Un compte piraté se reprend d'abord par la récupération officielle du service, puis par le changement du mot de passe et l'activation de la double authentification. Pour une boîte mail, la priorité est de couper l'accès de l'escroc à vos autres comptes ; pour un réseau social, de prévenir vos amis avant qu'ils ne soient sollicités. Que faire ensuite : déposer un signalement, protéger vos informations personnelles et porter plainte.
Ordre d'urgence après une intrusion
- Tenter la récupération par la procédure officielle du service, depuis un appareil sain.
- Changer le mot de passe partout où il servait, puis activer la double authentification.
- Prévenir vos contacts, votre banque si un moyen de paiement est enregistré, et garder des preuves pour la plainte.
Mail ou réseau social piraté : quel compte traiter en premier ?
Quand plusieurs comptes sont touchés à la fois, commencez toujours par la boîte mail. C'est elle qui reçoit les liens de réinitialisation de tous vos autres services : tant que l'auteur du piratage y a accès, il peut reprendre votre compte Facebook, votre compte Google ou votre espace client en quelques clics, même après que vous avez changé leur mot de passe. Le compte de messagerie est donc la clé de voûte, et le reste suit.
Facebook, Instagram ou X viennent ensuite, avec une autre urgence : l'escroc s'en sert pour écrire à vos amis en votre nom, réclamer un code reçu par SMS, un faux dépannage d'argent ou un lien piégé. Chaque heure qui passe élargit le cercle des personnes ciblées. Le tableau qui suit met côte à côte les deux situations, critère par critère.
| Critère | Boîte mail piratée | Réseau social piraté |
|---|---|---|
| Risque principal | Prise de contrôle en chaîne des autres comptes en ligne | Arnaques envoyées à vos amis, atteinte à la réputation |
| Premier geste | Procédure de récupération du fournisseur (Gmail, compte Microsoft, Orange…) | Page « compte piraté » de la plateforme, signaler un abus |
| À vérifier ensuite | Règles de transfert, adresse de secours, réponses automatiques | Messages envoyés, applications connectées, administrateurs de pages |
| Qui prévenir | Banque, services liés à cette adresse | Amis et abonnés, par un autre canal |
| Piège fréquent | Changer le mot de passe sans supprimer la règle de transfert | Recréer un nouveau compte et laisser l'ancien aux mains de l'escroc |
Récupérer un compte piraté : les étapes de récupération qui marchent
Pour récupérer l'accès, passez exclusivement par le service lui-même, depuis un appareil que vous savez sain. Si votre ordinateur a été infecté par un virus ou un logiciel espion, tout nouveau mot de passe saisi dessus sera de nouveau volé. Utilisez plutôt un téléphone récent ou l'ordinateur d'un proche.
- Essayez la connexion normale : le pirate n'a pas toujours modifié le mot de passe. Si vous entrez encore, changez-le immédiatement.
- Lancez la procédure « mot de passe oublié » : le service envoie un code à votre numéro ou à votre adresse de secours, s'ils n'ont pas été modifiés.
- Si les coordonnées ont été changées, cherchez le formulaire dédié aux comptes compromis. Google, Microsoft, Facebook, Instagram ou le support Twitter (X) posent des questions de vérification : ancien mot de passe, date de création approximative, appareils utilisés, parfois une pièce d'identité ou une vidéo selfie.
- Répondez depuis un lieu et un appareil habituels : les services comparent la demande à votre activité passée pour juger qu'elle est légitime.
Les délais de réponse varient beaucoup d'un service à l'autre, et rien n'oblige une entreprise comme Meta à restituer un compte. Gardez une trace de chaque demande (captures d'écran, numéro de dossier) : elle servira pour la plainte. Méfiez-vous enfin des « récupérateurs de comptes » qui proposent leurs services dans les commentaires ou par message privé : ce sont presque toujours des cybercriminels qui visent une seconde victime.
Sécuriser le compte une fois l'accès retrouvé
Reprendre la main ne suffit pas : l'escroc a souvent laissé derrière lui de quoi revenir. Voici les réglages à contrôler, dans cet ordre, sur la boîte mail comme sur le réseau social.
- Le mot de passe
- Long, unique, jamais utilisé ailleurs. Une phrase de plusieurs mots vaut mieux qu'un mot court truffé de symboles. Un gestionnaire de mots de passe évite de réutiliser le même sur plusieurs sites.
- La double authentification
- Le facteur supplémentaire (application d'authentification, clé physique, à défaut code par SMS) bloque la connexion si le mot de passe fuit à nouveau. On parle aussi d'authentification à deux facteurs : un premier facteur que vous connaissez (le mot de passe), un second facteur que vous possédez (le téléphone ou la clé). C'est la mesure de sécurité la plus efficace contre le piratage de compte.
- Les sessions et appareils
- Déconnectez toutes les sessions ouvertes et retirez tout appareil inconnu de la liste des connexions autorisées.
- Les applications connectées
- Supprimez les applications tierces que vous ne reconnaissez pas : certaines gardent un accès après un changement de mot de passe.
- Les coordonnées de secours
- Vérifiez numéro de téléphone, adresse mail de récupération, nom d'utilisateur et date de naissance : un pirate les modifie pour reprendre le compte plus tard.
Côté messagerie, ouvrez aussi les paramètres de transfert et de filtres. Une règle qui renvoie discrètement vos messages vers une adresse inconnue, ou qui classe les alertes de sécurité dans la corbeille, est la trace la plus courante d'une attaque réussie. Si votre compte de messagerie sert à recevoir des factures, le même réflexe protège contre les fausses demandes de paiement : notre article sur un prélèvement bancaire que vous n'avez jamais signé détaille le recours à engager auprès de la banque.
Prévenir vos contacts sans relayer l'arnaque
Vos amis sont les cibles suivantes. Prévenez-les par un autre canal que le compte touché : SMS, appel, autre réseau. Quelques mots suffisent : votre compte a été piraté, toute demande d'argent, de code ou de clic reçue de votre part ces derniers jours doit être ignorée. Par exemple, « je suis bloqué à l'étranger, peux-tu m'aider » ou « renvoie-moi le code que tu viens de recevoir » sont des comportements typiques : dans le monde réel, aucun proche ne réclame un code de connexion. Si quelqu'un a déjà transmis un code de vérification, son propre compte est peut-être compromis à son tour et il doit suivre les mêmes étapes.
Une fois le compte récupéré, publiez une annonce visible pour que tout le monde soit averti, puis relisez les messages envoyés pendant le piratage. Ils montrent ce que l'auteur cherchait (argent, données, photos) et constituent des preuves. Les mêmes techniques se retrouvent d'ailleurs dans d'autres escroqueries du quotidien, comme le faux SMS de livraison décrit dans notre page sur le colis livré mais jamais reçu : un lien, une urgence, une demande de coordonnées.
Carte bancaire et données personnelles exposées : les gestes de protection
Si une carte bancaire était enregistrée sur le compte, ou si l'escroc a pu lire des échanges contenant vos informations de paiement, contactez votre banque sans attendre. Elle peut faire opposition sur la carte, surveiller les opérations et vous indiquer comment contester un paiement frauduleux. Consultez vos relevés : un débit inconnu, aussi minime soit-il, est souvent un test avant des achats plus importants.
Les données volées ne se limitent pas à l'argent. Une messagerie contient des copies de pièces d'identité, des avis d'imposition, des bulletins de salaire : de quoi usurper votre identité pour ouvrir un crédit ou un abonnement. Faites l'inventaire des documents sensibles présents dans la messagerie, puis restez attentif aux courriers inhabituels pendant les mois qui suivent, de 3 mois à 6 mois au moins. En cas de rançon ou de chantage aux photos, ne payez rien et ne répondez pas : conservez les messages et signalez-les.
Signaler le piratage et porter plainte
Le signalement a deux destinataires : la plateforme et les autorités. Sur les réseaux sociaux, utilisez la fonction pour signaler un abus ou un compte usurpé, même après avoir récupéré l'accès. Côté pouvoirs publics, le dispositif d'aide aux victimes porté par le gouvernement, Cybermalveillance.gouv.fr, propose un diagnostic en ligne, des fiches réflexes sur chaque type d'attaque et une mise en relation avec des professionnels de la cybersécurité. Le service public du gouvernement rappelle de son côté les démarches pour porter plainte.
La plainte se dépose dans un commissariat de police ou une brigade de gendarmerie, ou par écrit auprès du procureur de la République. Pour certaines fraudes sur internet (escroquerie à l'achat, chantage, fraude à la carte), il est aussi possible de déposer plainte en ligne sur THESEE, le service du ministère de l'Intérieur consacré à la cybercriminalité. Le piratage d'un compte est une infraction : l'accès frauduleux à un système informatique est réprimé par le Code pénal, et l'usurpation d'identité numérique constitue une infraction distincte. Apportez tout ce que vous avez conservé : captures des messages envoyés, alertes de connexion avec leur date et leur adresse IP, échanges avec le support, relevés de compte. Bien que l'auteur du piratage soit rarement identifié, la plainte protège la victime : elle prouve que les messages ou achats faits en son nom ne venaient pas d'elle.
Éviter le piratage de compte à l'avenir
La plupart des intrusions ne relèvent pas d'une prouesse technique. Ils viennent d'un mot de passe réutilisé qui a fuité ailleurs, d'un faux message de connexion (hameçonnage) ou d'un code transmis à un faux ami. Quelques habitudes ferment la porte à l'essentiel des attaques :
- un mot de passe différent par service, en commençant par la boîte mail ;
- la double authentification activée partout où elle existe, compte Google et compte Microsoft en tête ;
- aucun code reçu par SMS transmis à qui que ce soit, même à un proche qui le réclame ;
- les mises à jour de l'appareil et des applications faites sans tarder ;
- une méfiance systématique face à l'urgence : une sollicitation pressante est souvent une arnaque, comme celles qui visent les vacanciers et que décrit notre article pour déjouer une fausse annonce de location saisonnière.
Vérifier régulièrement l'activité récente de vos comptes (connexions, appareils, lieux) permet aussi de repérer un accès suspect avant qu'il ne tourne à la prise de contrôle complète. Le support technique d'un vrai service ne demande jamais votre mot de passe : une prétendue entreprise de dépannage qui vous presse de vous connecter à distance est une menace classique, et la meilleure prévention reste de raccrocher.
Compte piraté : les cas limites qui inquiètent
Que faire si le pirate a changé le numéro et l'adresse de récupération ?
Utilisez le formulaire de compte compromis du service et non la procédure classique. Il permet de prouver que vous êtes le titulaire par d'autres éléments : anciens mots de passe, appareils habituels, pièce d'identité selon la plateforme.
Faut-il supprimer un compte piraté qu'on n'arrive pas à récupérer ?
Vous ne pouvez pas le supprimer sans y accéder, mais vous pouvez le signaler comme usurpé auprès de la plateforme et prévenir vos contacts. Créer un nouveau compte sans signaler l'ancien laisse l'escroc continuer en votre nom.
Que faire si mon compte bancaire est piraté en même temps ?
Appelez votre banque en premier, avant même de traiter la messagerie : faire opposition et bloquer l'accès en ligne passe avant tout le reste, puis portez plainte avec les relevés des opérations contestées.
