Hameçonnage sur les réseaux sociaux : reprendre un compte volé

Sur un réseau social, l'hameçonnage ne vise pas seulement une carte bancaire. Il vise souvent le compte lui-même : celui qui en prend le contrôle hérite de votre nom, de votre photo et de la confiance de vos contacts. Cybermalveillance.gouv.fr cite l'hameçonnage parmi les voies d'accès à un compte, à côté du mot de passe trop simple et du mot de passe réutilisé sur un site piraté, dans son dossier sur le piratage de compte sur les réseaux sociaux.

Deux portes d'entrée

Le message qui se présente comme la plateforme. Il annonce un problème sur votre compte et renvoie vers une page de connexion. Les prétextes correspondent aux catégories que Cybermalveillance.gouv.fr recense pour l'hameçonnage en général : demande de confirmation de vos données sous peine de sanction, ou menace de fermeture d'un accès. La page imite l'écran de connexion du réseau et récupère identifiant et mot de passe.

Le message d'un contact dont le compte est déjà piraté. Service-Public.fr inclut ce cas dans sa définition de l'hameçonnage : l'auteur se fait passer pour l'un de vos contacts. Le message vient d'un vrai profil, celui d'un proche, ce qui supprime la méfiance habituelle. La CNIL donne la parade : si un message semble provenir d'un ami, par exemple pour l'aider à récupérer l'accès à son compte, contactez-le par un autre canal pour vous assurer qu'il s'agit bien de lui.

Dans les deux cas, le même principe s'applique : ne vous connectez jamais à un réseau social depuis un lien reçu. Ouvrez l'application, ou saisissez vous-même l'adresse du site. C'est dans votre compte, ouvert par vos propres moyens, que vous pourrez vérifier si une alerte vous concerne réellement. Avant cela, notre vérificateur de lien peut indiquer où mène l'adresse reçue, à titre indicatif.

Ne communiquez pas non plus un code reçu par SMS ou par courriel à quelqu'un qui vous le demande : ce code de confirmation est précisément ce qui autorise un nouvel appareil à se connecter à votre compte, explique Cybermalveillance.gouv.fr à propos de la double authentification.

Ce que devient un compte volé

Les usages décrits par les sources officielles expliquent pourquoi il faut agir vite, et prévenir son entourage :

• escroquer vos contacts en se faisant passer pour vous, le plus souvent par une demande d'argent ;
• vous réclamer une rançon pour vous rendre l'accès ;
• envoyer des messages de spam ou d'hameçonnage depuis votre profil, ou publier des contenus illicites ;
• accéder à vos autres comptes, si vous utilisez le même mot de passe ailleurs ou si vous vous servez de ce compte social pour vous connecter à d'autres sites.

Reconnaître que le compte est compromis

Cybermalveillance.gouv.fr donne, dans son dossier sur le piratage de compte, une liste d'indices très proche de celle de la fiche Service-Public.fr. Parmi eux :

• vos identifiants ne fonctionnent plus ;
• des messages ou des publications que vous n'avez pas écrits apparaissent, ou vos contacts disent en avoir reçu ;
• une notification signale une connexion depuis un appareil ou un lieu inconnu ;
• un appareil inconnu figure dans l'historique des connexions ;
• des informations personnelles ou des paramètres ont été modifiés, des contacts ajoutés ou supprimés.

Reprendre la main, dans l'ordre

Si vous pouvez encore vous connecter :

1. changez le mot de passe, puis changez-le sur tous les sites où vous utilisiez le même. Notre vérificateur de mot de passe vous aide à en évaluer la solidité ;
2. vérifiez l'adresse électronique et le numéro de téléphone de récupération. S'ils ne sont pas les vôtres, faites une capture d'écran, puis supprimez-les : ils ont pu être ajoutés pour garder le contrôle du compte ;
3. dans l'historique des connexions, déconnectez les appareils et sessions inconnus, après capture d'écran. Sans cette étape, l'intrus peut rester connecté même après le changement de mot de passe ;
4. activez la double authentification ;
5. vérifiez les publications et les messages envoyés, et supprimez ce qui n'est pas de vous après en avoir gardé la trace.

Si vous ne pouvez plus vous connecter : utilisez la procédure de récupération du réseau concerné. Cybermalveillance.gouv.fr donne, dans son dossier sur le piratage de compte, les liens vers les pages d'assistance des principaux réseaux sociaux utilisés en France. Attendez-vous à devoir prouver que le compte est le vôtre, et à une procédure qui peut durer de plusieurs jours à plusieurs semaines : les plateformes n'ont aucune obligation contractuelle de réactivité, prévient le même dossier.

Dans les deux cas :

• prévenez vos contacts par un autre moyen, pour qu'ils ne répondent pas aux demandes envoyées en votre nom ;
• prévenez votre banque et surveillez vos comptes si des coordonnées bancaires étaient accessibles depuis le compte ;
• conservez toutes les captures d'écran.

Les étapes sont reprises plus en détail dans Compte piraté : que faire.

Signalement et plainte : ce que permet THESEE

La plateforme THESEE du ministère de l'Intérieur accepte le signalement et la plainte en ligne dans un périmètre précis, décrit par la fiche Service-Public.fr sur le piratage de compte. Votre messagerie électronique ou votre compte de réseau social doit avoir été piraté dans l'un de ces deux buts :

• se faire passer pour vous et demander de l'argent à vos contacts ;
• vous contraindre à verser une rançon pour retrouver l'accès.

Une demande d'argent doit avoir été faite. Il n'est pas nécessaire qu'un versement ait eu lieu. Les autres comptes en ligne (site marchand, compte administratif) ne relèvent pas de ce signalement, mais une plainte classique reste possible.

Signalement et plainte n'ont pas les mêmes effets. Le signalement informe les services d'enquête, et vous n'êtes pas tenu au courant des suites. La plainte en ligne est réservée aux majeurs. Une fois validée, vous recevez dans votre espace personnel une notice sur les suites, les aides possibles et les moyens d'obtenir une indemnisation, et vous êtes informé si l'auteur est identifié et interpellé.

Vos contacts ont aussi un recours. Celui qui a reçu une demande d'argent depuis votre messagerie piratée peut faire un signalement, sans être obligé de donner son identité, ou déposer plainte sur THESEE, même s'il n'a rien versé.

Hors de ce périmètre, la plainte se dépose au commissariat ou à la gendarmerie de votre choix, ou par courrier au procureur de la République. Service-Public.fr indique que le délai pour déposer plainte est de 6 ans à compter des faits.

Les qualifications pénales

Selon l'usage fait du compte, l'auteur peut être poursuivi pour :

• accès frauduleux à un système de traitement automatisé de données : trois ans d'emprisonnement et 100 000 euros d'amende, cinq ans et 150 000 euros si des données ont été modifiées ou supprimées (article 323-1 du Code pénal) ;
• usurpation d'identité : un an d'emprisonnement et 15 000 euros d'amende, y compris lorsqu'elle est commise sur un réseau de communication au public en ligne (article 226-4-1). Service-Public.fr précise que, depuis le 21 mai 2024, une personne condamnée pour usurpation d'identité sur internet peut en outre être bannie de la plateforme en ligne à partir de laquelle elle a commis l'infraction, pour une durée maximale de six mois, qui peut être portée à un an en cas de récidive ;
• escroquerie, s'il a trompé vos contacts pour obtenir de l'argent : cinq ans d'emprisonnement et 375 000 euros d'amende (article 313-1) ;
• extorsion, s'il vous a réclamé une rançon.

Pour être conseillé avant d'agir, Info Escroqueries répond au 0 805 805 817, appel gratuit, du lundi au vendredi de 9 h à 18 h 30. Les autres canaux de signalement d'un message frauduleux sont présentés dans le guide Phishing par email et SMS. Le vol d'identifiants par une fausse page de connexion suit la même logique pour les comptes bancaires, décrite dans Faux mail de banque, et pour les abonnements, dans Faux mail de streaming.