Votre mot de passe ne fonctionne plus. Vos amis reçoivent des messages bizarres « de votre part ». Un e-mail vous annonce que « votre adresse a été modifiée » alors que vous n'avez rien demandé. Votre compte a très probablement été piraté. Pas de panique : dans la grande majorité des cas, un compte volé se récupère, à condition d'agir vite et dans le bon ordre. Et l'ordre compte plus que la vitesse : la plupart des comptes définitivement perdus le sont à cause d'une mauvaise première réaction, pas à cause du pirate.
Ce guide, écrit en langage simple par les techniciens de BSC Sécurité, vous accompagne étape par étape pour reprendre le contrôle de votre compte Facebook, Instagram, TikTok, Snapchat ou WhatsApp : ce qu'il faut faire dans les cinq premières minutes, comment récupérer un compte sans e-mail ni numéro d'origine, quoi faire si le pirate a activé la double authentification à votre place, les démarches officielles en France, et surtout comment refermer la porte pour ne pas être repiraté la semaine suivante. Mis à jour en septembre 2026 avec les parcours de récupération actuels de Meta.
1. Ne cliquez sur aucun lien reçu par e-mail, SMS ou messagerie : ouvrez vous-même l'application ou tapez l'adresse.
2. Si vous êtes encore connecté quelque part (téléphone, tablette, PC) : n'y touchez pas, tout se joue depuis cette session.
3. Sinon, lancez « Mot de passe oublié » tout de suite, avant que le pirate ne remplace vos coordonnées.
4. Cherchez l'e-mail « votre adresse a été modifiée » dans votre boîte (spams compris) : son lien « Ce n'était pas moi » annule tout en un clic.
5. Si l'e-mail et le numéro ont déjà été changés : parcours « Mon compte a été piraté » de la plateforme, avec vérification d'identité (code sur une ancienne coordonnée ou selfie vidéo).
6. Prévenez vos contacts par un autre canal : le pirate est en train de leur demander de l'argent en votre nom.
7. Compte récupéré : nouveau mot de passe unique, double authentification, déconnexion de tous les appareils, applications tierces révoquées, appareil nettoyé.
Êtes-vous vraiment piraté ? Piraté, cloné, suspendu ou simple tentative
Pourquoi votre compte a été piraté : les 5 portes d'entrée
Quelle est votre situation ? Le tableau d'orientation
Vous êtes encore connecté quelque part : agissez de là
Étape 1 : réinitialiser le mot de passe
Étape 2 : récupérer le compte quand l'e-mail et le numéro ont été changés
Plateforme par plateforme : Facebook, Instagram, TikTok, Snapchat, WhatsApp
Le pirate a activé la double authentification sur mon compte
Combien de temps prend la récupération ?
Pendant la récupération : protégez vos proches (message à copier)
Compte récupéré : refermez la porte, sinon il revient
Vérifiez l'appareil : c'est souvent lui, la vraie cause
Les démarches officielles en France : 17Cyber, plainte en ligne, CNIL
Cas particuliers : compte supprimé, page pro, e-mail piraté, chantage, faux récupérateurs
Votre check-list finale
Besoin d'aide ?
Questions fréquentes
Quatre situations très différentes sont confondues tous les jours, et elles n'appellent pas du tout la même réponse. Prenez 30 secondes pour vous situer avant d'agir.
Le test qui tranche en 30 secondes : ouvrez la liste des appareils connectés à votre compte.
Facebook et Instagram : Paramètres → Centre de comptes → Mot de passe et sécurité → Où vous êtes connecté(e).
TikTok : Profil → ☰ → Paramètres et confidentialité → Sécurité et autorisations → Vos appareils.
Snapchat : Paramètres → Gestion des sessions.
WhatsApp : ⋮ → Appareils connectés.
Un appareil, une ville lointaine ou un pays que vous ne reconnaissez pas ? Vous êtes bien piraté. Deux fausses peurs à connaître : la ville affichée est approximative (celle de votre opérateur, souvent à des dizaines de kilomètres), et votre propre téléphone peut apparaître deux fois après une mise à jour.
Comprendre par où le pirate est entré n'est pas de la curiosité : c'est ce qui permet de refermer la bonne porte ensuite. Cinq origines couvrent la quasi-totalité des cas que nous voyons à l'atelier.
1. La fausse page de connexion (phishing). Un e-mail, un SMS ou un message privé « de Facebook » signale une « connexion suspecte », une « violation des règles de la communauté », une « demande de badge vérifié ». Le lien mène à une copie parfaite de la page de connexion. Vous tapez vos identifiants, et parfois même le code à 6 chiffres qui suit : tout part chez le pirate en temps réel. Apprenez à les repérer avec nos guides fausses pages de connexion Facebook, Instagram, TikTok, reconnaître un e-mail de phishing en 30 secondes et faux SMS banque, impôts, La Poste.
2. Le mot de passe réutilisé. Le même mot de passe sur plusieurs sites. L'un d'eux subit une fuite de données, et des robots testent ce couple e-mail / mot de passe partout ailleurs. C'est mécanique, massif et automatisé. Si vous avez reçu un avis « vos données ont pu être exposées », lisez fuite de données chez un commerçant : que faire.
3. Un logiciel voleur de mots de passe (infostealer) installé sur le PC ou le téléphone, via un crack, un faux installeur, une pièce jointe ou une fausse vérification « je ne suis pas un robot ». Il aspire d'un coup tous les identifiants enregistrés dans le navigateur. Signes d'alerte : PC infecté, 7 signes qui alertent.
4. Le vol de session. Variante du précédent, et la plus déroutante : « j'avais un mot de passe unique et la double authentification, comment ont-ils fait ? ». Le logiciel malveillant n'a pas volé votre mot de passe, il a copié le jeton de connexion que votre navigateur garde en mémoire une fois que vous êtes identifié. Le pirate reprend votre session déjà ouverte, sans mot de passe ni code. Conséquence pratique : après une infection, changer le mot de passe ne suffit pas, il faut déconnecter tous les appareils et nettoyer le poste.
5. Le code à 6 chiffres donné à un « ami ». Un contact déjà piraté vous écrit : « je n'arrive plus à me connecter, tu peux recevoir un code pour moi ? ». Ce code est votre code de connexion. Le donner, c'est offrir votre compte. Un code reçu par SMS ne se communique jamais à personne, ami compris.
Une fois le compte volé, les escrocs s'en servent pour arnaquer vos contacts (demande d'argent en urgence, fausse vente sur Marketplace, faux placement crypto, fausse cagnotte ou récompense), diffuser du spam, faire tourner des publicités frauduleuses à vos frais, ou revendre le compte.
C'est le cas le plus favorable, et le plus souvent gâché. Il arrive très fréquemment que le pirate prenne la main sur le compte sans que votre session sur le téléphone ne soit coupée. Cette session est votre porte d'entrée : ne la fermez pas.
1. Ne vous déconnectez pas et ne désinstallez pas l'application, même « pour repartir propre ».
2. Depuis cette session, dans l'ordre : changez le mot de passe → activez la double authentification → déconnectez tous les autres appareils → vérifiez l'e-mail et le numéro enregistrés (le pirate y a peut-être déjà ajouté les siens : supprimez-les).
3. Vérifiez ensuite les applications tierces connectées et révoquez tout ce que vous ne reconnaissez pas.
En trois minutes, le pirate est dehors et ne peut plus revenir.
Si votre mot de passe habituel ne fonctionne plus, le pirate l'a changé. Rendez-vous sur la page de connexion officielle (jamais via un lien reçu par message) et cliquez sur « Mot de passe oublié ».
Facebook : facebook.com/login/identify
Instagram : instagram.com/accounts/password/reset
TikTok : application → « Se connecter » → « Mot de passe oublié » (récupération par SMS ou e-mail).
Snapchat : écran de connexion → « Mot de passe oublié ? » → réinitialisation par e-mail ou par numéro.
Si vous recevez le lien de réinitialisation, suivez-le et choisissez un mot de passe fort, nouveau et unique. Puis activez immédiatement la double authentification : c'est ce qui empêchera le pirate de revenir même s'il connaît encore votre mot de passe.
Un pirate méthodique ne se contente pas du mot de passe : il remplace aussi l'adresse e-mail et le numéro de téléphone liés au compte, et active parfois sa propre double authentification pour vous verrouiller dehors. Vous pouvez quand même récupérer votre compte sans l'e-mail ni le numéro d'origine : c'est précisément le rôle des parcours de récupération avancée, qui reposent sur une preuve d'identité.
Le réflexe à ne pas rater : l'e-mail « votre adresse a été modifiée »
Quand le pirate change votre adresse, la plateforme envoie automatiquement un avertissement sur l'ancienne adresse (la vôtre), avec un lien « Ce n'était pas moi » ou « Sécuriser mon compte ». Ce lien annule la modification et vous rend la main, même si le pirate a déjà changé le mot de passe. Il n'est valable que peu de temps, en pratique environ 24 heures.
👉 Fouillez votre boîte mail, spams et corbeille compris, et cherchez les messages de `security@facebookmail.com`, `security@mail.instagram.com`, ou les notifications TikTok et Snapchat. C'est la solution la plus rapide qui existe.
Une précaution : ce lien ne se clique que dans un e-mail que vous attendiez, reçu au moment où votre compte a effectivement été modifié. Un e-mail « ce n'était pas moi » qui arrive sans qu'il se passe rien sur votre compte est, lui, un classique du hameçonnage.
Ce que la plateforme va vous demander
Selon les cas, une ou plusieurs de ces vérifications : un ancien mot de passe que vous avez utilisé, un code envoyé sur une ancienne coordonnée (Meta conserve l'historique de vos e-mails et numéros précédents, même remplacés), la reconnaissance d'amis, une pièce d'identité, ou de plus en plus souvent une vérification par selfie vidéo : vous filmez votre visage sous plusieurs angles, comparé à vos anciennes photos de profil. C'est plus long, mais cela aboutit dans la majorité des cas.
Préparez avant de commencer : l'e-mail et le numéro utilisés à la création du compte, la date approximative d'inscription, l'appareil que vous utilisiez, la date de votre dernière connexion normale, et des captures d'écran de tout ce qui prouve que le compte est le vôtre.
Compte Facebook piraté
Ouvrez facebook.com/hacked et suivez le parcours « Mon compte a été piraté ». Meta enchaîne plusieurs vérifications selon votre cas : ancien mot de passe, code sur une ancienne coordonnée, reconnaissance d'amis, puis selfie vidéo si tout a été écrasé. Si votre compte Facebook est lié à un compte Instagram resté sain, connectez-vous à Instagram : depuis le Centre de comptes, vous pouvez souvent reprendre la main sur l'autre compte. Ce chemin est régulièrement oublié, et très efficace.
Compte Instagram piraté
Sur l'écran de connexion → « Besoin d'aide ? » → « Mon compte a été piraté », ou directement instagram.com/hacked. Instagram propose un code de sécurité sur l'e-mail ou le numéro d'origine (même si le pirate les a remplacés, l'historique est conservé), puis la vérification par selfie vidéo si rien ne fonctionne. Même astuce que ci-dessus dans l'autre sens : un compte Facebook resté sain permet de reprendre Instagram via le Centre de comptes.
Compte TikTok piraté
Dans l'application : Profil → ☰ → Signaler un problème → « Compte piraté », ou le formulaire du centre d'aide en ligne. TikTok demande les informations de création du compte : e-mail ou numéro d'origine, date approximative d'inscription, appareil utilisé, dernière connexion légitime. Les comptes TikTok se font surtout voler par de fausses pages « badge vérifié » ou « programme créateur » : ne vous connectez jamais depuis un lien reçu.
Compte Snapchat piraté
Passez par le formulaire d'assistance « Mon compte a été piraté » du support Snapchat (support.snapchat.com). Snapchat demande votre nom d'utilisateur exact, l'e-mail et le numéro d'origine, et parfois la date de création. Sur Snapchat, pensez aussi à vérifier vos Snapstreaks et contacts au retour : les pirates y ajoutent souvent des faux amis pour relancer des arnaques.
Compte WhatsApp piraté
WhatsApp fonctionne différemment : il n'y a pas de mot de passe, le compte est lié au numéro de téléphone. Désinstallez puis réinstallez l'application avec votre numéro. Vous recevrez un code de vérification par SMS : en le saisissant, vous récupérez votre compte et la session du pirate est automatiquement coupée, WhatsApp n'autorisant qu'un compte par numéro. Si une vérification en deux étapes (code PIN) mise en place par le pirate bloque l'accès, il faut patienter le délai affiché (jusqu'à 7 jours) ou écrire au support WhatsApp depuis l'application. Une fois récupéré, activez votre code PIN de vérification en deux étapes pour empêcher toute réactivation ailleurs.
C'est la situation la plus décourageante : le pirate a mis en place sa double authentification, et chaque tentative de connexion réclame un code qui arrive sur son téléphone. La réinitialisation classique ne passera plus.
Il faut obligatoirement la récupération avancée avec preuve d'identité (étape 2) : Facebook et Instagram ont prévu ce cas, c'est justement pour lui que la vérification par selfie vidéo existe.
Ne créez pas un nouveau compte avant d'avoir tenté cette voie : vous perdriez votre historique, vos photos et vos contacts, et le pirate continuerait d'utiliser l'ancien compte à votre nom.
Ne répondez pas aux « experts » qui vous proposent de « contourner la 2FA » contre paiement : c'est une arnaque (voir cas particuliers).
Pendant ces délais, ne multipliez pas les demandes parallèles : chaque nouvelle demande peut remettre la précédente en file d'attente. Une demande, puis on attend la réponse.
Tant que le pirate contrôle votre compte, il s'en sert pour escroquer vos contacts. C'est là que se produisent les vrais dégâts financiers, et c'est aussi ce qui entache votre nom.
1. Prévenez par un autre canal (SMS, appel, autre réseau) que votre compte est piraté et qu'il ne faut pas tenir compte des messages venant de vous.
2. Postez une alerte publique depuis un autre compte (un proche, votre LinkedIn) pour toucher beaucoup de monde vite.
3. Nommez les arnaques précises, elles sont toujours les mêmes : « peux-tu me dépanner de 200 € en urgence, je te rembourse ce soir », « tu peux recevoir un code par SMS pour moi ? », « vote pour moi à ce concours » (lien de phishing), une fausse vente Marketplace avec paiement d'avance, ou un placement « qui m'a rapporté 3 000 € en un mois ».
4. Signalez le compte piraté depuis un autre profil (menu ⋯ → Signaler → « Compte piraté ») : cela accélère parfois la mise en pause du compte par la plateforme.
Message prêt à envoyer à vos contacts (à adapter) :
C'est l'étape la plus importante, et la plus souvent bâclée. Récupérer le compte sans rien changer, c'est risquer de le reperdre dans la semaine. Faites la liste complète, dans l'ordre :
1. Mot de passe fort, unique, jamais utilisé ailleurs, via un gestionnaire de mots de passe.
2. Activez la double authentification, de préférence par application d'authentification (Google Authenticator, Microsoft Authenticator, Authy) plutôt que par SMS. Encore mieux quand c'est proposé : une clé d'accès (passkey), qui ne fonctionne que sur le vrai site et rend le phishing inopérant. Tout est expliqué dans la double authentification expliquée simplement.
3. Notez et rangez les codes de secours fournis lors de l'activation (imprimés, ou dans le gestionnaire de mots de passe). Sans eux, un téléphone perdu = un compte bloqué.
4. Déconnectez toutes les sessions actives (« Où vous êtes connecté » → « Se déconnecter de toutes les sessions ») et chassez les appareils inconnus. C'est la seule parade contre le vol de session décrit plus haut.
5. Révoquez les applications tierces connectées (« Applications et sites web » / « Accès des applications ») : le pirate y laisse souvent une porte dérobée qui survit au changement de mot de passe.
6. Contrôlez l'e-mail de secours et le numéro enregistrés : supprimez toute coordonnée qui n'est pas la vôtre. Activez la protection de réinitialisation quand la plateforme la propose.
7. Inspectez votre boîte mail elle-même : aucune règle de transfert ou de redirection, aucun filtre, aucun alias ajouté (piège classique pour intercepter vos futurs codes). Changez aussi le mot de passe de cette boîte : l'e-mail commande tous vos autres comptes.
8. Changez le mot de passe partout où vous l'aviez réutilisé : considérez ces comptes comme exposés.
9. Vérifiez si votre adresse figure dans une fuite connue sur haveibeenpwned.com (gratuit, il suffit d'entrer son adresse e-mail).
10. Vérifiez les moyens de paiement enregistrés (Marketplace, compte publicitaire, achats intégrés) et surveillez vos relevés bancaires les semaines suivantes.
11. Supprimez les publications et messages frauduleux envoyés en votre nom, après en avoir gardé des captures pour la plainte.
Si le piratage vient d'un logiciel voleur de mots de passe sur votre PC ou votre téléphone, changer le mot de passe ne sert à rien : le programme capturera le nouveau dans la foulée, ou copiera à nouveau votre session. Faites le ménage à la source, avant de changer les mots de passe si vous le pouvez, ou refaites-les après le nettoyage.
Sur PC : analyse complète avec Windows Defender puis Malwarebytes (la version gratuite suffit pour un scan). N'empilez pas les antivirus : pourquoi un PC devient lent avec plusieurs antivirus en conflit.
Nettoyez le navigateur : extensions douteuses, notifications abusives, moteur de recherche détourné, mots de passe enregistrés à purger. Notre guide : nettoyer un PC envahi de pubs et de notifications.
Sur Android : désinstallez toute application installée hors Play Store, en particulier les fichiers APK reçus par message. Explications dans le vrai danger des APK.
Si vous avez été victime d'une arnaque au faux support avant le piratage (prise en main à distance), le poste doit être traité en profondeur : arnaque au faux support : reconnaître et nettoyer un PC piraté et sécuriser son PC après une arnaque : 8 réflexes.
Doute sur la profondeur de l'infection ? Notre comparatif supprimer un virus : gratuit ou professionnel ? vous aide à décider.
Le piratage de compte est une infraction pénale (accès frauduleux à un système de traitement automatisé de données, articles 323-1 et suivants du Code pénal). Ces démarches vous protègent juridiquement, notamment si le pirate a escroqué vos contacts en votre nom, et aident à faire fermer les comptes frauduleux.
1. 17Cyber, le bon point de départ. Le guichet officiel 17cyber.gouv.fr (Gendarmerie nationale, Police nationale et Cybermalveillance.gouv.fr) est gratuit et disponible 24 h/24. Il vous pose quelques questions, vous donne la marche à suivre adaptée à votre cas et vous met en relation avec un policier, un gendarme ou un expert si nécessaire.
2. Déposez plainte. Le piratage d'un compte de réseau social ou de messagerie fait partie des infractions pour lesquelles la plainte en ligne est possible, via le service THESEE accessible depuis service-public.fr avec FranceConnect, sans vous déplacer. Vous pouvez aussi aller en gendarmerie ou au commissariat. Conservez captures d'écran, e-mails de notification, dates et heures : ce sont vos preuves.
3. Signalez l'incident sur cybermalveillance.gouv.fr, qui propose un diagnostic détaillé et des fiches réflexes.
4. Si des données personnelles sensibles ont fuité (photos privées, conversations, documents d'identité), vous pouvez saisir la CNIL.
5. Si le pirate réclame de l'argent pour rendre le compte, ou menace de diffuser des contenus intimes (chantage, sextorsion) : ne payez jamais, ne répondez pas, conservez les preuves et déposez plainte. C'est un délit aggravé, et payer n'a jamais fait cesser les demandes. Pour un mineur, le 3018 (numéro gratuit, 7 jours sur 7) accompagne les jeunes et les parents, et peut faire retirer rapidement des contenus.
Le pirate a supprimé mon compte
Tout n'est pas perdu : Facebook et Instagram appliquent un délai de grâce d'environ 30 jours avant l'effacement définitif. Il suffit parfois de se reconnecter avec les bons identifiants pendant cette période pour annuler la suppression. Récupérez donc l'accès en priorité (étapes 1 et 2), la restauration suit.
C'est ma page professionnelle ou mon compte publicitaire
Le circuit est différent de celui d'un compte personnel. Vérifiez d'abord si le pirate s'est ajouté comme administrateur de la Page ou du Business Manager : dans ce cas, récupérer votre compte personnel ne suffit pas, il faut aussi retirer cet administrateur et reprendre la propriété de la Page. Passez par le support Business de Meta (chat disponible pour les comptes ayant des dépenses publicitaires), et coupez immédiatement le moyen de paiement associé : les comptes publicitaires piratés servent à faire tourner des campagnes frauduleuses à vos frais. Pour une activité qui dépend du compte (commerçant, artisan, créateur), l'abonnement Meta Verified donne accès à un support humain, et une copie régulière de vos publications limite la dépendance. Les professionnels du Var peuvent aussi s'appuyer sur BSC Informatique pour la remise en ordre du parc.
Mon compte e-mail aussi est piraté
Priorité absolue à l'e-mail : il commande la réinitialisation de tous les autres comptes. Sécurisez-le en premier (mot de passe, double authentification, règles de transfert, sessions), puis seulement ensuite les réseaux sociaux. Si vous faites l'inverse, le pirate réinitialisera à nouveau vos réseaux sociaux depuis votre boîte mail.
On me propose de « récupérer mon compte » contre paiement
C'est une arnaque secondaire, très fréquente : dès qu'un piratage est visible publiquement, de faux « hackers éthiques », « experts en récupération » ou « partenaires Meta » écrivent à la victime sur Instagram, TikTok ou WhatsApp, souvent avec de fausses captures d'écran de « comptes récupérés ». Ils encaissent et disparaissent, quand ils ne vous piratent pas à leur tour. Seules les procédures officielles des plateformes rendent un compte. Aucun tiers, BSC Sécurité compris, n'a de « contact chez Meta » : ce que nous faisons, c'est vous accompagner pas à pas dans ces procédures et sécuriser tout le reste.
C'est le compte d'un parent âgé ou d'un enfant
Les procédures sont les mêmes, mais la vérification par selfie vidéo doit être faite par le titulaire du compte, sur un appareil sain, et les codes arrivent sur ses coordonnées. Prévoyez de faire les étapes ensemble. Pour un accompagnement à domicile, pas à pas, BSC Assistance est agréé service à la personne.
Je n'ai cliqué sur aucun lien reçu, j'ai tout fait depuis l'application ou l'adresse tapée moi-même
Mot de passe changé, nouveau, unique
Double authentification activée (application ou clé d'accès), codes de secours rangés
Toutes les sessions déconnectées, appareils inconnus supprimés
E-mail et numéro de secours vérifiés, coordonnées inconnues supprimées
Applications tierces inconnues révoquées
Boîte mail vérifiée (règles de transfert, mot de passe, double authentification)
Mot de passe changé sur tous les autres comptes où il était réutilisé
PC et téléphone analysés et nettoyés
Contacts prévenus, publications frauduleuses supprimées après capture
Moyens de paiement vérifiés, relevés surveillés
17Cyber consulté, plainte déposée si des proches ont été escroqués ou en cas de chantage
Copie de mes photos et conversations téléchargée (règle 3-2-1)
Mon compte Facebook a été piraté, que faire en premier ?
Si vous êtes encore connecté sur un appareil, changez le mot de passe depuis cet appareil, activez la double authentification et déconnectez les autres sessions. Sinon, lancez « Mot de passe oublié » depuis facebook.com tapé vous-même, puis cherchez dans vos e-mails le message « votre adresse a été modifiée » et son lien « Ce n'était pas moi ». Si l'e-mail et le numéro ont déjà été changés, passez par facebook.com/hacked.
Comment récupérer un compte Instagram piraté sans e-mail ni numéro ?
C'est prévu : sur l'écran de connexion, « Besoin d'aide ? » → « Mon compte a été piraté », ou instagram.com/hacked. Instagram vous identifie autrement : code envoyé sur une ancienne coordonnée (l'historique est conservé même après remplacement), ancien mot de passe, ou vérification par selfie vidéo comparée à vos anciennes photos. Si votre compte Facebook est lié et resté sain, le Centre de comptes est un chemin souvent oublié.
Combien de temps faut-il pour récupérer un compte piraté ?
Si seul le mot de passe a été changé, la récupération via « Mot de passe oublié » est immédiate. Si le pirate a modifié l'e-mail et le numéro, comptez 24 à 72 heures avec vérification par code, et plusieurs jours quand une vérification par selfie vidéo est exigée.
Le pirate a activé la double authentification sur mon compte : je fais quoi ?
La réinitialisation classique ne passera plus. Il faut obligatoirement la récupération avancée avec preuve d'identité (selfie vidéo sur Facebook et Instagram). Ne créez pas un nouveau compte avant d'avoir tenté cette voie : vous perdriez l'historique et les contacts, et le pirate garderait l'ancien compte à votre nom.
Je reçois des e-mails de réinitialisation que je n'ai pas demandés : suis-je piraté ?
Non, pas sur cette seule base. Le formulaire « Mot de passe oublié » est public : n'importe qui connaissant votre adresse peut déclencher l'envoi, mais pour aller au bout il lui faudrait votre boîte mail ou votre téléphone. Ne cliquez sur rien, ne saisissez aucun code, et changez le mot de passe par précaution. En revanche, un message « nouvelle connexion depuis un appareil inconnu » ou « votre mot de passe a été modifié » que vous n'avez pas provoqué signale une vraie compromission.
Mon compte marche toujours mais mes amis reçoivent des messages « de moi » : suis-je piraté ?
Probablement pas : c'est un clonage. Un faux profil reprend votre nom et vos photos publiques. Vérifiez « Où vous êtes connecté » pour vous en assurer, signalez le faux profil pour usurpation d'identité, prévenez vos contacts et restreignez la visibilité de vos photos de profil.
Comment savoir si mon compte Facebook ou Instagram est piraté ?
Ouvrez Centre de comptes → Mot de passe et sécurité → « Où vous êtes connecté(e) ». Un appareil, un pays ou une date de connexion que vous ne reconnaissez pas confirme le piratage. Autres signes : mot de passe refusé, e-mail « adresse modifiée », publications ou messages que vous n'avez pas écrits, applications tierces inconnues.
J'avais la double authentification et j'ai quand même été piraté : comment ?
Deux explications. Soit vous avez saisi le code sur une fausse page de connexion qui le transmettait en temps réel au pirate. Soit un logiciel malveillant sur votre PC a copié votre session déjà ouverte (vol de session) : il n'a eu besoin ni du mot de passe ni du code. Dans les deux cas : nettoyage de l'appareil, déconnexion de toutes les sessions, puis nouveau mot de passe.
Le pirate a publié des photos ou messages en mon nom : suis-je responsable ?
Non, vous êtes la victime. Une fois le compte récupéré, gardez des captures, supprimez les publications frauduleuses, vérifiez les messages envoyés, prévenez les contacts concernés. Le dépôt de plainte est justement ce qui atteste que vous n'étiez plus aux commandes.
Dois-je payer si le pirate me réclame de l'argent pour rendre mon compte ?
Non, jamais. Payer ne garantit rien et déclenche généralement de nouvelles demandes. C'est une extorsion : signalez-la sur 17Cyber et déposez plainte.
Mon compte a été supprimé par le pirate, c'est définitif ?
Pas immédiatement : Facebook et Instagram gardent le compte environ 30 jours avant l'effacement définitif. Récupérez l'accès dans ce délai et la suppression peut être annulée.
Quelqu'un me propose de récupérer mon compte contre paiement, est-ce sérieux ?
Non. Les « hackers éthiques » et « experts en récupération » qui démarchent les victimes sur Instagram, TikTok ou WhatsApp sont une arnaque secondaire. Personne n'a de passe-droit chez Meta : seules les procédures officielles rendent un compte.
Mon compte WhatsApp a été piraté : comment le récupérer ?
Réinstallez WhatsApp avec votre numéro et saisissez le code reçu par SMS : la session du pirate est coupée automatiquement. Si le pirate a activé un code PIN de vérification en deux étapes, attendez le délai affiché (jusqu'à 7 jours) ou écrivez au support depuis l'application. Activez ensuite votre propre code PIN.
Peut-on porter plainte en ligne pour un compte piraté ?
Oui. Le piratage d'un compte de réseau social ou de messagerie fait partie des infractions couvertes par la plainte en ligne (service THESEE, via service-public.fr avec FranceConnect). Commencez par 17cyber.gouv.fr, qui vous oriente et vous met en relation avec un policier ou un gendarme si nécessaire.
J'ai activé la double authentification mais j'ai perdu mon téléphone : suis-je bloqué ?
Non, si vous avez conservé les codes de secours fournis lors de l'activation. Sans eux, il faudra passer par la récupération de la plateforme. C'est pourquoi nous imprimons systématiquement ces codes lors de nos interventions.
Comment savoir qui m'a piraté ?
En pratique, on ne le sait presque jamais : ce sont le plus souvent des réseaux automatisés à l'étranger, pas une connaissance. L'historique des connexions donne un pays et un type d'appareil, utile pour la plainte, insuffisant pour identifier quelqu'un. Cherchez plutôt par où c'est entré (phishing, mot de passe réutilisé, logiciel malveillant) : c'est ça qui protège l'avenir.
Comment être sûr que ça ne se reproduira pas ?
Trois gestes couvrent l'immense majorité des risques : un mot de passe unique par compte (via un gestionnaire), la double authentification activée partout, de préférence par application ou clé d'accès, et ne jamais se connecter depuis un lien reçu par e-mail, SMS ou message. C'est exactement ce que nous mettons en place lors d'un conseil en sécurisation.
Faut-il tout de même sauvegarder ses photos et conversations ?
Oui. Un compte peut être perdu définitivement (suppression, blocage, plateforme injoignable). Téléchargez régulièrement une copie de vos données depuis les paramètres du réseau social, et appliquez la règle de sauvegarde 3-2-1 à ce qui compte pour vous.
Ce guide, écrit en langage simple par les techniciens de BSC Sécurité, vous accompagne étape par étape pour reprendre le contrôle de votre compte Facebook, Instagram, TikTok, Snapchat ou WhatsApp : ce qu'il faut faire dans les cinq premières minutes, comment récupérer un compte sans e-mail ni numéro d'origine, quoi faire si le pirate a activé la double authentification à votre place, les démarches officielles en France, et surtout comment refermer la porte pour ne pas être repiraté la semaine suivante. Mis à jour en septembre 2026 avec les parcours de récupération actuels de Meta.
⚡ La réponse en 30 secondes
1. Ne cliquez sur aucun lien reçu par e-mail, SMS ou messagerie : ouvrez vous-même l'application ou tapez l'adresse.
2. Si vous êtes encore connecté quelque part (téléphone, tablette, PC) : n'y touchez pas, tout se joue depuis cette session.
3. Sinon, lancez « Mot de passe oublié » tout de suite, avant que le pirate ne remplace vos coordonnées.
4. Cherchez l'e-mail « votre adresse a été modifiée » dans votre boîte (spams compris) : son lien « Ce n'était pas moi » annule tout en un clic.
5. Si l'e-mail et le numéro ont déjà été changés : parcours « Mon compte a été piraté » de la plateforme, avec vérification d'identité (code sur une ancienne coordonnée ou selfie vidéo).
6. Prévenez vos contacts par un autre canal : le pirate est en train de leur demander de l'argent en votre nom.
7. Compte récupéré : nouveau mot de passe unique, double authentification, déconnexion de tous les appareils, applications tierces révoquées, appareil nettoyé.
💡 La règle des premières minutes. Tant que le pirate n'a pas remplacé votre adresse e-mail et votre numéro de téléphone, la récupération est immédiate et automatique. Une fois qu'il l'a fait, il faut passer par une vérification d'identité qui prend de 24 heures à plusieurs jours. Chaque minute gagnée au début en économise des jours ensuite.
Sommaire
Êtes-vous vraiment piraté ? Piraté, cloné, suspendu ou simple tentative Pourquoi votre compte a été piraté : les 5 portes d'entrée Quelle est votre situation ? Le tableau d'orientation Vous êtes encore connecté quelque part : agissez de là Étape 1 : réinitialiser le mot de passe Étape 2 : récupérer le compte quand l'e-mail et le numéro ont été changés Plateforme par plateforme : Facebook, Instagram, TikTok, Snapchat, WhatsApp Le pirate a activé la double authentification sur mon compte Combien de temps prend la récupération ? Pendant la récupération : protégez vos proches (message à copier) Compte récupéré : refermez la porte, sinon il revient Vérifiez l'appareil : c'est souvent lui, la vraie cause Les démarches officielles en France : 17Cyber, plainte en ligne, CNIL Cas particuliers : compte supprimé, page pro, e-mail piraté, chantage, faux récupérateurs Votre check-list finale Besoin d'aide ? Questions fréquentesÊtes-vous vraiment piraté ? Piraté, cloné, suspendu ou simple tentative
Quatre situations très différentes sont confondues tous les jours, et elles n'appellent pas du tout la même réponse. Prenez 30 secondes pour vous situer avant d'agir.
| Ce que vous constatez | Ce qui se passe | Ce qu'il faut faire |
|---|---|---|
| Mot de passe refusé, messages ou publications que vous n'avez pas faits, e-mail « adresse modifiée », connexion depuis un pays inconnu | Compte piraté (quelqu'un est entré dans votre vrai compte) | Ce guide, dans l'ordre |
| Votre compte fonctionne normalement, mais vos amis reçoivent des demandes d'amis ou des messages d'un second profil à votre nom et avec vos photos | Compte cloné (personne n'est entré, vos photos publiques ont été copiées) | Rien à récupérer : signalez le faux profil (menu ⋯ → Signaler → Usurpation d'identité), prévenez vos contacts, restreignez la visibilité de vos anciennes photos de profil |
| Vous recevez des e-mails « réinitialisation de votre mot de passe » ou des codes de connexion que vous n'avez pas demandés, mais rien d'autre | Tentative, pas une compromission : n'importe qui connaissant votre adresse peut déclencher ces envois | Ne cliquez sur rien, ne saisissez aucun code, changez le mot de passe par précaution. Explications dans notre article mail de réinitialisation non demandé : est-ce grave ? |
| Votre mot de passe fonctionne, personne n'est entré, mais Instagram a suspendu ou désactivé le compte | Compte suspendu, parfois à la suite de fausses plaintes pour droits d'auteur suivies d'une demande de rançon | Contestation gratuite depuis l'application, jamais via un lien reçu. Voir compte Instagram suspendu pour droits d'auteur : l'arnaque |
Le test qui tranche en 30 secondes : ouvrez la liste des appareils connectés à votre compte.
Facebook et Instagram : Paramètres → Centre de comptes → Mot de passe et sécurité → Où vous êtes connecté(e). TikTok : Profil → ☰ → Paramètres et confidentialité → Sécurité et autorisations → Vos appareils. Snapchat : Paramètres → Gestion des sessions. WhatsApp : ⋮ → Appareils connectés.Un appareil, une ville lointaine ou un pays que vous ne reconnaissez pas ? Vous êtes bien piraté. Deux fausses peurs à connaître : la ville affichée est approximative (celle de votre opérateur, souvent à des dizaines de kilomètres), et votre propre téléphone peut apparaître deux fois après une mise à jour.
Pourquoi votre compte a été piraté : les 5 portes d'entrée
Comprendre par où le pirate est entré n'est pas de la curiosité : c'est ce qui permet de refermer la bonne porte ensuite. Cinq origines couvrent la quasi-totalité des cas que nous voyons à l'atelier.
1. La fausse page de connexion (phishing). Un e-mail, un SMS ou un message privé « de Facebook » signale une « connexion suspecte », une « violation des règles de la communauté », une « demande de badge vérifié ». Le lien mène à une copie parfaite de la page de connexion. Vous tapez vos identifiants, et parfois même le code à 6 chiffres qui suit : tout part chez le pirate en temps réel. Apprenez à les repérer avec nos guides fausses pages de connexion Facebook, Instagram, TikTok, reconnaître un e-mail de phishing en 30 secondes et faux SMS banque, impôts, La Poste.
2. Le mot de passe réutilisé. Le même mot de passe sur plusieurs sites. L'un d'eux subit une fuite de données, et des robots testent ce couple e-mail / mot de passe partout ailleurs. C'est mécanique, massif et automatisé. Si vous avez reçu un avis « vos données ont pu être exposées », lisez fuite de données chez un commerçant : que faire.
3. Un logiciel voleur de mots de passe (infostealer) installé sur le PC ou le téléphone, via un crack, un faux installeur, une pièce jointe ou une fausse vérification « je ne suis pas un robot ». Il aspire d'un coup tous les identifiants enregistrés dans le navigateur. Signes d'alerte : PC infecté, 7 signes qui alertent.
4. Le vol de session. Variante du précédent, et la plus déroutante : « j'avais un mot de passe unique et la double authentification, comment ont-ils fait ? ». Le logiciel malveillant n'a pas volé votre mot de passe, il a copié le jeton de connexion que votre navigateur garde en mémoire une fois que vous êtes identifié. Le pirate reprend votre session déjà ouverte, sans mot de passe ni code. Conséquence pratique : après une infection, changer le mot de passe ne suffit pas, il faut déconnecter tous les appareils et nettoyer le poste.
5. Le code à 6 chiffres donné à un « ami ». Un contact déjà piraté vous écrit : « je n'arrive plus à me connecter, tu peux recevoir un code pour moi ? ». Ce code est votre code de connexion. Le donner, c'est offrir votre compte. Un code reçu par SMS ne se communique jamais à personne, ami compris.
Une fois le compte volé, les escrocs s'en servent pour arnaquer vos contacts (demande d'argent en urgence, fausse vente sur Marketplace, faux placement crypto, fausse cagnotte ou récompense), diffuser du spam, faire tourner des publicités frauduleuses à vos frais, ou revendre le compte.
Quelle est votre situation ? Le tableau d'orientation
| Votre situation | Ce qu'il faut faire |
|---|---|
| Je suis encore connecté sur un appareil | Ne vous déconnectez surtout pas : sécurisez depuis cet appareil (voir) |
| Mon mot de passe ne marche plus | « Mot de passe oublié » immédiatement (étape 1) |
| Le pirate a changé l'e-mail ou le numéro | Lien « Ce n'était pas moi », puis parcours « compte piraté » avec vérification d'identité (étape 2) |
| Le pirate a activé la double authentification sur mon compte | Récupération avancée uniquement, selfie vidéo (voir) |
| Mon compte a été supprimé par le pirate | Réactivation possible sous environ 30 jours (cas particuliers) |
| C'est ma page pro ou mon compte publicitaire | Circuit Business Meta, différent du compte perso (cas particuliers) |
| Le pirate me fait chanter (photos, vidéos, argent contre le compte) | Ne payez pas : 17Cyber + plainte (démarches) |
| Mon téléphone a été volé avec les applications ouvertes | Déconnexion à distance de toutes les sessions, puis téléphone perdu ou volé : que faire |
Vous êtes encore connecté quelque part ? Agissez de là, tout de suite
C'est le cas le plus favorable, et le plus souvent gâché. Il arrive très fréquemment que le pirate prenne la main sur le compte sans que votre session sur le téléphone ne soit coupée. Cette session est votre porte d'entrée : ne la fermez pas.
1. Ne vous déconnectez pas et ne désinstallez pas l'application, même « pour repartir propre ».
2. Depuis cette session, dans l'ordre : changez le mot de passe → activez la double authentification → déconnectez tous les autres appareils → vérifiez l'e-mail et le numéro enregistrés (le pirate y a peut-être déjà ajouté les siens : supprimez-les).
3. Vérifiez ensuite les applications tierces connectées et révoquez tout ce que vous ne reconnaissez pas.
En trois minutes, le pirate est dehors et ne peut plus revenir.
Étape 1 : réinitialiser le mot de passe (le réflexe qui marche 7 fois sur 10)
Si votre mot de passe habituel ne fonctionne plus, le pirate l'a changé. Rendez-vous sur la page de connexion officielle (jamais via un lien reçu par message) et cliquez sur « Mot de passe oublié ».
Facebook : facebook.com/login/identify Instagram : instagram.com/accounts/password/reset TikTok : application → « Se connecter » → « Mot de passe oublié » (récupération par SMS ou e-mail). Snapchat : écran de connexion → « Mot de passe oublié ? » → réinitialisation par e-mail ou par numéro.Si vous recevez le lien de réinitialisation, suivez-le et choisissez un mot de passe fort, nouveau et unique. Puis activez immédiatement la double authentification : c'est ce qui empêchera le pirate de revenir même s'il connaît encore votre mot de passe.
⚠️ Ne réutilisez pas un mot de passe déjà employé ailleurs. Si le piratage vient d'une fuite de données, le pirate le connaît déjà. Un gestionnaire de mots de passe règle ce problème une fois pour toutes.
Le lien de réinitialisation n'arrive pas ? Regardez dans les spams, vérifiez que vous avez saisi l'adresse ou le numéro qui étaient liés au compte (pas votre adresse actuelle si elle a changé depuis l'inscription), et essayez avec votre nom d'utilisateur plutôt que l'e-mail. S'il n'arrive toujours pas, le pirate a probablement déjà remplacé vos coordonnées : passez à l'étape 2.Étape 2 : récupérer le compte quand le pirate a changé l'e-mail et le numéro
Un pirate méthodique ne se contente pas du mot de passe : il remplace aussi l'adresse e-mail et le numéro de téléphone liés au compte, et active parfois sa propre double authentification pour vous verrouiller dehors. Vous pouvez quand même récupérer votre compte sans l'e-mail ni le numéro d'origine : c'est précisément le rôle des parcours de récupération avancée, qui reposent sur une preuve d'identité.
Le réflexe à ne pas rater : l'e-mail « votre adresse a été modifiée »
Quand le pirate change votre adresse, la plateforme envoie automatiquement un avertissement sur l'ancienne adresse (la vôtre), avec un lien « Ce n'était pas moi » ou « Sécuriser mon compte ». Ce lien annule la modification et vous rend la main, même si le pirate a déjà changé le mot de passe. Il n'est valable que peu de temps, en pratique environ 24 heures.
👉 Fouillez votre boîte mail, spams et corbeille compris, et cherchez les messages de `security@facebookmail.com`, `security@mail.instagram.com`, ou les notifications TikTok et Snapchat. C'est la solution la plus rapide qui existe.
Une précaution : ce lien ne se clique que dans un e-mail que vous attendiez, reçu au moment où votre compte a effectivement été modifié. Un e-mail « ce n'était pas moi » qui arrive sans qu'il se passe rien sur votre compte est, lui, un classique du hameçonnage.
Ce que la plateforme va vous demander
Selon les cas, une ou plusieurs de ces vérifications : un ancien mot de passe que vous avez utilisé, un code envoyé sur une ancienne coordonnée (Meta conserve l'historique de vos e-mails et numéros précédents, même remplacés), la reconnaissance d'amis, une pièce d'identité, ou de plus en plus souvent une vérification par selfie vidéo : vous filmez votre visage sous plusieurs angles, comparé à vos anciennes photos de profil. C'est plus long, mais cela aboutit dans la majorité des cas.
Préparez avant de commencer : l'e-mail et le numéro utilisés à la création du compte, la date approximative d'inscription, l'appareil que vous utilisiez, la date de votre dernière connexion normale, et des captures d'écran de tout ce qui prouve que le compte est le vôtre.
Plateforme par plateforme : Facebook, Instagram, TikTok, Snapchat, WhatsApp
Compte Facebook piraté
Ouvrez facebook.com/hacked et suivez le parcours « Mon compte a été piraté ». Meta enchaîne plusieurs vérifications selon votre cas : ancien mot de passe, code sur une ancienne coordonnée, reconnaissance d'amis, puis selfie vidéo si tout a été écrasé. Si votre compte Facebook est lié à un compte Instagram resté sain, connectez-vous à Instagram : depuis le Centre de comptes, vous pouvez souvent reprendre la main sur l'autre compte. Ce chemin est régulièrement oublié, et très efficace.
Compte Instagram piraté
Sur l'écran de connexion → « Besoin d'aide ? » → « Mon compte a été piraté », ou directement instagram.com/hacked. Instagram propose un code de sécurité sur l'e-mail ou le numéro d'origine (même si le pirate les a remplacés, l'historique est conservé), puis la vérification par selfie vidéo si rien ne fonctionne. Même astuce que ci-dessus dans l'autre sens : un compte Facebook resté sain permet de reprendre Instagram via le Centre de comptes.
Compte TikTok piraté
Dans l'application : Profil → ☰ → Signaler un problème → « Compte piraté », ou le formulaire du centre d'aide en ligne. TikTok demande les informations de création du compte : e-mail ou numéro d'origine, date approximative d'inscription, appareil utilisé, dernière connexion légitime. Les comptes TikTok se font surtout voler par de fausses pages « badge vérifié » ou « programme créateur » : ne vous connectez jamais depuis un lien reçu.
Compte Snapchat piraté
Passez par le formulaire d'assistance « Mon compte a été piraté » du support Snapchat (support.snapchat.com). Snapchat demande votre nom d'utilisateur exact, l'e-mail et le numéro d'origine, et parfois la date de création. Sur Snapchat, pensez aussi à vérifier vos Snapstreaks et contacts au retour : les pirates y ajoutent souvent des faux amis pour relancer des arnaques.
Compte WhatsApp piraté
WhatsApp fonctionne différemment : il n'y a pas de mot de passe, le compte est lié au numéro de téléphone. Désinstallez puis réinstallez l'application avec votre numéro. Vous recevrez un code de vérification par SMS : en le saisissant, vous récupérez votre compte et la session du pirate est automatiquement coupée, WhatsApp n'autorisant qu'un compte par numéro. Si une vérification en deux étapes (code PIN) mise en place par le pirate bloque l'accès, il faut patienter le délai affiché (jusqu'à 7 jours) ou écrire au support WhatsApp depuis l'application. Une fois récupéré, activez votre code PIN de vérification en deux étapes pour empêcher toute réactivation ailleurs.
⚠️ Les parcours de récupération évoluent régulièrement et Meta teste souvent plusieurs variantes en parallèle. Si une étape ne correspond plus exactement à ce qui s'affiche, suivez les indications à jour de la plateforme : la logique reste toujours la même, prouver que vous êtes le vrai titulaire.
Le pirate a activé la double authentification sur mon compte
C'est la situation la plus décourageante : le pirate a mis en place sa double authentification, et chaque tentative de connexion réclame un code qui arrive sur son téléphone. La réinitialisation classique ne passera plus.
Il faut obligatoirement la récupération avancée avec preuve d'identité (étape 2) : Facebook et Instagram ont prévu ce cas, c'est justement pour lui que la vérification par selfie vidéo existe. Ne créez pas un nouveau compte avant d'avoir tenté cette voie : vous perdriez votre historique, vos photos et vos contacts, et le pirate continuerait d'utiliser l'ancien compte à votre nom. Ne répondez pas aux « experts » qui vous proposent de « contourner la 2FA » contre paiement : c'est une arnaque (voir cas particuliers).Combien de temps prend la récupération ?
| Situation | Délai habituel |
|---|---|
| Mot de passe changé seulement | Immédiat (« Mot de passe oublié ») |
| Lien « Ce n'était pas moi » utilisé à temps | Immédiat |
| E-mail ou numéro changés, vérification par code sur une ancienne coordonnée | 24 à 72 heures |
| Vérification par selfie vidéo (Facebook, Instagram) | 48 heures à quelques jours, parfois davantage |
| WhatsApp avec code PIN du pirate | jusqu'à 7 jours |
| Compte supprimé par le pirate | réactivation possible pendant environ 30 jours |
Pendant ces délais, ne multipliez pas les demandes parallèles : chaque nouvelle demande peut remettre la précédente en file d'attente. Une demande, puis on attend la réponse.
Pendant la récupération : protégez vos proches
Tant que le pirate contrôle votre compte, il s'en sert pour escroquer vos contacts. C'est là que se produisent les vrais dégâts financiers, et c'est aussi ce qui entache votre nom.
1. Prévenez par un autre canal (SMS, appel, autre réseau) que votre compte est piraté et qu'il ne faut pas tenir compte des messages venant de vous.
2. Postez une alerte publique depuis un autre compte (un proche, votre LinkedIn) pour toucher beaucoup de monde vite.
3. Nommez les arnaques précises, elles sont toujours les mêmes : « peux-tu me dépanner de 200 € en urgence, je te rembourse ce soir », « tu peux recevoir un code par SMS pour moi ? », « vote pour moi à ce concours » (lien de phishing), une fausse vente Marketplace avec paiement d'avance, ou un placement « qui m'a rapporté 3 000 € en un mois ».
4. Signalez le compte piraté depuis un autre profil (menu ⋯ → Signaler → « Compte piraté ») : cela accélère parfois la mise en pause du compte par la plateforme.
Message prêt à envoyer à vos contacts (à adapter) :
Bonjour, mon compte Facebook / Instagram a été piraté. Si vous recevez un message de « ma part » demandant de l'argent, un code reçu par SMS, ou proposant un placement ou une vente, ce n'est pas moi : ne répondez pas et ne cliquez sur rien. Je vous préviendrai par ce canal quand j'aurai récupéré mon compte. Merci !
Si un proche a déjà envoyé de l'argent, il doit contacter sa banque immédiatement : notre article fraude bancaire, se faire rembourser détaille les recours.Compte récupéré : refermez la porte, sinon il revient
C'est l'étape la plus importante, et la plus souvent bâclée. Récupérer le compte sans rien changer, c'est risquer de le reperdre dans la semaine. Faites la liste complète, dans l'ordre :
1. Mot de passe fort, unique, jamais utilisé ailleurs, via un gestionnaire de mots de passe.
2. Activez la double authentification, de préférence par application d'authentification (Google Authenticator, Microsoft Authenticator, Authy) plutôt que par SMS. Encore mieux quand c'est proposé : une clé d'accès (passkey), qui ne fonctionne que sur le vrai site et rend le phishing inopérant. Tout est expliqué dans la double authentification expliquée simplement.
3. Notez et rangez les codes de secours fournis lors de l'activation (imprimés, ou dans le gestionnaire de mots de passe). Sans eux, un téléphone perdu = un compte bloqué.
4. Déconnectez toutes les sessions actives (« Où vous êtes connecté » → « Se déconnecter de toutes les sessions ») et chassez les appareils inconnus. C'est la seule parade contre le vol de session décrit plus haut.
5. Révoquez les applications tierces connectées (« Applications et sites web » / « Accès des applications ») : le pirate y laisse souvent une porte dérobée qui survit au changement de mot de passe.
6. Contrôlez l'e-mail de secours et le numéro enregistrés : supprimez toute coordonnée qui n'est pas la vôtre. Activez la protection de réinitialisation quand la plateforme la propose.
7. Inspectez votre boîte mail elle-même : aucune règle de transfert ou de redirection, aucun filtre, aucun alias ajouté (piège classique pour intercepter vos futurs codes). Changez aussi le mot de passe de cette boîte : l'e-mail commande tous vos autres comptes.
8. Changez le mot de passe partout où vous l'aviez réutilisé : considérez ces comptes comme exposés.
9. Vérifiez si votre adresse figure dans une fuite connue sur haveibeenpwned.com (gratuit, il suffit d'entrer son adresse e-mail).
10. Vérifiez les moyens de paiement enregistrés (Marketplace, compte publicitaire, achats intégrés) et surveillez vos relevés bancaires les semaines suivantes.
11. Supprimez les publications et messages frauduleux envoyés en votre nom, après en avoir gardé des captures pour la plainte.
Vérifiez l'appareil : c'est souvent lui, la vraie cause
Si le piratage vient d'un logiciel voleur de mots de passe sur votre PC ou votre téléphone, changer le mot de passe ne sert à rien : le programme capturera le nouveau dans la foulée, ou copiera à nouveau votre session. Faites le ménage à la source, avant de changer les mots de passe si vous le pouvez, ou refaites-les après le nettoyage.
Sur PC : analyse complète avec Windows Defender puis Malwarebytes (la version gratuite suffit pour un scan). N'empilez pas les antivirus : pourquoi un PC devient lent avec plusieurs antivirus en conflit. Nettoyez le navigateur : extensions douteuses, notifications abusives, moteur de recherche détourné, mots de passe enregistrés à purger. Notre guide : nettoyer un PC envahi de pubs et de notifications. Sur Android : désinstallez toute application installée hors Play Store, en particulier les fichiers APK reçus par message. Explications dans le vrai danger des APK. Si vous avez été victime d'une arnaque au faux support avant le piratage (prise en main à distance), le poste doit être traité en profondeur : arnaque au faux support : reconnaître et nettoyer un PC piraté et sécuriser son PC après une arnaque : 8 réflexes. Doute sur la profondeur de l'infection ? Notre comparatif supprimer un virus : gratuit ou professionnel ? vous aide à décider.Les démarches officielles en France (2026)
Le piratage de compte est une infraction pénale (accès frauduleux à un système de traitement automatisé de données, articles 323-1 et suivants du Code pénal). Ces démarches vous protègent juridiquement, notamment si le pirate a escroqué vos contacts en votre nom, et aident à faire fermer les comptes frauduleux.
1. 17Cyber, le bon point de départ. Le guichet officiel 17cyber.gouv.fr (Gendarmerie nationale, Police nationale et Cybermalveillance.gouv.fr) est gratuit et disponible 24 h/24. Il vous pose quelques questions, vous donne la marche à suivre adaptée à votre cas et vous met en relation avec un policier, un gendarme ou un expert si nécessaire.
2. Déposez plainte. Le piratage d'un compte de réseau social ou de messagerie fait partie des infractions pour lesquelles la plainte en ligne est possible, via le service THESEE accessible depuis service-public.fr avec FranceConnect, sans vous déplacer. Vous pouvez aussi aller en gendarmerie ou au commissariat. Conservez captures d'écran, e-mails de notification, dates et heures : ce sont vos preuves.
3. Signalez l'incident sur cybermalveillance.gouv.fr, qui propose un diagnostic détaillé et des fiches réflexes.
4. Si des données personnelles sensibles ont fuité (photos privées, conversations, documents d'identité), vous pouvez saisir la CNIL.
5. Si le pirate réclame de l'argent pour rendre le compte, ou menace de diffuser des contenus intimes (chantage, sextorsion) : ne payez jamais, ne répondez pas, conservez les preuves et déposez plainte. C'est un délit aggravé, et payer n'a jamais fait cesser les demandes. Pour un mineur, le 3018 (numéro gratuit, 7 jours sur 7) accompagne les jeunes et les parents, et peut faire retirer rapidement des contenus.
Cas particuliers
Le pirate a supprimé mon compte
Tout n'est pas perdu : Facebook et Instagram appliquent un délai de grâce d'environ 30 jours avant l'effacement définitif. Il suffit parfois de se reconnecter avec les bons identifiants pendant cette période pour annuler la suppression. Récupérez donc l'accès en priorité (étapes 1 et 2), la restauration suit.
C'est ma page professionnelle ou mon compte publicitaire
Le circuit est différent de celui d'un compte personnel. Vérifiez d'abord si le pirate s'est ajouté comme administrateur de la Page ou du Business Manager : dans ce cas, récupérer votre compte personnel ne suffit pas, il faut aussi retirer cet administrateur et reprendre la propriété de la Page. Passez par le support Business de Meta (chat disponible pour les comptes ayant des dépenses publicitaires), et coupez immédiatement le moyen de paiement associé : les comptes publicitaires piratés servent à faire tourner des campagnes frauduleuses à vos frais. Pour une activité qui dépend du compte (commerçant, artisan, créateur), l'abonnement Meta Verified donne accès à un support humain, et une copie régulière de vos publications limite la dépendance. Les professionnels du Var peuvent aussi s'appuyer sur BSC Informatique pour la remise en ordre du parc.
Mon compte e-mail aussi est piraté
Priorité absolue à l'e-mail : il commande la réinitialisation de tous les autres comptes. Sécurisez-le en premier (mot de passe, double authentification, règles de transfert, sessions), puis seulement ensuite les réseaux sociaux. Si vous faites l'inverse, le pirate réinitialisera à nouveau vos réseaux sociaux depuis votre boîte mail.
On me propose de « récupérer mon compte » contre paiement
C'est une arnaque secondaire, très fréquente : dès qu'un piratage est visible publiquement, de faux « hackers éthiques », « experts en récupération » ou « partenaires Meta » écrivent à la victime sur Instagram, TikTok ou WhatsApp, souvent avec de fausses captures d'écran de « comptes récupérés ». Ils encaissent et disparaissent, quand ils ne vous piratent pas à leur tour. Seules les procédures officielles des plateformes rendent un compte. Aucun tiers, BSC Sécurité compris, n'a de « contact chez Meta » : ce que nous faisons, c'est vous accompagner pas à pas dans ces procédures et sécuriser tout le reste.
C'est le compte d'un parent âgé ou d'un enfant
Les procédures sont les mêmes, mais la vérification par selfie vidéo doit être faite par le titulaire du compte, sur un appareil sain, et les codes arrivent sur ses coordonnées. Prévoyez de faire les étapes ensemble. Pour un accompagnement à domicile, pas à pas, BSC Assistance est agréé service à la personne.
En résumé, vite et dans l'ordre : session encore ouverte → « Mot de passe oublié » → lien « Ce n'était pas moi » dans vos e-mails → parcours « compte piraté » de la plateforme si l'e-mail a été changé → prévenez vos contacts → 17Cyber + plainte → et surtout, une fois le compte récupéré : double authentification activée, sessions déconnectées, applications tierces révoquées, appareil nettoyé. C'est ce dernier point qui empêche la récidive.
Votre check-list finale
Je n'ai cliqué sur aucun lien reçu, j'ai tout fait depuis l'application ou l'adresse tapée moi-même Mot de passe changé, nouveau, unique Double authentification activée (application ou clé d'accès), codes de secours rangés Toutes les sessions déconnectées, appareils inconnus supprimés E-mail et numéro de secours vérifiés, coordonnées inconnues supprimées Applications tierces inconnues révoquées Boîte mail vérifiée (règles de transfert, mot de passe, double authentification) Mot de passe changé sur tous les autres comptes où il était réutilisé PC et téléphone analysés et nettoyés Contacts prévenus, publications frauduleuses supprimées après capture Moyens de paiement vérifiés, relevés surveillés 17Cyber consulté, plainte déposée si des proches ont été escroqués ou en cas de chantage Copie de mes photos et conversations téléchargée (règle 3-2-1)Questions fréquentes
Mon compte Facebook a été piraté, que faire en premier ?
Si vous êtes encore connecté sur un appareil, changez le mot de passe depuis cet appareil, activez la double authentification et déconnectez les autres sessions. Sinon, lancez « Mot de passe oublié » depuis facebook.com tapé vous-même, puis cherchez dans vos e-mails le message « votre adresse a été modifiée » et son lien « Ce n'était pas moi ». Si l'e-mail et le numéro ont déjà été changés, passez par facebook.com/hacked.
Comment récupérer un compte Instagram piraté sans e-mail ni numéro ?
C'est prévu : sur l'écran de connexion, « Besoin d'aide ? » → « Mon compte a été piraté », ou instagram.com/hacked. Instagram vous identifie autrement : code envoyé sur une ancienne coordonnée (l'historique est conservé même après remplacement), ancien mot de passe, ou vérification par selfie vidéo comparée à vos anciennes photos. Si votre compte Facebook est lié et resté sain, le Centre de comptes est un chemin souvent oublié.
Combien de temps faut-il pour récupérer un compte piraté ?
Si seul le mot de passe a été changé, la récupération via « Mot de passe oublié » est immédiate. Si le pirate a modifié l'e-mail et le numéro, comptez 24 à 72 heures avec vérification par code, et plusieurs jours quand une vérification par selfie vidéo est exigée.
Le pirate a activé la double authentification sur mon compte : je fais quoi ?
La réinitialisation classique ne passera plus. Il faut obligatoirement la récupération avancée avec preuve d'identité (selfie vidéo sur Facebook et Instagram). Ne créez pas un nouveau compte avant d'avoir tenté cette voie : vous perdriez l'historique et les contacts, et le pirate garderait l'ancien compte à votre nom.
Je reçois des e-mails de réinitialisation que je n'ai pas demandés : suis-je piraté ?
Non, pas sur cette seule base. Le formulaire « Mot de passe oublié » est public : n'importe qui connaissant votre adresse peut déclencher l'envoi, mais pour aller au bout il lui faudrait votre boîte mail ou votre téléphone. Ne cliquez sur rien, ne saisissez aucun code, et changez le mot de passe par précaution. En revanche, un message « nouvelle connexion depuis un appareil inconnu » ou « votre mot de passe a été modifié » que vous n'avez pas provoqué signale une vraie compromission.
Mon compte marche toujours mais mes amis reçoivent des messages « de moi » : suis-je piraté ?
Probablement pas : c'est un clonage. Un faux profil reprend votre nom et vos photos publiques. Vérifiez « Où vous êtes connecté » pour vous en assurer, signalez le faux profil pour usurpation d'identité, prévenez vos contacts et restreignez la visibilité de vos photos de profil.
Comment savoir si mon compte Facebook ou Instagram est piraté ?
Ouvrez Centre de comptes → Mot de passe et sécurité → « Où vous êtes connecté(e) ». Un appareil, un pays ou une date de connexion que vous ne reconnaissez pas confirme le piratage. Autres signes : mot de passe refusé, e-mail « adresse modifiée », publications ou messages que vous n'avez pas écrits, applications tierces inconnues.
J'avais la double authentification et j'ai quand même été piraté : comment ?
Deux explications. Soit vous avez saisi le code sur une fausse page de connexion qui le transmettait en temps réel au pirate. Soit un logiciel malveillant sur votre PC a copié votre session déjà ouverte (vol de session) : il n'a eu besoin ni du mot de passe ni du code. Dans les deux cas : nettoyage de l'appareil, déconnexion de toutes les sessions, puis nouveau mot de passe.
Le pirate a publié des photos ou messages en mon nom : suis-je responsable ?
Non, vous êtes la victime. Une fois le compte récupéré, gardez des captures, supprimez les publications frauduleuses, vérifiez les messages envoyés, prévenez les contacts concernés. Le dépôt de plainte est justement ce qui atteste que vous n'étiez plus aux commandes.
Dois-je payer si le pirate me réclame de l'argent pour rendre mon compte ?
Non, jamais. Payer ne garantit rien et déclenche généralement de nouvelles demandes. C'est une extorsion : signalez-la sur 17Cyber et déposez plainte.
Mon compte a été supprimé par le pirate, c'est définitif ?
Pas immédiatement : Facebook et Instagram gardent le compte environ 30 jours avant l'effacement définitif. Récupérez l'accès dans ce délai et la suppression peut être annulée.
Quelqu'un me propose de récupérer mon compte contre paiement, est-ce sérieux ?
Non. Les « hackers éthiques » et « experts en récupération » qui démarchent les victimes sur Instagram, TikTok ou WhatsApp sont une arnaque secondaire. Personne n'a de passe-droit chez Meta : seules les procédures officielles rendent un compte.
Mon compte WhatsApp a été piraté : comment le récupérer ?
Réinstallez WhatsApp avec votre numéro et saisissez le code reçu par SMS : la session du pirate est coupée automatiquement. Si le pirate a activé un code PIN de vérification en deux étapes, attendez le délai affiché (jusqu'à 7 jours) ou écrivez au support depuis l'application. Activez ensuite votre propre code PIN.
Peut-on porter plainte en ligne pour un compte piraté ?
Oui. Le piratage d'un compte de réseau social ou de messagerie fait partie des infractions couvertes par la plainte en ligne (service THESEE, via service-public.fr avec FranceConnect). Commencez par 17cyber.gouv.fr, qui vous oriente et vous met en relation avec un policier ou un gendarme si nécessaire.
J'ai activé la double authentification mais j'ai perdu mon téléphone : suis-je bloqué ?
Non, si vous avez conservé les codes de secours fournis lors de l'activation. Sans eux, il faudra passer par la récupération de la plateforme. C'est pourquoi nous imprimons systématiquement ces codes lors de nos interventions.
Comment savoir qui m'a piraté ?
En pratique, on ne le sait presque jamais : ce sont le plus souvent des réseaux automatisés à l'étranger, pas une connaissance. L'historique des connexions donne un pays et un type d'appareil, utile pour la plainte, insuffisant pour identifier quelqu'un. Cherchez plutôt par où c'est entré (phishing, mot de passe réutilisé, logiciel malveillant) : c'est ça qui protège l'avenir.
Comment être sûr que ça ne se reproduira pas ?
Trois gestes couvrent l'immense majorité des risques : un mot de passe unique par compte (via un gestionnaire), la double authentification activée partout, de préférence par application ou clé d'accès, et ne jamais se connecter depuis un lien reçu par e-mail, SMS ou message. C'est exactement ce que nous mettons en place lors d'un conseil en sécurisation.
Faut-il tout de même sauvegarder ses photos et conversations ?
Oui. Un compte peut être perdu définitivement (suppression, blocage, plateforme injoignable). Téléchargez régulièrement une copie de vos données depuis les paramètres du réseau social, et appliquez la règle de sauvegarde 3-2-1 à ce qui compte pour vous.