Xamoz est un site de streaming qui propose des films et séries sans licence de diffusion. La plateforme demande aux visiteurs de créer un compte et, dans certains cas, de renseigner des coordonnées bancaires pour accéder au contenu. Cette collecte de données sur un site non déclaré pose des problèmes concrets de sécurité, tant pour la carte bancaire que pour les informations personnelles transmises lors de l’inscription.
Collecte de données bancaires sur un site sans cadre légal : ce que cela implique
Un site de streaming non autorisé ne répond à aucune obligation réglementaire en matière de protection des données. Contrairement à une plateforme déclarée auprès de la CNIL, Xamoz n’offre aucune garantie sur le stockage, le chiffrement ou la suppression des informations saisies par ses utilisateurs.
Quand un formulaire de paiement apparaît sur ce type de site, rien ne certifie que la transaction passe par un prestataire de paiement sécurisé. Les coordonnées de carte (numéro, date d’expiration, cryptogramme) peuvent être stockées en clair sur des serveurs non protégés, accessibles à des tiers ou revendues sur des marchés parallèles.
Le problème ne se limite pas à la carte bancaire. L’adresse e-mail, le mot de passe choisi lors de l’inscription et parfois le numéro de téléphone constituent un ensemble de données exploitables. Si le même mot de passe est utilisé sur d’autres services (messagerie, banque en ligne, réseaux sociaux), une fuite depuis Xamoz peut compromettre plusieurs comptes à la fois. Ce mécanisme porte un nom : le credential stuffing, qui consiste à tester automatiquement des combinaisons identifiant/mot de passe volées sur d’autres plateformes.
Plusieurs analyses publiées en ligne recoupent ces constats. En consultant les avis sur le site xamoz, on retrouve des signalements d’utilisateurs confrontés à des prélèvements non autorisés après inscription.
Fraude par manipulation plutôt que par piratage direct de carte
Les contenus qui traitent de la sécurité des paiements en ligne se concentrent souvent sur le vol de numéro de carte. La réalité de la fraude bancaire a changé depuis quelques années.
Selon le rapport de l’Observatoire de la sécurité des moyens de paiement (Banque de France), commenté par plusieurs médias spécialisés en 2026, la fraude par virement a dépassé la fraude par carte en montant. La fraude aux virements a fortement augmenté entre 2024 et 2025, tandis que la fraude par carte a baissé sur la même période.
Cela signifie que le risque posé par un site comme Xamoz ne s’arrête pas au vol de numéro de carte. Les données personnelles récupérées (nom, e-mail, téléphone) servent de base à des scénarios de manipulation plus élaborés.
Le scénario du faux conseiller bancaire
Un fraudeur qui dispose de votre nom, de votre e-mail et du fait que vous avez un compte bancaire actif peut vous contacter en se faisant passer pour votre banque. Le prétexte classique : une « activité suspecte détectée » sur votre compte, nécessitant une action urgente.
L’objectif n’est plus de pirater votre carte, mais de vous amener à valider vous-même un virement ou à communiquer un code d’authentification reçu par SMS. Ce type de fraude, dit par manipulation, a bondi de manière significative en 2025 selon Les Échos et Boursorama.
- Le fraudeur utilise des données personnelles réelles pour gagner votre confiance (nom complet, banque présumée, derniers chiffres de carte).
- Il crée un sentiment d’urgence : suspension imminente du compte, tentative de fraude en cours.
- Il demande une action précise : valider une opération sur l’application mobile, communiquer un code reçu par SMS, ou effectuer un virement « de sécurité ».
Aucune banque ne demande jamais de valider une opération par téléphone dans un contexte d’appel entrant. Ce réflexe suffit à bloquer la majorité de ces tentatives.
Blocage DNS et liste ARCOM : vérifier le statut d’un site avant de payer
Les sites de streaming illégaux comme Xamoz font régulièrement l’objet de blocages ordonnés par l’ARCOM (ex-Hadopi). Ces blocages passent par les fournisseurs d’accès à internet, qui redirigent les requêtes DNS vers une page d’avertissement.
Un site soumis à un blocage DNS par l’ARCOM n’a aucune légitimité commerciale. Y saisir des données de paiement revient à transmettre ses coordonnées bancaires à un opérateur qui enfreint la loi française sur la propriété intellectuelle, et qui n’a aucune raison de respecter le règlement général sur la protection des données.
Pour vérifier si un site figure sur la liste des domaines bloqués, plusieurs méthodes existent :
- Tester l’accès au site depuis un réseau mobile et un réseau fixe : si le site est inaccessible chez un opérateur mais accessible via un VPN, il est probablement bloqué.
- Rechercher le nom du site dans les décisions publiques de l’ARCOM.
- Consulter des outils d’évaluation de réputation (ScamAdviser, URLVoid) qui agrègent les signalements.
Le fait qu’un site contourne un blocage (changement de nom de domaine, miroirs) est lui-même un indicateur de risque. Un service légitime ne change pas d’adresse pour échapper à une décision de justice.
Réagir après avoir saisi ses données sur Xamoz
Si des coordonnées bancaires ont été communiquées sur ce type de site, la première action est de faire opposition sur la carte. Le serveur interbancaire dédié aux oppositions est accessible en permanence, et un numéro d’enregistrement est délivré pour conserver une trace datée de la démarche.
Changer le mot de passe utilisé lors de l’inscription sur Xamoz est la deuxième priorité, surtout si ce mot de passe est partagé avec d’autres services. Activer l’authentification forte (validation par application mobile ou biométrie) sur la banque en ligne et la messagerie réduit le risque d’accès non autorisé, même en cas de fuite d’identifiants.
Surveiller les relevés bancaires pendant plusieurs semaines reste nécessaire. Les prélèvements frauduleux n’apparaissent pas toujours immédiatement : certains opérateurs testent d’abord de petits montants avant de tenter des transactions plus élevées. Un signalement sur la plateforme Perceval du ministère de l’Intérieur permet de documenter la fraude et d’alimenter les enquêtes en cours.
La gratuité apparente d’un service de streaming masque toujours un modèle économique. Quand ce modèle repose sur la collecte de données personnelles et bancaires sans aucun cadre légal, le coût réel pour l’utilisateur dépasse largement le prix d’un abonnement à une plateforme autorisée.