Compte piraté (Gmail, Instagram, Facebook...) : que faire, étape par étape
Mot de passe changé, messages envoyés à votre place, connexion inconnue ? Les 7 étapes pour reprendre la main sur un compte piraté, puis les 3 réglages qui évitent que ça recommence.
Transparence : certains liens de ce guide sont des liens d'affiliation. Si vous souscrivez via ces liens, Cybactu peut toucher une commission, sans surcoût pour vous. Nos recommandations restent indépendantes.
Vos amis reçoivent des messages bizarres « de votre part », vous ne pouvez plus vous connecter, ou vous recevez une alerte de connexion depuis un pays où vous n’avez jamais mis les pieds. Pas de panique : dans la grande majorité des cas, un compte piraté se récupère. Mais l’ordre des actions compte, et le temps aussi.
Les signes qui ne trompent pas
- Votre mot de passe ne fonctionne plus alors que vous ne l’avez pas changé.
- Vous recevez un e-mail « votre adresse de récupération a été modifiée » ou « nouvelle connexion ».
- Des messages, publications ou achats apparaissent sans que vous en soyez l’auteur.
- Vos contacts vous signalent des demandes d’argent ou des liens étranges envoyés en votre nom.
Les 7 étapes pour reprendre la main
1. Changez le mot de passe, depuis un appareil sain. Si vous avez encore accès au compte, changez le mot de passe tout de suite, pour un mot de passe long et jamais utilisé ailleurs. Faites-le depuis un ordinateur ou un téléphone dont vous êtes sûr : si votre appareil est infecté, le nouveau mot de passe sera volé à son tour.
2. Si vous n’avez plus accès, utilisez la procédure officielle de récupération. Google, Meta (Facebook, Instagram), Microsoft ou Apple ont tous un formulaire « compte piraté » qui vérifie votre identité par votre ancien numéro, votre ancienne adresse ou un selfie vidéo. Passez uniquement par le site ou l’application officiels, jamais par un lien reçu par message : les faux « services de récupération » sont une arnaque classique qui cible justement les victimes.
3. Déconnectez toutes les sessions. Dans les paramètres de sécurité, cherchez « Appareils connectés » ou « Où vous êtes connecté » et fermez tout. C’est l’étape la plus souvent oubliée : changer le mot de passe ne suffit pas toujours à chasser un pirate déjà connecté.
4. Vérifiez ce que le pirate a pu modifier. Adresse e-mail et numéro de récupération, règles de transfert automatique dans votre messagerie, applications tierces autorisées, méthodes de double authentification ajoutées. Supprimez tout ce que vous ne reconnaissez pas : un pirate laisse souvent une porte de sortie pour revenir.
5. Activez la double authentification (notre guide pas à pas). C’est le réglage qui change tout : même avec votre mot de passe, le pirate ne peut plus se connecter sans le second facteur (une application d’authentification ou une clé de sécurité).
6. Changez le mot de passe partout où vous utilisiez le même. Si ce mot de passe servait aussi pour votre banque, votre boîte mail ou un site marchand, ces comptes sont maintenant exposés. C’est souvent là que le vrai préjudice arrive.
7. Prévenez et signalez. Avertissez vos contacts qu’ils ne doivent pas répondre aux messages envoyés en votre nom. Signalez le piratage à la plateforme, et en cas de préjudice (argent perdu, chantage, usurpation), faites-vous accompagner par cybermalveillance.gouv.fr ou le guichet 17Cyber, et déposez plainte.
Comment éviter que ça recommence
La plupart des piratages commencent par un mot de passe réutilisé (volé lors d’une fuite sur un autre site) ou saisi sur une fausse page reçue par mail ou SMS. Trois réglages règlent l’essentiel du problème.
Un mot de passe différent pour chaque compte, avec un gestionnaire de mots de passe. Personne ne peut retenir 80 mots de passe uniques. Un gestionnaire les crée, les retient et les remplit pour vous ; il ne les remplit que sur le vrai site, ce qui protège aussi contre les fausses pages. NordPass est le plus simple pour démarrer ; Bitwarden ou Proton Pass sont de très bonnes options gratuites. Notre comparatif des gestionnaires de mots de passe vous aide à choisir.
La double authentification sur les comptes importants. En priorité : votre boîte mail principale (elle permet de réinitialiser tous les autres comptes), vos réseaux sociaux et vos comptes de paiement.
Une clé de sécurité pour les comptes les plus précieux. Une clé physique comme une YubiKey se branche en USB ou s’approche du téléphone. Elle ne fonctionne qu’avec le vrai site : même si vous cliquez sur une page de phishing parfaite, elle refuse de s’y connecter. C’est aujourd’hui la protection la plus solide contre le vol de compte.
