Pi­ra­tage de compte : Ce qu’il faut sa­voir, et faire quand ça vous ar­rive

Vous ou­vrez Out­look un ma­tin, et vous ne pou­vez plus vous connec­ter.

Votre adresse e‑mail a chan­gé.

Quel­qu’un d’autre parle à votre place, à vos clients. C’est un pi­ra­tage de compte.

Ce scé­na­rio, des mil­liers d’en­tre­pre­neurs le vivent chaque an­née. Et pour­tant, avec quelques ré­flexes bien an­crés, la plu­part de ces si­tua­tions peuvent être évi­tées.

Un pi­ra­tage de compte, ce n’est pas juste un désa­gré­ment tech­nique. Pour un en­tre­pre­neur ou une TPE, c’est sou­vent la perte d’une com­mu­nau­té construite sur des an­nées, une at­teinte di­recte à la ré­pu­ta­tion, par­fois même un ac­cès à des don­nées clients ou ban­caires. 

Les ha­ckers le savent. Voi­là pour­quoi ils ciblent au­tant les pro­fes­sion­nels que les grandes en­tre­prises. 

Les mé­thodes les plus cou­rantes : 

Un faux e‑mail de Google ou de votre banque vous in­vite à “confir­mer vos in­for­ma­tions”. Vous cli­quez, vous sai­sis­sez vos iden­ti­fiants, et ils sont dé­jà dans les mains d’un in­con­nu. 

Vos iden­ti­fiants ont fui­té lors d’une vio­la­tion de don­nées sur un autre site. Si vous uti­li­sez le même mot de passe par­tout (et beau­coup le font), c’est la porte grande ou­verte. 

Le pi­rate se fait pas­ser pour le sup­port tech­nique, pour un par­te­naire, par­fois même pour vous au­près de votre com­mu­nau­té. 

Un fi­chier té­lé­char­gé, un lien cli­qué, et un lo­gi­ciel mal­veillant en­re­gistre si­len­cieu­se­ment tout ce que vous ta­pez. 

Avant un pi­ra­tage to­tal, il y a presque tou­jours des signes avant-cou­reurs. Ap­pre­nez à les re­con­naître : 

• Des connexions de­puis des lieux ou des ap­pa­reils in­con­nus 
• Des e‑mails de confir­ma­tion de chan­ge­ment que vous n’a­vez pas de­man­dés 
• Des mes­sages en­voyés de­puis votre compte sans votre in­ter­ven­tion 
• Des abon­ne­ments ou des achats sus­pects 
• Un com­por­te­ment in­ha­bi­tuel sur vos ré­seaux (pu­bli­ca­tions, DMs, com­men­taires)

Conseil : ac­ti­vez les no­ti­fi­ca­tions de connexion sur tous vos comptes pros. C’est gra­tuit, et ça change tout.

Un mot de passe unique par compte, so­lide et aléa­toire

“Monprénom2026!” n’est pas un mot de passe sé­cu­ri­sé. Un bon mot de passe fait au moins 16 ca­rac­tères, mé­lange ma­jus­cules, chiffres et sym­boles, et ne contient au­cun mot du dic­tion­naire. 

Uti­li­sez un ges­tion­naire de mots de passe comme Bit­war­den. Plus be­soin de tout mé­mo­ri­ser. Un seul coffre-fort, bien ver­rouillé. 

La double au­then­ti­fi­ca­tion (2FA) par­tout, sans ex­cep­tion

La 2FA, c’est une deuxième clé pour en­trer chez vous. Même si quel­qu’un vole votre mot de passe, il ne pour­ra pas al­ler plus loin sans le code re­çu sur votre té­lé­phone ou gé­né­ré par une app. 

Ac­ti­vez-la sur : 

• Vos comptes de ré­seaux so­ciaux 
• Votre mes­sa­ge­rie pro­fes­sion­nelle 
• Votre hé­ber­geur et votre nom de do­maine 
• Vos ou­tils de paie­ment

Pré­fé­rez les ap­pli­ca­tions comme Mi­cro­soft Au­then­ti­ca­tor aux SMS, plus vul­né­rables.

La so­lu­tion la plus sé­cu­ri­sée étant une clé phy­sique telle de Yu­bi­key.  

Des adres­sese-mail­sé­pa­rées 

Votre e‑mail pro prin­ci­pal ne de­vrait pas être ce­lui lié à tous vos comptes ré­seaux so­ciaux. En cas de pi­ra­tage de l’un, l’autre reste pro­té­gé. 

Des sau­ve­gardes ré­gu­lières

Vos don­nées de site, vos conte­nus, vos listes clients : sau­ve­gar­dez-les ré­gu­liè­re­ment en de­hors des pla­te­formes prin­ci­pales. Un cloud ex­terne, un disque dur lo­cal, ou les deux. 

Le pi­ra­tage s’est pro­duit. Le compte que vous avez mis des an­nées à construire est entre de mau­vaises mains. Voi­ci com­ment ré­agir vite et bien. 

Étape 1 : Ten­tez de re­prendre le contrôle im­mé­dia­te­ment 

Sur la plu­part des pla­te­formes, il existe une pro­cé­dure de ré­cu­pé­ra­tion via votre adresse e‑mail ou votre nu­mé­ro de té­lé­phone. Lan­cez-la sans at­tendre. 

Si le pi­rate a dé­jà chan­gé l’e-mail de ré­cu­pé­ra­tion, cher­chez l’op­tion “Je n’ai plus ac­cès à cet e‑mail” dans le for­mu­laire d’aide. Google et Mi­cro­soft ont des pro­cé­dures spé­ci­fiques pour ça. 

Étape 2 : Pré­ve­nez votre com­mu­nau­té 

Ne lais­sez pas le si­lence s’ins­tal­ler. Pos­tez sur vos autres ca­naux (news­let­ter, site web) pour in­for­mer que votre compte est com­pro­mis et que vous ne contrô­lez pas ce qui est pu­blié. 

C’est in­con­for­table. Mais c’est ce qui vous pro­tège, vous et eux. 

Étape 3 : Si­gna­lez au­près de la pla­te­forme 

Chaque ré­seau so­cial a un for­mu­laire de si­gna­le­ment pour les comptes pi­ra­tés : 

• Google : accounts.google.com/signin/recovery 
• Lin­ke­dIn : Centre d’aide > Sé­cu­ri­té du compte
• Ins­ta­gram / Fa­ce­book : Aide > Mon compte a été pi­ra­té 

La ré­ponse peut prendre 24 à 72h. Do­cu­men­tez tout : cap­tures d’é­cran, e‑mails re­çus, dates et heures. 

Étape 4 : Chan­gez tous vos mots de passe liés 

Si un compte est tom­bé, consi­dé­rez que les autres sont po­ten­tiel­le­ment ex­po­sés. Com­men­cez par votre mes­sa­ge­rie prin­ci­pale, puis vos ré­seaux, puis vos ou­tils de paie­ment. 

Étape 5 : Dé­po­sez plainte si né­ces­saire 

En France, vous pou­vez por­ter plainte au­près d’un com­mis­sa­riat ou via la pla­te­forme Pha­ros (signalement.gouv.fr). Si des don­nées clients ont été ex­po­sées, vous avez aus­si l’o­bli­ga­tion lé­gale de no­ti­fier la CNIL sous 72 heures. 

Un pi­ra­tage, ça marque. Mais il se­rait dom­mage de ne pas en ti­rer quelque chose de concret. 

Po­sez-vous ces ques­tions après l’in­ci­dent : 

• Par où est en­tré le pi­rate ? Phi­shing, mot de passe faible, ap­pa­reil com­pro­mis ? 

• Quels comptes n’é­taient pas pro­té­gés par la 2FA ? 

• Avais-je une sau­ve­garde de mes don­nées ? 

• Ai-je un plan de crise à com­mu­ni­quer à ma com­mu­nau­té en cas d’ur­gence ? 

La sé­cu­ri­té nu­mé­rique, ce n’est pas un su­jet ré­ser­vé aux DSI des grandes en­tre­prises. En tant qu’en­tre­pre­neur, vous êtes à la fois la cible et le rem­part. Au­tant être ar­mé. 

Ba­sée à Chas­se­neuil-du-Poi­tou, Dcom-So­lu­tions pro­pose des so­lu­tions de cy­ber­sé­cu­ri­té sur me­sure adap­tées aux en­tre­prises de la Vienne à Poi­tiers, des Deux-Sèvres à Niort, de la Cha­rente et de la Cha­rente-Ma­ri­time.

Pour al­ler plus loin :