Le scénario ne varie guère d'un mail à l'autre. Un inconnu se présente comme un pirate informatique, prétend avoir pris le contrôle de votre ordinateur pendant la consultation d'un site pornographique et dit détenir des vidéos de vous filmées par la webcam. Il menace de les envoyer à vos contacts, personnels comme professionnels, si vous ne lui versez pas une rançon, réclamée le plus souvent en bitcoins. C'est le portrait qu'en dresse Cybermalveillance.gouv.fr, le dispositif public d'aide aux victimes, qui parle de « chantage à l'ordinateur ou à la webcam prétendus piratés ».

Or ce même dispositif est formel : aucune mise à exécution de ces menaces n'a été démontrée jusqu'à présent. Le mail part en masse, vers des listes entières d'adresses, sans la moindre image derrière. Quant au mot de passe qu'il cite, il n'a très probablement pas été volé sur votre ordinateur : il sort d'une fuite de données, l'une de ces bases clients dérobées à un site, qui circulent ensuite entre escrocs. Nous allons voir comment il a pu atterrir dans ce message.
 

Une fuite de données, c'est la base clients d'un site copiée par un intrus, avec les adresses mail et, parfois, les mots de passe qui allaient avec. L'escroc qui récupère une telle base n'a rien à savoir de vous : il associe chaque adresse à son mot de passe et colle les deux dans un modèle de menace. Le mail vous semble personnel parce qu'il contient un secret, alors qu'il a été fabriqué à la chaîne.

D'ailleurs, je vous invite à regarder de près le mot de passe cité. Il est souvent ancien, hérité d'un compte ouvert sur un site oublié depuis. Un espion installé dans votre ordinateur citerait votre mot de passe actuel, pas celui d'un vieux compte. Si vous vous en servez encore, le vrai danger n'a rien à voir avec une vidéo : ce mot de passe peut ouvrir votre messagerie, qui sert elle-même à réinitialiser la plupart de vos autres accès.

L'escroc écrit aussi parfois depuis votre propre adresse, et c'est le détail qui affole le plus. Sauf que le nom de l'expéditeur se remplit comme le dos d'une enveloppe : n'importe qui peut y inscrire l'adresse de son choix, sans entrer dans votre messagerie. Votre boîte n'a donc pas changé de mains pour autant.
 

Ces mails se nourrissent d'un stock qui ne cesse de grossir, celui de nos adresses volées. Le rapport d'activité de Cybermalveillance.gouv.fr, publié le 26 mars 2026, a mesuré en 2025 un bond de 107 % des demandes d'assistance concernant les violations de données, tous publics confondus. Chaque base dérobée devient une liste de cibles, et le chantage à la webcam puise dans ces listes comme les autres arnaques.

Certaines fuites donnent encore plus de prise à ce chantage. Le vendredi 30 octobre, une fuite de données a été revendiquée chez MySexShop.fr, une boutique française en ligne de produits pour adultes. Le pirate, qui signe ChimeraZ, affirme avoir récupéré les données de 16 338 personnes, un chiffre qui correspond en réalité à des adresses IP selon le site spécialisé Cyberattaque.org. Pour les clients concernés, un mail de menace qui citerait leur adresse aurait de quoi paraître crédible, alors qu'il ne prouverait pas davantage l'existence d'une vidéo.
 

Le premier geste consiste à ne rien faire, et surtout pas à répondre. Une réponse, même pour insulter l'escroc, lui confirme que votre adresse est valide et que son message vous a touché. Pas question non plus de payer, même avec un doute, puisqu'un versement ne ferait qu'alimenter ce système. Le mail, lui, se garde, avec une capture d'écran : ce sont vos preuves pour un signalement ou une plainte.

Vient ensuite le mot de passe cité, à changer sur chaque compte où il sert encore, en commençant par la messagerie, et à remplacer par un mot de passe solide, différent pour chaque site. Le site gratuit Have I Been Pwned permet de vérifier en quelques secondes si votre adresse figure dans une fuite connue, et sur quel site : de quoi retrouver le compte d'où vient le mot de passe. Les fuites classées sensibles, comme celles de sites pour adultes, n'y apparaissent toutefois qu'une fois votre adresse confirmée, en cliquant sur le lien que le site vous envoie par mail. La double authentification, qui réclame un code reçu sur votre téléphone en plus du mot de passe, ferme alors la porte que la fuite avait entrouverte.

Le dispositif public recommande enfin de déposer plainte au commissariat, à la gendarmerie ou auprès du procureur de la République, et de contacter votre banque si vous avez déjà payé, pour tenter de faire annuler la transaction. La fiche réflexe de Cybermalveillance.gouv.fr sur le chantage à l'ordinateur ou à la webcam prétendus piratés rappelle que l'extorsion est punie de sept ans d'emprisonnement et de 100 000 euros d'amende. L'escroc risque donc bien plus que vous (en théorie...), et la vidéo dont il vous menace n'existe que dans le texte qu'il a envoyé en masse.