Sujet 07 – Piratage de compte · Camille Mercier

Compte Facebook piraté : que faire, et dans quel ordre le faire

Un compte de réseau social piraté sert rarement à celui qui le prend. Il sert à écrire à vos contacts sous votre nom, et c’est ce qui rend le délai plus coûteux ici qu’ailleurs.

La séquence ci-dessous est celle qui fonctionne, et son premier geste n’est pas celui qu’on pense : avant de récupérer, il faut couper la crédibilité du compte auprès de ceux à qui il écrit.

Prévenir avant de récupérer

La reprise de contrôle prend des heures, parfois des jours. Pendant ce temps, le compte continue d’écrire. Un message envoyé par un autre canal – téléphone, messagerie professionnelle, un proche qui relaie – suffit à neutraliser l’essentiel du dommage, parce que ce type de demande ne fonctionne que sur la confiance dans l’expéditeur.

Passer par la procédure du service, jamais par un lien

La page de récupération du réseau est la seule voie qui rétablisse l’accès. Elle s’ouvre en tapant l’adresse du service, jamais depuis un lien reçu. Un message proposant de l’aide pour récupérer un compte piraté est, dans l’immense majorité des cas, la seconde attaque.

Reprendre les adresses et les sessions

Un attaquant remplace l’adresse et le numéro enregistrés en premier ; tant qu’ils sont à lui, toute réinitialisation lui revient. Une fois l’accès rétabli, la liste des appareils connectés se ferme d’un geste, à distance, et la double authentification empêche le retour par mot de passe seul.

Vérifier ce qui a été laissé derrière

Les applications autorisées, les administrateurs ajoutés sur une page, les messages programmés : ces éléments survivent au changement de mot de passe et se retirent séparément. La logique est la même que pour une boîte mail piratée, où une règle de transfert survit de la même façon.

Ce que le compte sert à faire pendant qu’il est perdu

Un compte de réseau social volé a rarement de la valeur en lui-même. Sa valeur est la liste de gens qui font confiance à ce qu’il écrit. Les usages observés sont peu nombreux et toujours les mêmes : une demande d’argent urgente adressée aux contacts proches, la promotion d’une fausse boutique auprès de tout le monde, ou la revente du compte à quelqu’un qui fera l’un ou l’autre.

Cette liste explique l’ordre recommandé. Prévenir n’est pas une politesse : c’est la mesure qui supprime la valeur du compte pour celui qui le détient, et elle agit en quelques minutes là où la récupération demande des heures.

Les pages professionnelles, un cas à part

Lorsqu’un compte administre une page ou un espace professionnel, la prise de contrôle s’accompagne presque toujours de l’ajout d’un second administrateur et du retrait des autres. Récupérer le compte personnel ne rend donc pas la page : il faut ensuite passer par la procédure propre aux espaces professionnels, plus longue, qui demande des justificatifs d’entité. Constater cet ajout tôt, sur la liste des rôles, fait gagner plusieurs jours.

Par où l’accès est entré, et pourquoi cela change la fin

Quatre portes, et elles ne se referment pas de la même façon. Un mot de passe réutilisé, exposé lors de la fuite d’un autre service, se teste automatiquement sur les réseaux sociaux sans que rien n’ait visé la personne ; il se vérifie sur la page adresse mail dans une fuite de données. Une fausse page de connexion recueille l’identifiant au moment où il est saisi. Une application tierce autorisée un jour conserve son autorisation jusqu’à ce qu’on la retire.

La quatrième mérite d’être connue parce qu’elle contredit le réflexe général : une session déjà ouverte, volée telle quelle, ne passe plus par le mot de passe. Le changer n’y met donc pas fin. C’est la déconnexion des appareils, et elle seule, qui ferme cette porte – la raison pour laquelle elle figure dans la séquence plus haut au même rang que le mot de passe, et non comme une précaution supplémentaire.

Deux gestes qui aggravent

Le premier est de payer un service de récupération. Aucun intervenant privé n’a d’accès particulier aux procédures d’un réseau social ; l’offre s’adresse à quelqu’un dont on sait déjà qu’il vient de perdre un compte, ce qui en fait une cible identifiée plutôt qu’un client.

Le second est de créer un second compte au même nom pour prévenir ses contacts. Il reproduit exactement la forme de la fraude que l’on cherche à désamorcer – un profil neuf portant un nom connu, qui écrit à des gens en invoquant une urgence – et il apprend aux contacts à l’accepter. L’avertissement passe par un canal déjà connu d’eux, jamais par un profil qu’ils découvrent.