Compte Uber piraté : des courses et des commandes que vous n’avez pas passées

↑ Ce conseil fait partie du guide : Comptes en ligne piratés

Mon compte Uber est piraté, que faire ?

Ouvrez l’onglet Activité de l’application : si la course inconnue y figure, le compte a été pris. Changez le mot de passe, chassez l’intrus, puis appelez la banque pour contester le débit. Si aucune course n’apparaît nulle part, c’est le numéro de carte qui a servi ailleurs : opposition le jour même.

1. Ouvrir l’onglet Activité et photographier la course inconnue.
2. Changer le mot de passe de la boîte mail d’abord.
3. Changer celui d’Uber, puis déconnecter les appareils.
4. Retirer la carte enregistrée du compte.
5. Appeler la banque : opposition, puis contestation écrite.

Ce que dit le libellé sur le relevé

On l’apprend de trois façons, et elles ne disent pas la même chose. Par le reçu envoyé par courriel après chaque course : le signal le plus rapide, mais il ne vous parvient que si l’adresse e-mail du compte est encore la vôtre. Par une notification — « votre chauffeur arrive » à deux heures du matin : la session de l’intrus et la vôtre coexistent, et vous avez quelques minutes pour agir. Ou par la seule ligne du relevé bancaire, ce qui est le cas le plus fréquent quand l’intrus a changé l’adresse du compte : les reçus partent chez lui, et votre banque devient le dernier endroit où la fraude reste visible.

Les libellés valent la peine d’être lus, parce qu’ils trompent. Une course apparaît le plus souvent en UBER *TRIP suivi de help.uber.com, une commande de repas en UBER *EATS, et la société qui facture est Uber BV, établie à Amsterdam. Beaucoup d’appels commencent par « il y a un prélèvement des Pays-Bas sur mon compte » : cette mention étrangère est normale, ce n’est pas la preuve d’une fraude. Le montant, lui, parle : une commande livrée à l’autre bout de la France tourne autour de 40 à 90 €.

La course est-elle dans votre historique ? Le test qui sépare deux affaires

Ouvrez l’application depuis son icône, ou tapez uber.com à la main dans le navigateur ; jamais depuis un lien reçu par SMS. Puis l’onglet Activité (les commandes de repas sont dans l’onglet Commandes de l’application Uber Eats). Trois réponses, trois suites différentes.

La course y est, avec son trajet, son heure et son chauffeur : quelqu’un s’est connecté avec vos identifiants. Faites une capture d’écran du reçu avant de toucher à quoi que ce soit : c’est la pièce que la banque et le dépôt de plainte réclameront. Pour une commande de repas, le détail affiche l’adresse de livraison — souvent une ville où vous n’êtes jamais allé, et c’est la preuve la plus nette qu’on puisse produire.

Rien n’apparaît, ni dans l’activité ni dans les commandes, alors que le débit est bien sur le relevé : votre compte n’a probablement rien. Le numéro de carte a servi sur un autre compte Uber, ouvert par quelqu’un d’autre avec vos seules coordonnées bancaires. Le service client vous répondra — à juste titre — qu’aucune opération de ce type ne figure chez vous. C’est un dossier de carte bancaire, pas de compte : la banque d’abord, et la fiche comment savoir si sa carte bancaire est piratée détaille les signes.

L’application ne s’ouvre plus du tout : l’intrus a changé le numéro ou l’adresse e-mail. Cette situation a sa propre section plus bas.

Cinq débits qui ne sont pas des fraudes

Sur dix appels pour un « débit Uber inconnu », il y en a au moins trois où rien de grave ne s’est produit. Vérifiez ces cinq-là avant de faire opposition, parce qu’une opposition inutile vous prive de carte une dizaine de jours.

1. L’autorisation temporaire. À la commande, Uber fait réserver un montant — souvent 1 €, parfois le prix estimé. Ce n’est pas un débit : la ligne disparaît d’elle-même en quelques jours. Elle apparaît aussi quand vous enregistrez une nouvelle carte.
2. Les frais d’annulation. Quelques euros, prélevés quand la course est annulée après que le chauffeur a accepté et s’est mis en route.
3. Les frais de nettoyage. Un chauffeur peut les réclamer après la course, photos à l’appui : le débit tombe plusieurs jours plus tard, à une date qui ne correspond à aucun trajet. C’est le faux positif le plus déroutant.
4. Un proche. Un adolescent qui a l’application sur son téléphone, un profil partagé : la course est réelle, simplement elle n’est pas de vous.
5. L’abonnement Uber One, prélevé chaque mois, souscrit pendant un essai gratuit qu’on a oublié de résilier. Un même montant tous les mois à la même date n’est pas une fraude.

Si aucune de ces cinq explications ne tient, c’est bien une intrusion.

Reprendre le compte, dans l’ordre

L’ordre compte plus que la vitesse. Changer le mot de passe Uber en premier, alors que la boîte mail est encore ouverte à l’intrus, ne sert à rien : il demande une réinitialisation et reprend la main en deux minutes. Six gestes :

1. La boîte mail d’abord. Nouveau mot de passe, double authentification, et un coup d’œil aux règles de transfert automatique. Si elle est prise elle aussi, commencez par récupérer le compte Gmail.
2. Le mot de passe Uber, long et jamais réutilisé ailleurs. Il se change depuis les Paramètres du compte, rubrique sécurité ou confidentialité selon la version de l’application.
3. L’adresse e-mail et le numéro de téléphone du compte. C’est la première chose qu’un intrus modifie, pour intercepter les codes. S’ils ne sont plus les vôtres, remettez-les.
4. La vérification en deux étapes, si elle n’est pas active. Un code demandé à la connexion rend le mot de passe volé inutilisable : c’est le seul réglage qui ferme vraiment la porte, et la double authentification expliquée montre comment la poser ailleurs.
5. Le moyen de paiement : retirez la carte, ou remplacez-la par Apple Pay ou Google Pay, qui transmettent un jeton propre à l’appareil et non le numéro de la carte.
6. Les adresses enregistrées — domicile, travail, celles des commandes. Rien à voir avec l’argent, mais ce sont vos adresses réelles, et elles ont été lues.

Écrire à Uber sans pouvoir se connecter

La connexion repose sur un code reçu par SMS au numéro du compte. Si l’intrus a mis le sien, le code part chez lui et l’écran de connexion devient un mur. Essayez d’abord le chemin de l’adresse e-mail : les deux identifiants existent en parallèle, et il arrive qu’un intrus n’en change qu’un.

Si les deux sont perdus, il reste la voie que presque personne n’utilise : help.uber.com fonctionne sans être connecté. La rubrique consacrée au compte piraté ouvre un formulaire qui n’exige pas d’ouvrir une session. Préparez ceci avant d’écrire, car c’est ce qu’on vous demandera pour prouver que le compte est le vôtre :

• le numéro de téléphone et l’adresse e-mail d’origine du compte ;
• la date de la dernière course que vous reconnaissez, et son trajet ;
• les quatre derniers chiffres de la carte enregistrée ;
• la liste des courses contestées, dates et montants, telle qu’elle figure sur le relevé.

La réponse arrive par courriel, en quelques heures à quelques jours. Le premier effet obtenu est en général le blocage du compte — ce qui arrête l’hémorragie même si l’accès ne vous est pas rendu tout de suite. Ne restez pas suspendu à cette réponse : la démarche bancaire se lance en parallèle, pas après.

Le côté banque : opposition, contestation, et les 13 mois

C’est de ce côté que l’argent revient, pas du côté d’Uber. Deux démarches, que les conseillers eux-mêmes mélangent parfois au téléphone : l’opposition ferme la carte pour l’avenir, la contestation est la demande écrite de remboursement des opérations non autorisées — liste des débits, dates, montants, captures d’écran. Faites les deux le même jour, dans cet ordre.

Ce que vous faites	Effet réel	Délai
Opposition sur la carte	Ferme la carte ; aucun débit déjà passé n’est annulé	Immédiat, par téléphone ou dans l’application bancaire
Contestation écrite des opérations	C’est elle qui rend l’argent	13 mois à compter de la date du débit
Remboursement par la banque	Le compte est remis dans l’état où il aurait été	Au plus tard la fin du premier jour ouvrable suivant le signalement
Signalement sur Perceval	Récépissé accepté comme preuve ; ne remplace pas la contestation	Quand vous avez toujours la carte en main

Deux règles font basculer les discussions difficiles. La franchise de 50 € ne s’applique qu’aux paiements effectués avec une carte perdue ou volée physiquement avant l’opposition : ici la carte est dans votre portefeuille, il n’y a aucune franchise. Et une course payée sur carte enregistrée part sans authentification forte — ni code 3-D Secure, ni validation dans l’application bancaire ; une opération que la banque n’a pas fait authentifier ne peut pas vous être imputée au motif que vous auriez été négligent. Dites-le, calmement, dans votre courrier.

Si la banque refuse malgré tout : réclamation écrite au service clientèle, puis saisine gratuite du médiateur — le détail est dans saisir le médiateur bancaire. Et se faire rembourser par sa banque après une arnaque reprend les textes à citer.

Uber Cash, cartes cadeaux, Uber One : ce que la banque ne rend pas

Une part du préjudice échappe à toute contestation bancaire : tout ce qui a été payé autrement que par carte.

• Le solde Uber Cash consommé n’est pas une opération par carte : il n’y a rien à contester à la banque. Seul Uber peut le recréditer, et il le fait rarement.
• Un code de carte cadeau appliqué sur un autre compte est perdu : le crédit suit le compte, pas l’acheteur.
• Uber One souscrit par l’intrus, en revanche, est bien un prélèvement sur la carte : résiliez, et contestez les échéances déjà passées.

Ce qui ne sert à rien, et ce qui aggrave

• Désinstaller puis réinstaller l’application. Le compte vit sur les serveurs d’Uber, pas dans votre téléphone.
• S’en prendre au chauffeur ou au livreur. Il a travaillé, il a été payé, il n’a rien vu d’anormal. Une note d’une étoile ne rend pas un euro et sanctionne quelqu’un qui n’y est pour rien.
• Répondre au SMS « activité suspecte sur votre compte Uber » qui contient un lien. C’est très souvent par là que tout a commencé : la page imite l’écran de connexion et sert à récolter le code reçu par SMS. Un service ne demande jamais son propre code de vérification.
• Attendre « que ça se régularise ». Rien ne se régularise seul, et les délais, eux, courent.

Par où ils sont entrés, et les réglages qui ferment la porte

Dans la quasi-totalité des cas vus à l’atelier, il n’y a eu aucune faille chez Uber. Le mot de passe du compte était le même que celui d’un forum ou d’une boutique en ligne, et il traîne dans une fuite publique depuis des années. Des robots essaient les couples adresse / mot de passe des fuites sur tous les grands services : c’est mécanique, ça ne coûte presque rien, et ça marche assez souvent. Tapez votre adresse sur haveibeenpwned.com ; la fiche mots de passe fuités explique quoi en faire.

Les deux autres portes d’entrée : un code de vérification donné au téléphone à quelqu’un qui se présentait comme le support, et une boîte mail prise d’abord, qui permet de réinitialiser tout le reste — voir comment les pirates trouvent les mots de passe.

Ce qui referme durablement : un mot de passe unique tenu par un gestionnaire de mots de passe, la vérification en deux étapes active, et aucune carte enregistrée là où ce n’est pas indispensable. Le raisonnement vaut pour les autres comptes marchands : une commande Amazon que vous n’avez pas passée se traite de la même façon, et le compte PayPal piraté a ses propres pièges. Si vous préférez ne pas faire ces vérifications seul, un rendez-vous d’assistance à distance suffit à passer en revue le compte, la boîte mail et l’appareil ; les montants sont sur la page tarifs.

Questions fréquentes

Uber rembourse-t-il une course que je n’ai pas faite ?

Parfois, à titre commercial, quand le dossier est net et signalé vite. Mais ne construisez pas votre démarche là-dessus : le recours qui existe vraiment est la contestation du paiement auprès de votre banque.

Un débit Uber sur mon relevé mais aucune course dans mon historique : que s’est-il passé ?

Votre compte n’a probablement pas été touché. Le numéro de carte a servi sur un autre compte Uber, ouvert par quelqu’un d’autre. C’est la banque qu’il faut appeler : opposition, puis contestation écrite du débit.

Comment joindre Uber quand on n’arrive plus à se connecter ?

Par help.uber.com, qui fonctionne sans session ouverte : la rubrique consacrée au compte piraté ouvre un formulaire. Les pièces à réunir sont listées plus haut.

Faut-il porter plainte pour une course frauduleuse ?

Oui quand le compte lui-même a été pris : il s’agit d’un accès frauduleux à un système de traitement automatisé de données. Si la fraude se limite au numéro de carte, le signalement sur Perceval suffit dans la plupart des cas ; il délivre un récépissé que la banque accepte comme preuve.

Le chauffeur peut-il être complice ?

C’est très rare, et ce n’est pas votre sujet. Il a reçu une demande de course ordinaire depuis un compte authentifié ; il n’a aucun moyen de savoir qui tient le téléphone. Signalez la course à Uber et gardez votre énergie pour la banque.

Sources

• Cybermalveillance.gouv.fr — Piratage de compte en ligne (la marche à suivre officielle).
• Service-public.fr — Carte de paiement : vos droits (contestation, délai de 13 mois, franchise de 50 €).
• Service-public.fr — Signaler une fraude à la carte bancaire (Perceval).
• 17Cyber (l’assistance en ligne des forces de l’ordre, gratuite).

À lire aussi : compte Leboncoin piraté · carte bancaire piratée : comment le savoir · le guide compte piraté.