Commande Amazon que je n'ai pas passée : compte piraté ou carte volée ?

↑ Ce conseil fait partie du guide : Comptes en ligne piratés

Une commande Amazon que je n'ai pas passée, que faire ?

Ouvrez « Vos commandes » et regardez si la commande figure bien sur votre compte. Si elle y est, le compte a été pris : changez le mot de passe, déconnectez les appareils, contactez Amazon. Si aucune commande n'apparaît, c'est le numéro de carte bancaire qui a servi ailleurs : appelez votre banque le jour même.

1. Ouvrir « Vos commandes », commandes archivées comprises.
2. Photographier l'écran avant de toucher à quoi que ce soit.
3. Changer le mot de passe de la boîte mail, puis celui d'Amazon.
4. Vérifier adresses, moyens de paiement et abonnements.
5. Contacter Amazon, puis la banque pour contester le débit.

Compte piraté ou carte volée : le tri en trois minutes

Les deux situations arrivent avec le même symptôme — de l'argent parti chez Amazon sans vous — et elles n'appellent pas du tout les mêmes gestes. C'est le tri le plus utile de cette page. Ouvrez l'application Amazon, ou tapez amazon.fr à la main dans le navigateur, jamais depuis un lien reçu. Puis allez dans Vos commandes. Trois réponses possibles, trois suites différentes :

• La commande est là. Quelqu'un est entré dans votre compte : le mot de passe est connu. On traite l'affaire comme une intrusion complète — boîte mail, mot de passe, appareils, adresses.
• Aucune commande, mais un débit Amazon sur le relevé. Votre compte n'a rien. Le numéro de carte a été utilisé sur un autre compte Amazon, ouvert par quelqu'un d'autre : le service client ne pourra rien vous montrer. C'est un dossier bancaire, pas un dossier de compte piraté.
• Ni commande ni débit, seulement un message. C'est un faux mail ou un faux SMS. Rien à annuler, et surtout aucun numéro à rappeler.

Un détail qui fait paniquer pour rien : Amazon débite à l'expédition, colis par colis. Une commande de 240 € partie en trois envois sort en trois lignes de 80 €, à des dates différentes, parfois avec des libellés différents. Trois débits inconnus ne font pas trois fraudes. Avant de crier au piratage, additionnez.

Retrouver la commande, même archivée

La page Vos commandes ne montre pas tout par défaut, et c'est là que la vérification s'arrête trop tôt. Trois endroits à ouvrir :

1. Le filtre par période. Le menu déroulant en haut de la liste propose les trois derniers mois, puis chaque année. Une commande de janvier n'apparaît pas par défaut.
2. Les commandes archivées. Archiver une commande la fait disparaître de la liste principale — c'est exactement ce que fait quelqu'un qui veut gagner quelques jours. Le même menu contient l'entrée Commandes archivées.
3. Les achats numériques. Livres, applications, films ne figurent pas avec les colis, mais dans Gérer le contenu et les appareils.

Ouvrez ensuite Vos adresses. Une adresse de livraison inconnue — souvent un point relais, dans une ville où vous n'avez jamais rien fait livrer — est la preuve la plus nette qui existe. Faites-en une capture d'écran avant de la supprimer.

Quand ce n'est pas un piratage : trois cas fréquents

Autant le dire tout de suite : une bonne partie des commandes « inconnues » qu'on m'apporte au téléphone ne sont pas des fraudes. Deux minutes de vérification évitent une opposition inutile et une carte bloquée pendant huit jours.

• Quelqu'un de la maison. Conjoint, enfant, parent sur le même compte : le nom du destinataire affiché sur la commande tranche en une seconde.
• Une livraison récurrente. L'option « Prévoyez et Économisez » souscrite il y a des mois sur du café ou des croquettes se déclenche toute seule, à date fixe. Elle se retrouve dans Vos abonnements.
• Un achat passé depuis un appareil. Libellé Amazon Digital : un jeu acheté sur une tablette, un livre sur une liseuse, une commande passée à la voix sur une enceinte. Le réglage d'achat vocal et le contrôle parental se coupent en deux minutes ; la fiche enfants et jeux en ligne détaille où ça se règle.

Reprendre le compte, dans l'ordre

L'ordre n'est pas décoratif. Changer le mot de passe Amazon avant celui de la boîte mail, c'est laisser à l'autre la possibilité de relancer un « mot de passe oublié » dix minutes plus tard. La boîte mail commande tout le reste.

1. La boîte mail d'abord. Nouveau mot de passe, unique, déconnexion de toutes les sessions, puis contrôle des règles et des filtres. Un filtre qui envoie à la corbeille les messages contenant « Amazon » est le signe le plus net d'un compte encore tenu : c'est comme ça que les confirmations de commande ne vous parviennent jamais. La fiche compte Gmail piraté montre où se trouvent ces réglages.
2. Le mot de passe Amazon. Votre compte → Connexion et sécurité. Changez-le, et acceptez la déconnexion des autres appareils quand elle est proposée.
3. Les quatre réglages à recontrôler. L'adresse mail de connexion, le numéro de téléphone, Vos adresses et Vos moyens de paiement. Tant qu'une adresse mail de secours inconnue reste enregistrée, le compte reste récupérable par l'autre.
4. La vérification en deux étapes, toujours dans Connexion et sécurité : c'est elle qui rend un mot de passe volé inutilisable. La fiche double authentification : comment ça marche explique quoi choisir entre le SMS et l'application.
5. Les appareils liés. Gérer le contenu et les appareils, onglet Appareils. Une liseuse, une tablette ou une enceinte enregistrée sur le compte continue d'acheter sans redemander le mot de passe.
6. Le service client Amazon, uniquement depuis le site ou l'application. Signalez la commande, demandez son annulation si elle n'est pas encore expédiée, et notez la référence de la conversation.

Chèques-cadeaux, Prime et abonnements : ce qui part en premier

Un compte marchand n'est pas pris pour ce qu'il contient, mais pour ce qu'il permet d'acheter sans laisser d'adresse. D'où le premier réflexe de celui qui entre : les chèques-cadeaux numériques. Ils s'achètent en trente secondes, partent par courriel, se consomment sur un autre compte et se revendent. Aucun colis à intercepter. Regardez donc dans cet ordre :

• Le solde de chèques-cadeaux et son historique d'utilisation. Un solde qui a fondu, ou des codes envoyés à une adresse mail inconnue, datent précisément l'intrusion.
• Les abonnements : Prime, chaînes vidéo, musique, livres. Souscrire un abonnement est discret et ne déclenche aucune expédition ; on ne s'en aperçoit qu'au prélèvement suivant.
• Les achats numériques, qui ne figurent pas dans la liste des colis.
• Les commandes déjà expédiées. Si le colis est parti, la marchandise ira à une adresse qui n'est pas la vôtre. Ce qui compte alors, c'est la trace écrite et la contestation du paiement.

Le côté banque : opposition, contestation, Perceval

C'est la partie qui ramène vraiment l'argent, et elle se joue en parallèle du dossier Amazon — pas après. Trois démarches distinctes, souvent confondues :

1. L'opposition bloque la carte pour l'avenir, depuis l'application de votre banque ou au numéro figurant sur votre relevé. Elle n'annule aucun débit déjà passé : c'est une porte qu'on ferme, pas un remboursement.
2. La contestation du paiement. C'est elle qui rend l'argent. Un paiement que vous n'avez pas autorisé se conteste par écrit auprès de la banque, qui doit rembourser et remettre le compte dans l'état où il aurait été sans l'opération. Le délai de contestation est de treize mois à compter du débit pour un paiement effectué dans l'Espace économique européen. Ne laissez pas traîner pour autant : un dossier signalé dans la semaine passe sans discussion, un dossier de six mois se discute.
3. Perceval, le téléservice de signalement de fraude à la carte quand vous avez toujours votre carte en main — ce qui est précisément le cas ici. Il se remplit en ligne et délivre un récépissé qui sert de preuve auprès de la banque. Il ne remplace ni l'opposition ni la contestation.

Si l'achat a été réglé en plusieurs fois, écrivez aussi à l'organisme de crédit qui l'a financé. Pour le détail de ce que la banque doit et de ce qu'elle refuse parfois, la fiche se faire rembourser par sa banque après une arnaque reprend les motifs de refus et comment y répondre.

Quant à la plainte, elle s'impose si le compte a été pris : il s'agit alors d'un accès frauduleux à un système de traitement automatisé de données. La fiche porter plainte après un piratage dit quoi emporter pour ne pas y retourner deux fois.

Le faux mail « commande Amazon » et le numéro à rappeler

C'est le scénario inverse, et il est plus fréquent que le vrai piratage. Aucune commande n'a été passée : le message est fabriqué pour vous faire composer un numéro. Le texte tourne toujours autour de la même formule :

« Votre commande n° 402-XXXXXXX-XXXXXXX a été confirmée. Article : smartphone, 1 299,00 €. Si vous n'êtes pas à l'origine de cet achat, contactez immédiatement notre service client au 0X XX XX XX XX. »

Les marqueurs, dans l'ordre où on les repère :

• Un numéro de téléphone dans le corps du message. Le plus fiable de tous. Les vrais messages d'Amazon renvoient vers le site ou l'application, jamais vers un numéro à rappeler.
• Un montant élevé et rond. Il est choisi pour couper la réflexion. Une véritable confirmation de commande porte un prix avec des centimes.
• Une facture en pièce jointe, en PDF ou en image : sans lien dans le message, les filtres antispam n'ont rien à analyser.
• Aucune personnalisation : ni votre nom, ni l'adresse de livraison, ni les quatre derniers chiffres de la carte, alors qu'un vrai message les contient.

Si vous appelez, un faux conseiller très calme vous fait installer un logiciel de prise en main, ouvre votre banque en ligne, vous montre un « remboursement » de 1 299 € saisi par erreur en 12 990 €, et vous demande de rendre la différence.

La règle tient en une ligne : une commande qui n'existe pas dans « Vos commandes » n'existe pas. On vérifie dans l'application, jamais dans le message.

Par où ils sont entrés, et comment fermer

Dans la quasi-totalité des cas qu'on me raconte, il n'y a eu ni faille ni exploit : le mot de passe était connu. Trois chemins, par ordre de fréquence.

• Un mot de passe réutilisé, issu d'une fuite ailleurs. Amazon n'a pas besoin d'avoir été piraté : le couple adresse mail + mot de passe vient d'une boutique ou d'un service oublié, et il est rejoué automatiquement sur des centaines de sites. Vérifiez votre adresse en deux minutes : savoir si mon adresse mail a fuité.
• Un hameçonnage. « Problème de paiement sur votre commande », « votre compte va être suspendu » : la page copiée récolte les identifiants, et la connexion réelle suit dans la minute.
• Une boîte mail déjà prise, le plus discret : on réinitialise le mot de passe Amazon depuis la messagerie, et on efface le message au passage.

Ce qui ferme durablement la porte : un mot de passe différent sur chaque site marchand, la vérification en deux étapes sur Amazon comme sur la boîte mail, et l'habitude de ne jamais ouvrir un compte marchand depuis un lien reçu. Si vos mots de passe se ressemblent tous, la fiche mot de passe volé ou fuité donne l'ordre dans lequel changer les autres comptes.

Si vous préférez que quelqu'un le fasse avec vous, un échange de quinze minutes au téléphone suffit à fixer l'ordre des opérations, et il est gratuit. Pour passer le compte, la boîte mail et les mots de passe en revue à quatre mains, l'assistance à distance démarre à 19 € la demi-heure ; le détail est sur la page tarifs.

Questions fréquentes

Un débit Amazon sur mon relevé mais aucune commande dans mon compte : que s'est-il passé ?

Votre compte n'a probablement pas été touché. Le numéro de carte a été utilisé sur un autre compte Amazon, ouvert par quelqu'un d'autre avec vos seules coordonnées bancaires. Amazon ne peut rien vous montrer, puisque la commande n'est pas chez vous. C'est la banque qu'il faut appeler : opposition sur la carte, puis contestation du débit.

Amazon rembourse-t-il une commande que je n'ai pas passée ?

Parfois, quand la commande n'est pas encore expédiée et qu'elle est annulée à temps. Mais ne comptez pas là-dessus : le recours qui existe vraiment est la contestation du paiement auprès de votre banque, prévue par le code monétaire et financier. Ouvrez les deux démarches en parallèle, pas l'une après l'autre.

Le pirate a acheté des chèques-cadeaux Amazon, peut-on les bloquer ?

Rarement. Un chèque-cadeau numérique part par courriel et se consomme en quelques minutes sur un autre compte. Signalez-le quand même au service client avec le numéro de commande, puis contestez le paiement auprès de la banque : c'est cette voie-là qui aboutit, pas l'annulation du code.

Faut-il porter plainte pour une commande frauduleuse ?

Oui si le compte lui-même a été pris, car il s'agit d'un accès frauduleux à un système de traitement automatisé de données. Pour une fraude limitée au numéro de carte, le signalement sur Perceval suffit dans la plupart des cas : il délivre un récépissé que la banque accepte comme preuve.

Comment savoir si quelqu'un d'autre est connecté à mon compte Amazon ?

Amazon n'affiche pas de journal de connexion comparable à celui de Google. Les indices se lisent ailleurs : une adresse de livraison inconnue, un moyen de paiement ajouté, un appareil inhabituel dans « Gérer le contenu et les appareils », un abonnement souscrit. Le changement de mot de passe déconnecte les autres sessions.

Dois-je supprimer mon compte Amazon après un piratage ?

Non, et c'est même une mauvaise idée tant que le litige est ouvert. La fermeture du compte fait disparaître l'historique des commandes, c'est-à-dire vos preuves, et les achats numériques déjà payés avec. On reprend le compte, on le verrouille, et on garde les captures d'écran.

Sources

• Cybermalveillance.gouv.fr — Piratage de compte en ligne (la marche à suivre officielle et le signalement).
• Service-public.fr — Carte de paiement : vos droits (contestation d'un paiement non autorisé et délais).
• Service-public.fr — Signaler une fraude à la carte bancaire (Perceval).
• 17Cyber (l'assistance en ligne des forces de l'ordre, gratuite).

À lire aussi : compte PayPal piraté · reconnaître une fausse boutique en ligne · le guide compte piraté.