#Avocat cybercriminalité à Paris

L'essentiel

• La cybercriminalité recouvre les atteintes aux systèmes informatiques, l'escroquerie en ligne, l'usurpation d'identité et la collecte déloyale de données.
• L'accès frauduleux à un système est puni de 3 ans d'emprisonnement et de 100 000 € d'amende (article 323-1 du Code pénal).
• Victime professionnelle assurée : la plainte doit être déposée sous 72 heures pour préserver l'indemnisation (article L. 12-10-1 du Code des assurances).
• Conservez les preuves avant toute réinstallation : journaux, messages, captures d'écran, relevés.
• Les délits se prescrivent en principe par six ans à compter des faits (article 8 du Code de procédure pénale) : vous avez le temps d'agir, mais les preuves, elles, disparaissent vite.
• L'identification des auteurs relève des services d'enquête ; l'avocat structure la plainte et vos demandes d'indemnisation.

Un avocat en cybercriminalité assiste les victimes d'infractions numériques : piratage, rançongiciel, phishing, usurpation d'identité, cyberharcèlement, fraude au virement. Il qualifie pénalement les faits, organise la plainte, préserve vos droits à indemnisation et vous conseille sur la stratégie procédurale ; selon la nature des faits, plusieurs démarches peuvent être envisagées, auprès de la banque, de l'assureur, de la CNIL ou des autorités judiciaires. Hashtag Avocats accompagne à Paris les entreprises et les particuliers confrontés à ces attaques, en coordination avec les autorités chargées de l'enquête.

Besoin d'un avis rapide ? Appelez le cabinet au 01 85 73 56 66 ou écrivez-nous. Pour la prévention et la conformité (contrats, RGPD, NIS2), consultez la page de notre avocat cybersécurité en entreprise.

Quelles infractions relèvent de la cybercriminalité ?

Les atteintes aux systèmes de traitement automatisé de données

Le Code pénal réprime les atteintes aux systèmes de traitement automatisé de données (STAD) aux articles 323-1 et suivants. L'accès ou le maintien frauduleux dans un système est puni de 3 ans d'emprisonnement et de 100 000 € d'amende. Les peines montent à 5 ans et 150 000 € en cas de suppression ou de modification de données, ou d'altération du système.

L'entrave au fonctionnement d'un système – qualification usuelle du rançongiciel ou de l'attaque par déni de service – est punie de 5 ans et de 150 000 € (article 323-2). L'extraction ou la transmission frauduleuse de données, typique des vols de fichiers, encourt les mêmes peines (article 323-3). En bande organisée, la répression atteint 10 ans et 300 000 € (article 323-4-1). La tentative est punie des mêmes peines (article 323-7).

Les peines montent à 7 ans et 300 000 € lorsque l'attaque vise un système de données personnelles mis en œuvre par l'État (articles 323-1 à 323-3). La Cour de cassation sanctionne aussi le simple maintien dans un système : la personne entrée à la faveur d'une défaillance technique commet l'infraction si elle y reste après avoir découvert qu'il était protégé (Cass. crim., 20 mai 2015, n° 14-81.336, publié au Bulletin).

L'escroquerie en ligne

Phishing suivi de virements, fraude au faux conseiller bancaire, faux ordres de virement : ces manœuvres relèvent le plus souvent de l'escroquerie (article 313-1 du Code pénal). Elle est punie de 5 ans d'emprisonnement et de 375 000 € d'amende, portés à 10 ans et 1 000 000 € en bande organisée (article 313-2). La victime d'un paiement frauduleux dispose aussi de recours contre sa banque : la Cour de cassation a approuvé une cour d'appel qui avait écarté la négligence grave d'un client ayant validé une opération lors d'un appel usurpant le numéro de sa conseillère (spoofing) (Cass. com., 23 octobre 2024, n° 23-16.267). Notre analyse de cette décision est disponible dans notre article sur le remboursement des victimes de spoofing.

Usurpation d'identité et collecte déloyale de données

L'usurpation d'identité en ligne est punie d'1 an d'emprisonnement et de 15 000 € d'amende (article 226-4-1 du Code pénal). La collecte de données personnelles par un moyen frauduleux, déloyal ou illicite – volet pénal des atteintes aux données – encourt 5 ans et 300 000 € (article 226-18). Ces qualifications se cumulent fréquemment avec les précédentes dans un même dossier.

Victime d'une infraction cyber : le parcours pas à pas

Préserver les preuves

Avant toute remise en état, conservez les éléments qui documentent l'attaque : journaux de connexion, courriels frauduleux avec leurs en-têtes, captures d'écran, relevés bancaires, échanges avec l'auteur présumé. Une réinstallation précipitée détruit des traces utiles à l'enquête et à vos recours civils. Les constats et sauvegardes se décident en lien avec les experts techniques.

Déposer plainte

La plainte se dépose au commissariat, en gendarmerie ou par courrier au procureur de la République. Pour certaines fraudes, la plateforme THESEE permet une plainte en ligne. Si vous êtes un professionnel assuré contre le risque cyber, le délai est déterminant : l'article L. 12-10-1 du Code des assurances subordonne l'indemnisation à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte. Cette condition ne s'applique pas aux particuliers hors activité professionnelle. Nous rédigeons des plaintes circonstanciées, avec qualification pénale et pièces organisées, pour donner à l'enquête une base exploitable.

La plainte en ligne THESEE est réservée aux particuliers majeurs et à certaines arnaques sur internet ; une entreprise dépose plainte au commissariat ou en gendarmerie. Les policiers et gendarmes sont tenus de recevoir votre plainte, même si leur service n'est pas territorialement compétent, et doivent vous remettre un récépissé (article 15-3 du Code de procédure pénale).

Signaler l'attaque

Le signalement complète la plainte sans la remplacer. Les contenus illicites se signalent sur la plateforme Pharos. Le dispositif Cybermalveillance.gouv.fr publie des fiches réflexes et oriente les victimes vers des prestataires référencés. Ces démarches alimentent la connaissance des attaques par les autorités, même quand l'auteur reste inconnu.

Notifier la CNIL si des données personnelles sont touchées

Une entreprise victime peut être elle-même débitrice d'obligations. Si l'attaque a compromis des données personnelles et qu'un risque existe pour les personnes, la notification à la CNIL s'impose sous 72 heures (article 33 du RGPD). Notre page avocat violation de données personnelles détaille cette procédure et ses seuils.

Obtenir réparation

La constitution de partie civile permet de demander réparation devant le juge pénal. Une action civile séparée reste possible, notamment contre des intervenants dont la défaillance a permis ou aggravé le dommage. L'indemnisation suppose de démontrer un préjudice et un lien de causalité : chaque situation est particulière. Les recours d'une entreprise contre son prestataire, son sous-traitant ou son assureur sont présentés sur notre page avocat contentieux cyber.

Si le procureur classe l'affaire ou ne répond pas dans les trois mois suivant votre plainte, vous pouvez porter plainte avec constitution de partie civile devant le juge d'instruction (article 85 du Code de procédure pénale). Pour un délit, l'action publique se prescrit par six ans à compter des faits ; lorsque l'infraction a été dissimulée, ce délai court de sa découverte, dans la limite de douze ans après les faits (articles 8 et 9-1 du même code).

Les pièces à rassembler avant le rendez-vous

Un dossier bien préparé fait gagner du temps à l'avocat comme aux enquêteurs. Rassemblez, sans les modifier :

• la date et l'heure à laquelle vous avez découvert l'attaque ;
• les courriels, SMS et messages frauduleux, conservés tels quels (ne les supprimez pas) ;
• des captures d'écran datées, avec l'adresse des pages ou des profils en cause ;
• vos relevés bancaires et les références des opérations contestées, dont l'IBAN du bénéficiaire ;
• vos échanges avec l'auteur présumé, la banque ou la plateforme ;
• pour une entreprise : journaux de connexion, rapport de l'expert technique, contrat d'assurance et échanges avec l'assureur ;
• le récépissé de plainte ou de signalement, si vous avez déjà fait ces démarches.

Ne réinstallez pas vos appareils avant d'avoir porté plainte : Cybermalveillance.gouv.fr recommande de conserver les traces de l'attaque pour l'enquête.

Mis en cause dans un dossier cyber

Le cabinet intervient également auprès de personnes mises en cause dans des procédures liées à des infractions numériques. Cette assistance recouvre l'analyse des qualifications retenues, la préparation des auditions et la discussion des éléments techniques du dossier. Là encore, chaque situation appelle une analyse individuelle.

Le rôle de l'avocat, celui des enquêteurs

L'identification et l'interpellation des auteurs relèvent des services d'enquête et de l'autorité judiciaire, pas de l'avocat. Un cabinet ne peut promettre ni identification, ni récupération des fonds ou des données. Notre rôle : qualifier les faits, bâtir un dossier probatoire solide, saisir les bons interlocuteurs, suivre la procédure et porter vos demandes d'indemnisation. L'investigation technique, elle, revient à des experts spécialisés indépendants, distincts de l'équipe juridique.

FAQ : avocat cybercriminalité

Faut-il porter plainte après une cyberattaque ?

Oui, dans la quasi-totalité des cas. La plainte déclenche l'enquête, documente officiellement les faits et conditionne l'indemnisation d'assurance des professionnels (article L. 12-10-1 du Code des assurances). L'ANSSI recommande de déposer plainte avant la réinstallation des systèmes, pour préserver les preuves.

Dans quel délai faut-il agir ?

Le plus tôt possible. Pour les professionnels assurés, la plainte doit intervenir au plus tard 72 heures après la connaissance de l'atteinte, sous peine de perdre l'indemnité d'assurance. Si des données personnelles sont compromises avec un risque pour les personnes, la notification CNIL obéit au même horizon de 72 heures, avec un objet et un destinataire distincts. Côté pénal, l'action publique des délits se prescrit en principe par six ans à compter des faits (article 8 du Code de procédure pénale).

Peut-on identifier l'auteur d'une cyberattaque ?

Parfois, mais aucun professionnel ne peut le garantir. L'identification mobilise des moyens d'enquête réservés aux autorités : réquisitions, coopération internationale, exploitation des traces. Une plainte bien construite augmente les chances d'aboutir. En parallèle, des recours civils existent contre des acteurs identifiés, comme une banque en cas de paiement frauduleux.

Que risque l'auteur d'une infraction cyber ?

Les peines dépendent de l’infraction. L’accès ou le maintien frauduleux dans un système informatique est puni de 3 ans d’emprisonnement et de 100 000 € d’amende, et de 5 ans et 150 000 € en cas de suppression ou de modification de données (article 323-1 du Code pénal). L’escroquerie, fréquente dans les fraudes en ligne, est punie de 5 ans et de 375 000 € (article 313-1), et jusqu’à 10 ans et 1 000 000 € en bande organisée (article 313-2).

La police peut-elle refuser ma plainte ?

Non. Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes des victimes, y compris lorsque leur service n'est pas territorialement compétent, et doivent remettre un récépissé (article 15-3 du Code de procédure pénale). Vous pouvez aussi écrire directement au procureur de la République.

Que faire si ma plainte est classée sans suite ?

Vous pouvez porter plainte avec constitution de partie civile devant le juge d'instruction, après un classement sans suite ou trois mois sans réponse du procureur (article 85 du Code de procédure pénale). Cette voie oblige en principe à l'ouverture d'une information judiciaire. L'avocat vérifie au préalable la recevabilité et la consignation éventuelle.

Combien coûte un avocat en cybercriminalité ?

Les honoraires sont fixés dans une convention écrite, signée avant toute intervention : forfait pour une plainte, forfait ou temps passé pour le suivi de la procédure et la constitution de partie civile. Ils dépendent de la complexité du dossier. Nos modes d'intervention sont présentés sur notre page tarifs. Si vous avez une assurance de protection juridique, vérifiez si elle couvre ce type de litige.

Les peines varient selon la qualification : 3 ans et 100 000 € pour l'accès frauduleux (article 323-1), 5 ans et 150 000 € pour l'entrave au système ou l'extraction de données (articles 323-2 et 323-3), 5 ans et 375 000 € pour l'escroquerie (article 313-1). La bande organisée aggrave lourdement ces peines.

Sources officielles

• Articles 323-1 et suivants du Code pénal (atteintes aux STAD) : Légifrance
• Article 313-1 du Code pénal (escroquerie) : Légifrance
• Article 226-4-1 du Code pénal (usurpation d'identité) : Légifrance
• Article 226-18 du Code pénal (collecte déloyale de données) : Légifrance
• Article L. 12-10-1 du Code des assurances (plainte sous 72 heures) : Légifrance
• Cass. com., 23 octobre 2024, n° 23-16.267, publié au bulletin : Légifrance
• Fiche réflexe rançongiciels : Cybermalveillance.gouv.fr
• Guide « Attaques par rançongiciels, tous concernés » (ANSSI-DACG) : messervices.cyber.gouv.fr
• Article 323-4-1 du Code pénal (bande organisée) : Légifrance
• Article 15-3 du Code de procédure pénale (réception des plaintes) : Légifrance
• Article 85 du Code de procédure pénale (plainte avec constitution de partie civile) : Légifrance
• Articles 8 et 9-1 du Code de procédure pénale (prescription des délits) : Légifrance
• Cass. crim., 20 mai 2015, n° 14-81.336, publié au Bulletin : Légifrance
• Plainte en ligne THESEE (arnaques sur internet) : ministère de l'Intérieur

État du droit en vigueur au 1er octobre 2026. Ce contenu présente une information générale et ne constitue pas une consultation juridique. Chaque situation est particulière : contactez notre équipe pour exposer votre situation.