Chaque année, des millions de personnes et d'entreprises se retrouvent victimes d'attaques numériques sans savoir comment réagir ni vers qui se tourner. La cybercriminalité et vos droits : ce qu'il faut savoir devient une question urgente quand on réalise que 1,5 million de cyberattaques ont été signalées en France en 2022 et que 60 % des entreprises ont subi au moins un incident de sécurité cette même année. Pourtant, la majorité des victimes ne déposent jamais plainte, faute d'information sur les recours disponibles. Le droit français a pourtant évolué rapidement pour s'adapter à ces nouvelles formes de criminalité, notamment avec l'entrée en vigueur du RGPD en 2018 et les révisions récentes du code pénal. Comprendre le cadre juridique, connaître ses droits et savoir qui contacter change radicalement la situation d'une victime.
Comprendre la cybercriminalité : définitions et formes d'attaques
La cybercriminalité désigne l'ensemble des actes criminels commis par le biais de l'informatique ou d'Internet. Cette définition large recouvre des réalités très différentes, allant de l'escroquerie en ligne à l'espionnage industriel, en passant par le vol de données personnelles. Trois formes d'attaques concentrent la grande majorité des cas signalés aux autorités françaises.
Le phishing, ou hameçonnage, reste la technique la plus répandue. Elle consiste à envoyer un message frauduleux imitant une entité de confiance — une banque, l'administration fiscale, un opérateur téléphonique — pour pousser la victime à divulguer ses identifiants ou ses coordonnées bancaires. Les messages sont aujourd'hui d'une qualité rédactionnelle souvent irréprochable, ce qui les rend difficiles à détecter sans vigilance active.
Le ransomware, ou rançongiciel, cible principalement les entreprises et les collectivités. Ce logiciel malveillant chiffre les données d'un système informatique et réclame une rançon en échange de la clé de déchiffrement. Des hôpitaux, des mairies et des PME françaises ont été paralysés pendant des semaines par ce type d'attaque. Le paiement de la rançon n'est jamais conseillé par les autorités car il ne garantit pas la récupération des données.
D'autres formes de cybercriminalité touchent directement les individus : le cyberharcèlement, la diffusion non consentie d'images intimes, l'usurpation d'identité numérique ou encore les arnaques aux faux supports techniques. Le droit pénal français sanctionne chacune de ces infractions, mais encore faut-il savoir les nommer correctement pour porter plainte efficacement.
Ce que la loi vous reconnaît comme droits face aux attaques numériques
Être victime d'une cyberattaque ouvre plusieurs droits. Le premier est le droit de porter plainte, soit auprès d'un commissariat ou d'une gendarmerie, soit directement en ligne via la plateforme Thésée pour les escroqueries numériques. Le dépôt de plainte déclenche une enquête judiciaire et constitue la base de toute procédure pénale ultérieure.
Le délai pour agir est limité. En matière de cybercriminalité, le délai de prescription est de trois ans à compter du jour où l'infraction a été commise ou découverte. Passé ce délai, les poursuites pénales deviennent impossibles. Documenter immédiatement les preuves — captures d'écran, en-têtes de mails, journaux de connexion — est donc une priorité absolue dès la découverte d'une attaque.
Les victimes disposent par ailleurs d'un droit à la protection de leurs données personnelles, garanti par le RGPD et la loi Informatique et Libertés. Si une entreprise a subi une violation de données vous concernant, elle a l'obligation légale de vous en informer dans les 72 heures suivant la découverte de l'incident. En cas de manquement, la CNIL peut être saisie directement et dispose d'un pouvoir de sanction pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial de l'entreprise fautive.
Pour les particuliers, des ressources juridiques accessibles permettent de comprendre ces mécanismes sans jargon technique. Des plateformes comme voir le site proposent des explications claires sur les procédures à suivre en cas de litige numérique, des modèles de lettres de mise en demeure aux démarches auprès des autorités compétentes. Seul un avocat spécialisé peut toutefois fournir un conseil adapté à votre situation personnelle.
Les organismes qui enquêtent et vous accompagnent
La lutte contre la cybercriminalité mobilise un réseau d'acteurs institutionnels à l'échelle nationale et européenne. Connaître ces structures permet de savoir vers qui se tourner selon la nature de l'attaque subie.
L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) est l'autorité nationale en matière de cybersécurité. Elle publie des guides pratiques, des alertes de sécurité et accompagne les opérateurs d'importance vitale lors d'incidents majeurs. Son site dispose d'une section dédiée aux victimes avec des fiches réflexes selon le type d'attaque.
La CNIL intervient spécifiquement sur les questions de données personnelles. Elle traite les plaintes liées aux violations de données, aux usurpations d'identité et aux manquements au RGPD. Sa plateforme de signalement en ligne permet de déposer une réclamation en quelques minutes.
Au niveau européen, Europol coordonne les enquêtes transnationales via son Centre européen de lutte contre la cybercriminalité (EC3). Interpol joue un rôle similaire à l'échelle mondiale, notamment pour les affaires de ransomware impliquant des groupes criminels organisés basés hors de l'Union européenne. Ces deux organisations ne traitent pas directement les plaintes individuelles, mais leurs bases de données alimentent les enquêtes nationales.
En France, la Brigade de lutte contre la cybercriminalité (BL2C) de la préfecture de police de Paris et le C3N (Centre de lutte contre les criminalités numériques) de la gendarmerie nationale sont les unités spécialisées qui instruisent les affaires les plus complexes. Pour les entreprises, le dispositif cybermalveillance.gouv.fr propose un diagnostic en ligne et une mise en relation avec des prestataires certifiés.
Les chiffres qui révèlent l'ampleur du phénomène
Les statistiques sur la cybercriminalité en France dessinent un tableau préoccupant. Les 1,5 million de cyberattaques signalées en 2022 ne représentent qu'une fraction du volume réel, car la majorité des victimes ne déposent pas plainte. Les spécialistes estiment que le taux de signalement n'excède pas 10 à 15 % des incidents effectivement subis.
Côté entreprises, le bilan est particulièrement lourd. 60 % des entreprises françaises ont déclaré avoir subi au moins une cyberattaque en 2022 selon les données publiées par l'ANSSI. Les PME sont les cibles les plus vulnérables : elles disposent de moins de ressources pour se défendre et représentent souvent une porte d'entrée vers de plus grandes structures avec lesquelles elles sont en relation commerciale.
Le coût économique de la cybercriminalité dépasse désormais celui du trafic de stupéfiants à l'échelle mondiale. En France, les rançons versées par des entreprises victimes de ransomware se chiffrent en dizaines de millions d'euros chaque année, sans compter les coûts de remédiation, de communication de crise et de perte d'activité. Une PME touchée par un rançongiciel met en moyenne trois semaines à retrouver un fonctionnement normal.
Ces données évoluent rapidement. Les groupes criminels s'adaptent aux nouvelles technologies, exploitent les failles des objets connectés et utilisent désormais l'intelligence artificielle pour personnaliser leurs attaques. Les chiffres de 2023 et 2024 devraient révéler une aggravation de la situation, notamment sur le segment des attaques par ingénierie sociale ciblant les dirigeants d'entreprise.
Se protéger concrètement : les réflexes qui font la différence
La prévention reste le levier le plus efficace. Aucune mesure technique ne garantit une protection absolue, mais l'adoption de bonnes pratiques réduit considérablement l'exposition aux risques les plus courants. Ces habitudes valent aussi bien pour les particuliers que pour les professionnels.
- Utiliser un gestionnaire de mots de passe et activer la double authentification sur tous les comptes sensibles (messagerie, banque, réseaux professionnels).
- Mettre à jour systématiquement les systèmes d'exploitation et logiciels dès qu'une mise à jour de sécurité est disponible — la majorité des ransomwares exploitent des failles connues et corrigées.
- Effectuer des sauvegardes régulières sur un support déconnecté du réseau, selon la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors site.
- Vérifier l'adresse email de l'expéditeur et l'URL d'un lien avant tout clic, en particulier lorsqu'un message crée une urgence artificielle ou demande des informations confidentielles.
- Former les collaborateurs aux techniques d'ingénierie sociale : le facteur humain reste la première cause de compromission dans les entreprises.
Sur le plan juridique, les entreprises ont intérêt à rédiger une politique de sécurité des systèmes d'information (PSSI) et à désigner un délégué à la protection des données (DPO) si elles traitent des données personnelles à grande échelle. Ces démarches ne sont pas seulement des obligations légales : elles structurent la réponse à incident et limitent la responsabilité en cas de violation.
Pour les particuliers victimes d'une escroquerie en ligne, la démarche prioritaire reste le signalement sur signal-spam.fr pour les emails frauduleux et sur pharos.interieur.gouv.fr pour les contenus illicites en ligne. Ces plateformes alimentent directement les bases de données des services d'enquête spécialisés et contribuent à identifier les auteurs d'attaques sérielles.
La cybercriminalité ne connaît pas de frontières, mais le droit français offre des outils réels pour se défendre. Agir vite, documenter les preuves et solliciter les bons interlocuteurs transforme une situation de vulnérabilité en procédure structurée. La passivité, elle, profite uniquement aux auteurs d'infractions.
