Elgatophoto.fr
En juin 2026, un signalement sur Trustpilot nous a alertés sur le site Elgatophoto.fr, une fausse boutique de matériel photographique. Ce qui semblait être une arnaque classique s’est révélé bien plus grave : après analyse du code source, nous avons découvert que ce site enregistre délibérément les numéros de carte bancaire, dates d’expiration et CVV de ses victimes dans une base de données, en clair et sans aucun chiffrement.
Vous êtes à la recherche d’un appareil photo, d’un objectif ou d’un drone à bon prix, vous tombez alors sur le site elgatophoto.fr : des prix compétitifs, la livraison gratuite, une expédition sous 24h et une note de 4,9 sur 5 basée sur 274 avis vérifiés. Tout ce qu’il faut pour vous pousser à dépenser. Les mentions légales sont bien présentes et semblent en ordre : un numéro SIREN, une adresse, un nom de dirigeant, une forme juridique. Pour les paiements, le site affiche même les logos SSL 256-bit, 3D Secure et PCI-DSS, preuve d’une sécurité maximale.
Convaincu, vous payez, et bien évidemment vous n’êtes jamais livré. Mais contrairement à la plupart des arnaques en ligne, le problème ne s’arrête pas là.
Vos données bancaires stockées en clair
En analysant le code source de la page de paiement, nous avons fait une découverte pour le moins préoccupante. Lorsqu’un client entre ses informations bancaires sur ce site, celles-ci ne sont pas transmises à un processeur de paiement sécurisé classique comme Stripe ou Paypal. À la place, elles sont collectées directement par le site et stockées telles quelles dans une base de données, visibles par l’administrateur.
Ce site a été vraisemblablement créé avec l’IA, et les commentaires laissés dans le code ne laissent aucun doute sur le caractère délibéré de cette pratique.
Nous avons réalisé un paiement test avec des données fictives et avons pu confirmer que les informations arrivent en effet en clair sur le serveur, visible donc par l’administrateur comme indiqué dans le code. Si vous avez réalisé un paiement sur ce site, il est donc impératif de contacter votre banque pour faire opposition et demander le remplacement de votre carte.
Le site affiche les logos SSL, 3D Secure et PCI-DSS, mais aucune de ces protections n’est réellement présente dans le code. Cela constitue une pratique commerciale trompeuse au sens de l’article L121-2 du Code de la consommation, mais c’est surtout un signal d’alarme à retenir : les logos de sécurité sur un site ne sont que des images et ne garantissent absolument rien.
Une entreprise usurpée
Elgatophoto SAS existe réellement, et toutes les informations fournies dans les mentions légales sont réelles. Il s’agit d’une société française créée en 2019 et dont le dirigeant a lui-même publié un message d’alerte sur les réseaux sociaux, prévenant que son entreprise n’a aucun lien avec le site elgatophoto.fr, qu’il ne vend pas de matériel photo et qu’une plainte a été déposée. En France les registres des sociétés sont publics, n’importe qui peut accéder aux informations d’une entreprise comme son numéro SIREN, l’adresse du siège social et même le nom du dirigeant.
La simple présence de mentions légales sur un site n’est donc pas une sécurité suffisante. Quand un site affiche les informations d’une entreprise, vérifiez toujours si celle-ci ne possède pas un autre site internet, légitime cette fois. Une simple recherche sur Google suffit souvent et peut vous éviter beaucoup de complications.
Des paiements qui partent vers un compte de particulier
Le site propose également le paiement via virement SEPA, avec un RIB fourni directement. Problème, le nom du bénéficiaire affiché est un particulier, mais surtout ne correspond pas à celui indiqué dans les mentions légales. La règle est simple : aucune boutique en ligne sérieuse ne propose de virement bancaire pour régler vos achats. Si vous voyez ce mode de réglement, fuyez, surtout qu’un virement est quasi impossible à annuler une fois exécuté.
Un opérateur déjà impliqué dans d’autres arnaques similaires
Notre investigation a permis de retrouver et d’identifier une personne liée à ce site et déjà signalée dans deux autres arnaques similaires (camera-clic.com et Ontoclick.com). À chaque fois il s’agissait de faux sites de ventes de matériel photographique. Cette cible n’est pas prise au hasard : les photographes sont des passionnés, le matériel coûte cher et c’est un domaine technique. Une quinzaine de victimes représente déjà plus de 10 000€ dans la poche des escrocs. Tous les éléments d’identification sont disponibles dans notre dossier d’enquête.
Notre rapport complet de 14 pages contient l’ensemble des preuves techniques, les identités des personnes impliquées, les liens entre les différents sites et des archives horodatées certifiées (SHA-256 et RFC 3161), opposables en justice. Ce dossier peut être joint directement à votre plainte auprès des autorités compétentes.