VPN et numéros virtuels : pourquoi celui qui t’attaque n’est pas vraiment invisible

Quand on subit du harcèlement en ligne, une mise au pilori ou une campagne de haine, on entend souvent la même phrase : « De toute façon, on ne me trouvera pas ». Des messages depuis des numéros étrangers, des appels à toute heure, des comptes qui disparaissent et réapparaissent. Parfois, ce sont les agresseurs eux-mêmes qui s’en vantent : « J’utilise un VPN ».

Cet article explique ce que ces technologies cachent vraiment, comment tu peux te protéger et pourquoi une plainte peut aller là où toi, seul(e), tu n’arrives pas.

Pourquoi ils semblent intouchables

Sembler inatteignable fait partie de l’attaque : si tu penses que porter plainte est inutile, celui qui t’attaque a déjà obtenu quelque chose.

Mais « caché pour toi » ne veut pas dire « caché pour tout le monde ». Derrière chaque VPN, numéro virtuel ou compte, il y a une entreprise qui détient des données. Et beaucoup d’entreprises les remettent quand c’est une autorité judiciaire qui les demande.

Ce qu’un VPN cache, et ce qu’il ne cache pas

Un VPN (réseau privé virtuel) est un service qui fait passer la connexion par un serveur intermédiaire. Les sites et les applications voient l’adresse IP de ce serveur, pas la vraie. L’adresse IP est le numéro qui identifie une connexion à internet à un moment donné.

Mais un VPN n’efface pas les traces. Il les déplace :

Le fournisseur du VPN voit la vraie adresse IP de la personne qui se connecte, et peut la conserver si ses règles ne l’excluent pas.
Le paiement par carte ou par compte laisse des données sur celui qui paie.
Les comptes restent des comptes. Les plateformes conservent des données comme le numéro de téléphone, l’e-mail et les adresses IP de connexion. Il suffit d’une connexion faite sans VPN pour que la vraie adresse reste dans leurs registres.
Le téléphone ou l’ordinateur restent les mêmes, et peuvent être saisis.

L’EFF, une organisation de défense des droits numériques, l’écrit sans détour : « un VPN n’est pas un outil d’anonymat ».

Il existe aussi des fournisseurs qui ne conservent vraiment pas de registres des connexions : leur demander ne mène à rien. C’est pourquoi les enquêtes ne s’arrêtent pas au VPN et cherchent les autres traces.

Un exemple italien. Début 2024, la Polizia Postale de Rome a annoncé l’arrestation d’un homme accusé de harceler une ancienne collègue depuis deux mois. Il utilisait un VPN roumain, écrivait depuis une adresse e-mail étrangère anonyme et payait par des canaux étrangers : au début, il n’était pas identifiable. Le tournant est venu quand la femme a signalé un nouvel épisode, un cadeau coûteux livré chez elle. La procédure était alors au stade de l’enquête et l’homme doit être considéré comme innocent jusqu’à une condamnation définitive. Mais le cas montre que le VPN n’a pas suffi.

Numéros virtuels et appels depuis l’étranger

Les appels VoIP passent par internet au lieu du réseau téléphonique classique. Un numéro virtuel est un numéro loué à un service en ligne, qui fonctionne depuis une application et non depuis une carte SIM. On peut avoir un numéro anglais ou américain en vivant en Italie : l’indicatif ne dit rien sur l’endroit où se trouve la personne qui appelle.

Même le numéro que tu vois à l’écran peut être falsifié : cela s’appelle le spoofing. Europol, l’agence de police de l’Union européenne, explique que cela se fait souvent avec des services VoIP et que c’est « facile à faire mais difficile à enquêter ».

Difficile ne veut pourtant pas dire impossible. Ceux qui fournissent des numéros et des appels par internet détiennent en général des données d’enregistrement, de paiement et de connexion à l’application, et répondent aux autorités :

Twilio, une grande plateforme d’appels et de SMS par internet utilisée par de nombreuses entreprises, a reçu en 2025 4 842 demandes des autorités du monde entier et a fourni des données dans 4 285 cas.
TextNow, un service de numéros virtuels, n’accepte les demandes directes que des États-Unis et du Canada. Les autres passent par la commission rogatoire internationale, c’est-à-dire la demande d’aide entre États : c’est plus lent, mais c’est une voie.
En novembre 2022, une opération internationale dirigée par le Royaume-Uni, avec le soutien d’Europol, a fermé un site qui vendait des appels avec numéro falsifié « de façon anonyme » : 142 arrestations parmi les utilisateurs et les administrateurs.

Pour les cartes SIM, en Italie l’opérateur doit identifier le client avec une pièce d’identité avant de l’activer, y compris pour les eSIM, la portabilité et le changement de SIM. En Suisse, une obligation similaire s’applique. Mais une SIM peut être mise au nom de quelqu’un avec les papiers d’autrui, et c’est une infraction : le numéro qui t’appelle ne dit pas avec certitude qui se cache derrière. Laisse les enquêteurs le vérifier.

Les entreprises aussi répondent à la justice

Quelques cas documentés :

2017, États-Unis. Un homme harcelait en ligne son ex-colocataire en se cachant derrière un VPN. Les registres du fournisseur, PureVPN, ont montré que le même client se connectait depuis son domicile et depuis son bureau. En 2018, il a été condamné à plus de 17 ans pour une longue série d’infractions.
Telegram, depuis 2024. Sur ordonnance valable de l’autorité judiciaire, il peut transmettre l’adresse IP et le numéro de téléphone de personnes soupçonnées d’infractions. Selon les données de son bot de transparence, rassemblées par une archive indépendante, les demandes italiennes satisfaites sont passées de 6 (janvier-septembre 2024) à 407 pour le seul deuxième trimestre 2026.
Meta (Facebook, Instagram, Messenger). Elle peut fournir aux autorités l’e-mail, les données de carte de crédit et, si elles sont disponibles, les adresses IP des connexions récentes. Pour les conversations chiffrées de Messenger, elle ne peut pas donner les contenus, mais elle fournit les registres des messages et des appels et les adresses IP. Sur demande, elle conserve les données pendant 90 jours, dans l’attente de l’ordonnance formelle.
Paiements. PayPal aussi déclare communiquer des données aux tribunaux et aux forces de l’ordre quand la loi l’exige.
VPN « pour criminels » fermés par des opérations internationales soutenues par Europol : Safe-Inet en décembre 2020, VPNLab en janvier 2022, First VPN en mai 2026. Dans le dernier cas, les enquêteurs ont obtenu la liste des utilisateurs et les ont avertis qu’ils avaient été identifiés. L’enquête avait commencé en décembre 2021 et le parquet et la police cantonale de Zurich y ont aussi participé. En 2022, la police de Hanovre a commenté que les services qui aident des activités illégales et ne répondent pas aux demandes des autorités « ne sont pas à l’épreuve des balles ».

Ce qui change en Europe et en Suisse

Union européenne. Depuis le 18 août 2026 s’applique le règlement européen sur les preuves électroniques (e-Evidence). Un magistrat italien peut ordonner directement à une entreprise qui offre des services dans l’UE, même si elle a son siège ailleurs, de remettre les données : dans les 10 jours, dans les 8 heures s’il y a un danger imminent pour la vie ou l’intégrité d’une personne. Les données qui servent à identifier la personne derrière un compte (données d’abonné, adresses IP avec date et heure) peuvent être demandées pour n’importe quelle infraction. Le règlement ne vaut que dans les procédures pénales et seulement pour les données que l’entreprise a encore au moment où l’ordonnance arrive.

Italie. Les opérateurs conservent les données du trafic téléphonique pendant 24 mois, celles du trafic internet pendant 12 mois et celles des appels sans réponse seulement 30 jours. La loi prévoit expressément que le juge autorise leur acquisition aussi pour des menaces et du harcèlement graves faits au téléphone.

Suisse. Elle ne fait pas partie de l’UE : les autorités suisses ne peuvent donc pas utiliser l’e-Evidence. Comme l’explique Proton, service e-mail suisse connu pour la protection de la vie privée, une entreprise suisse ne peut pas remettre des données directement à une police étrangère : la demande passe par les autorités suisses avec l’entraide judiciaire internationale. L’Italie et la Suisse ont ratifié la Convention de Budapest du Conseil de l’Europe sur la cybercriminalité, née pour faire coopérer les pays contre ces infractions. En avril 2025, le Conseil fédéral a demandé d’évaluer des règles plus simples pour les preuves électroniques et une collaboration plus étroite avec l’UE.

C’est plus lent, mais ça marche. En 2021, Proton Mail a reçu un ordre contraignant des autorités suisses, issu d’une enquête française, et n’a pas pu s’y opposer : selon la presse, il a remis l’adresse IP du compte. Les e-mails, chiffrés, sont restés illisibles. En 2025, Proton Mail a exécuté 8 313 ordres des autorités suisses.

Comment te protéger

Ne réponds pas aux numéros inconnus ou étrangers et ne les rappelle pas.
Sur WhatsApp, active « Mettre en sourdine les appels de numéros inconnus » (Paramètres › Confidentialité › Appels). Les appels ne sonnent pas mais restent dans la liste : ils te servent de preuve.
Sur Telegram, dans Paramètres › Confidentialité et sécurité, choisis qui voit ton numéro, qui peut te trouver avec ton numéro et qui peut t’appeler. Dans les paramètres des appels, choisis l’option la plus restrictive pour le « peer-to-peer » : ainsi les appels passent par les serveurs de Telegram et l’autre personne ne voit pas ton adresse IP.
Sauvegarde tout avant de bloquer : capture d’écran de la liste des appels avec numéro, date et heure, messages, liens. Ensuite, signale et bloque. Nous expliquons ici comment conserver les preuves sur Telegram.
N’ouvre pas les liens qu’on t’envoie. Chaque site voit l’adresse IP de ses visiteurs, et un lien préparé exprès peut servir justement à la recueillir.
Protège tes comptes avec la vérification en deux étapes par une application d’authentification, pas par SMS.
Protège ta carte SIM. Demande à ton opérateur quelles protections il offre pour les opérations sur la ligne, comme un code PIN supplémentaire. Si ton téléphone perd soudain le signal, appelle tout de suite l’opérateur : quelqu’un pourrait avoir demandé une nouvelle SIM à ton nom (SIM swap).
N’essaie pas de les démasquer seul(e). Tu risques d’accuser un innocent, de recueillir des preuves sans valeur et de te mettre toi-même dans l’embarras. Nous en parlons ici.

Pourquoi porter plainte sert vraiment

Les entreprises remettent les données aux autorités, pas aux victimes. Sans plainte, personne ne peut les demander.

Le temps compte. En Italie, les données des appels sans réponse ne sont conservées que 30 jours, et l’ordonnance européenne ne fonctionne que sur des données qui existent encore. Porte plainte vite, même contre inconnu, et signale chaque nouvel épisode : dans le cas de Rome, cela a été décisif.

Ce qui aide les enquêteurs :

les numéros exacts, avec date, heure et fuseau horaire de chaque appel ou message ;
pour Telegram, l’ID numérique du compte, qui ne change pas comme le nom ou le pseudo ;
liens, pseudos et captures d’écran complètes ;
la liste de tous les comptes et numéros, même si tu penses qu’ils appartiennent à la même personne ;
les autres victimes : plus de plaintes pour le même schéma rendent l’affaire plus grave et plus facile à relier.

Soyons honnêtes : l’identification n’est pas garantie. Il peut falloir des mois ou des années, et parfois on n’arrive pas à un nom. Mais la plainte reste au dossier, se relie aux suivantes et, si des éléments nouveaux apparaissent, une enquête classée peut être rouverte.

Tu n’as pas à affronter cela seul(e). Signale-nous ton cas ou trouve qui peut t’aider.