site.
Sur quoi cette attaque s'appuie
Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.
Signaux d'alerte
- Nom affiché correct mais adresse ou domaine différent de celui attendu
- Demande inhabituelle venant d'un contact habituel, sans explication de ce changement
- Ton, formule de politesse ou horaire d'envoi qui détonne par rapport aux échanges précédents
- Adresse de réponse différente de l'adresse d'expédition
- Compte récemment créé reprenant le nom et la photographie d'une personne que vous connaissez
- Demande de ne pas utiliser le canal habituel pour répondre
Comment vérifier
Vérifiez sur un canal que la personne usurpée maîtrise et que l'attaquant ne contrôle pas : un numéro que vous possédiez déjà, une rencontre, un compte auquel vous accédez par vos propres moyens. Vérifier sur le canal de la demande revient à demander à l'inconnu de confirmer qu'il est bien votre interlocuteur.
Que faire
Traitez le nom affiché comme une information, jamais comme une preuve. Face à une demande inhabituelle venant d'un contact connu, la vérification par un autre canal doit devenir un réflexe plutôt qu'une marque de méfiance.
Si c'est déjà arrivé
Prévenez la personne ou l'organisme usurpé : d'autres personnes de son entourage reçoivent généralement les mêmes messages. Conservez les échanges et signalez le compte à la plateforme concernée. Si des informations ou des fonds ont été transmis, contactez votre banque et déposez plainte.
Les gestes qui déjouent cette attaque
Questions fréquentes
- Quelle différence avec le vol d'identité ?
- L'usurpation décrite ici est un moyen employé pendant un échange : quelqu'un se fait passer pour un autre le temps d'obtenir quelque chose. Le vol d'identité désigne un préjudice durable, où un tiers agit en votre nom auprès d'organismes — crédits, abonnements, démarches. Le second suit parfois le premier, mais ce sont deux situations distinctes.
- Mon nom a été utilisé pour écrire à mes contacts. Mon compte est-il piraté ?
- Pas nécessairement. Un compte peut être imité sans être compromis : nom, photographie et description se recopient. Vérifiez malgré tout l'historique de connexion de votre compte, et prévenez vos contacts, qui distingueront ainsi le faux compte du vrai.
Attaques liées
Sources officielles
Aussi appelée : usurpation, impersonation, usurpation d'identité en ligne, se faire passer pour quelqu'un.
Cette fiche fait partie de la famille Ingénierie sociale. Mise à jour : 2026-09-02.