Piratage d'un compte de réseau social

Définition

Le piratage d'un compte de réseau social est la prise de contrôle du compte authentique d'une personne, utilisé ensuite pour solliciter ses contacts, diffuser des contenus en son nom, ou revendre son audience.

Comment ça fonctionne

L'entrée se fait par les chemins habituels : mot de passe réutilisé, page de connexion contrefaite atteinte depuis un message, code de vérification communiqué au téléphone. Ce qui est propre à ce compte-ci est l'usage qui en est fait. L'attaquant dispose d'une chose qu'aucune imitation ne procure : la confiance déjà accordée par des centaines de personnes. Il écrit aux contacts en reprenant le ton des conversations précédentes, qu'il peut lire, ce qui rend ses messages plus crédibles que n'importe quel faux profil. Les demandes ressemblent à celles d'un proche — un vote à soutenir, un lien à ouvrir, un code reçu par erreur à retransmettre — et ce dernier sert précisément à pirater le compte du contact à son tour. Le premier geste de l'attaquant est de changer l'adresse email et le mot de passe, ce qui rend la reprise plus difficile à mesure que le temps passe.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Messages envoyés depuis votre compte que vous n'avez pas écrits
• Contacts qui vous signalent une demande inhabituelle de votre part
• Email de changement d'adresse ou de mot de passe que vous n'avez pas demandé
• Publications, abonnements ou mentions apparus sans votre action
• Déconnexion soudaine, avec un mot de passe qui n'est plus accepté

Comment vérifier

Consultez l'historique de connexion et la liste des appareils dans les paramètres du compte, puis vérifiez l'adresse email associée : c'est le premier élément modifié lors d'une prise de contrôle. Regardez également les messages envoyés, que l'attaquant efface rarement en totalité.

Que faire

Utilisez la procédure de récupération du réseau social sans attendre, car ces procédures deviennent plus difficiles une fois l'adresse email changée. Prévenez vos contacts par un autre canal — un groupe de messagerie, un appel, un autre réseau — pour que les demandes envoyées en votre nom ne trouvent personne.

Si c'est déjà arrivé

Reprenez le compte, puis révoquez les sessions et les applications tierces autorisées, et rétablissez l'adresse email et le numéro de récupération. Activez la double authentification. Publiez un message signalant les demandes envoyées pendant la période concernée : c'est ce qui protège vos contacts, et cela vaut mieux que des excuses individuelles. Si un proche a versé de l'argent, il doit contacter sa banque immédiatement et déposer plainte de son côté.

Questions fréquentes

Un contact me demande de lui transmettre un code reçu par SMS.

N'envoyez rien. Ce code est celui qui permet de prendre le contrôle de votre propre compte : la demande vient du compte de votre contact, déjà compromis, et elle sert à vous compromettre à votre tour. Appelez la personne pour l'en informer.

Quelle différence avec un faux compte à mon nom ?

Ici votre compte authentique est aux mains d'un tiers : vos messages, vos contacts et votre historique lui sont accessibles. Un faux compte se contente de copier ce qui est public, sans rien lire. Les deux situations se traitent différemment — voyez « usurpation de profil sur les réseaux sociaux » pour la seconde.

Attaques liées

• Détournement de la récupération de compte
• Usurpation de profil sur les réseaux sociaux
• Bourrage d'identifiants
• Usurpation d'un proche par messagerie
• Abus d'autorisation « Se connecter avec »

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement