Réponse rapide
Sécurisez d'abord votre e-mail, puis le compte social, puis prévenez vos contacts. L'adresse e-mail est la clé principale des réinitialisations de mot de passe : changer un mot de passe alors que l'attaquant contrôle encore votre boîte ne change rien.
Une reprise de compte est rarement un mot de passe deviné. Elle vient d'un mot de passe réutilisé, fuité dans la brèche d'un autre, d'un jeton de session volé par une application, ou d'un message qui ressemblait à un rappel de connexion. Le compte en soi vaut peu : ce qui a de la valeur, c'est la liste de contacts, revendue et utilisée pour des demandes crédibles venant d'une personne de confiance.
Dans cet ordre
- Changez le mot de passe de votre messagerie et déconnectez toutes les sessions actives : ce compte peut réinitialiser tous les autres.
- Depuis cette messagerie sécurisée, changez le mot de passe du compte usurpé et révoquez ses sessions et applications connectées.
- Vérifiez les options de récupération des deux comptes : numéro de téléphone, adresse de secours et « contact de confiance » que l'attaquant a pu ajouter.
- Activez la double authentification, de préférence une application d'authentification ou une clé matérielle plutôt que le SMS.
- Prévenez vos contacts, avec vos mots et sans lien : ils recevront la fausse demande dans l'heure.
- Signalez la reprise via le formulaire officiel de la plateforme, sans répondre aux e-mails : l'offre de « restauration » payante vient du même attaquant.
Comment la même arnaque atteint vos amis
Une fois à l'intérieur, l'attaquant écrit à vos contacts : un problème urgent, une petite somme, un moyen de paiement irréversible. Cela fonctionne parce que le message vient de vous : aucun domaine à vérifier, aucune formulation suspecte. Si un ami demande de l'argent par message, vérifiez sur un canal que l'attaquant ne contrôle pas : un appel à un numéro que vous aviez déjà.
Récupérer le compte quand vous êtes bloqué dehors
- Utilisez la procédure de récupération depuis un appareil et un réseau que vous utilisez habituellement : un lieu entièrement nouveau paraît suspect.
- Si l'attaquant a changé l'e-mail et le téléphone, cherchez l'option « je n'y ai plus accès » dans le formulaire ; elle existe mais n'est pas proposée en premier.
- Gardez une copie de votre pièce d'identité et une photo de vous la tenant, et répondez uniquement via le formulaire officiel.
- Ne payez jamais un « service de récupération » qui vous contacte : les vraies plateformes ne facturent pas la récupération de compte et ne vous écrivent pas pour la proposer.
Questions fréquentes
Les questions les plus posées à propos de cet article, avec une réponse directe.
Mon ami me demande de l'argent sur Facebook. Comment vérifier ?
Appelez un numéro que vous aviez déjà pour cette personne, avant le message. N'appelez pas un numéro figurant dans la conversation. Si la voix semble étrange, posez une question que vous seuls pouvez trancher : le clonage vocal fait l'objet d'un article séparé.
J'ai changé le mot de passe mais la session reste active. Comment ?
Un changement de mot de passe ne ferme pas toujours les sessions existantes, et certaines applications conservent des jetons qui y survivent. Déconnectez explicitement tous les appareils et vérifiez la liste des applications autorisées.
La plateforme va-t-elle restaurer mon compte automatiquement ?
Seulement si les données de récupération sont encore les vôtres. Si l'attaquant a remplacé l'e-mail et le téléphone, sans contact de confiance intact le compte est généralement perdu : ces données comptent donc plus que le mot de passe.
Dois-je installer une application pour protéger mon compte ?
Installez une application d'authentification depuis la fiche officielle de votre boutique d'applications, et méfiez-vous de toute recommandation reçue par message : les fausses applications « de sécurité » qui collectent les codes sont une suite fréquente.
Écrit par L'équipe éditoriale BaitScan
Les résultats sont des estimations de risque automatisées fondées sur des indicateurs publics et des heuristiques.