Compte d’un proche piraté : vérifier une demande urgente

Le message qui semble venir de la bonne personne

Vous recevez un message de votre sœur, de votre fils ou d’un collègue. Le compte porte le bon prénom. La photo est la même. Le ton ressemble au sien. La demande paraît urgente : « Je suis bloqué, peux-tu m’aider ? », « J’ai changé de numéro », ou « Peux-tu acheter un coupon et m’envoyer le code ? ».

Dans cette situation, votre premier réflexe est souvent de vouloir aider. C’est normal. Le problème est que le compte utilisé peut avoir été récupéré par quelqu’un d’autre, ou que le numéro affiché ne soit pas celui de votre proche. La bonne question n’est donc pas seulement « est-ce que ce message lui ressemble ? ». Il faut vérifier que vous êtes bien en contact avec la bonne personne, par un moyen indépendant.

Cette méthode ne demande aucune compétence technique. Elle consiste à séparer trois moments : recevoir la demande, vérifier l’identité, puis décider. Tant que la deuxième étape n’est pas terminée, vous ne payez pas et vous ne transmettez rien.

Deux scénarios qui doivent vous faire ralentir

Premier scénario : un proche vous écrit depuis une nouvelle adresse ou un nouveau numéro. Il explique que son téléphone est cassé, qu’il a perdu sa carte SIM ou qu’il ne peut pas parler. Il vous demande un virement, une carte cadeau, un code ou une photo d’un document. Le changement de canal devient alors une partie de l’histoire.

Deuxième scénario : le message arrive depuis le compte habituel, mais le contenu change brusquement. Votre contact demande de garder le secret, refuse un appel vocal, insiste pour agir dans la minute ou vous envoie un lien. Un compte connu peut avoir été piraté. L’adresse ou le nom affiché ne suffit pas à confirmer l’identité.

La CNIL recommande, lorsqu’un message semble venir d’un proche et demande une action inhabituelle, de le contacter par un autre canal. Ralentir n’est pas manquer de solidarité. C’est protéger la personne que vous cherchez à aider.

Pourquoi l’urgence empêche de vérifier

Une demande frauduleuse fonctionne mieux quand elle vous oblige à choisir entre aider tout de suite et prendre le temps de réfléchir. L’attaquant peut utiliser la peur, la gêne ou la confiance familiale. Il n’a pas besoin de connaître toute votre histoire. Il lui suffit de provoquer une réaction rapide.

Le message peut aussi contenir des détails vrais. Un prénom, une expression habituelle ou une photo publique donnent une impression de continuité. Ces éléments ne prouvent pourtant pas qui écrit. Ils peuvent venir d’un compte compromis, d’un profil visible en ligne ou d’informations déjà connues de l’attaquant.

Cybermalveillance.gouv.fr explique que l’urgence et la peur sont utilisées pour pousser à l’action. Ce mécanisme explique pourquoi une personne prudente peut répondre avant d’avoir vérifié. Ce n’est pas une question d’intelligence. La pression est conçue pour réduire le temps disponible et empêcher le contrôle.

La règle du canal indépendant

Ne vérifiez pas une demande dans le même échange que celui qui vous l’a envoyée. Si le message arrive par une messagerie, appelez le numéro que vous aviez déjà enregistré. Si le contact demande de ne plus utiliser ce numéro, ne considérez pas cette phrase comme une preuve. Elle peut faire partie du scénario.

Vous pouvez aussi utiliser un autre moyen que vous connaissez déjà : appel téléphonique, conversation en personne, adresse électronique habituelle ou contact avec un membre de la famille. N’utilisez pas un numéro ajouté dans le message et ne cliquez pas sur le lien qui accompagne la demande. Le but est de reprendre la main sur le chemin de vérification.

Si la personne ne répond pas, attendez. Une vraie urgence ne devient pas automatiquement plus réelle parce que l’interlocuteur vous relance. Un délai de quelques minutes ou de quelques heures vaut mieux qu’un paiement irréversible.

Les questions qui vérifient sans révéler la réponse

Une question de vérification doit être connue de votre proche, mais difficile à trouver sur un profil public. Évitez une question dont la réponse est visible dans la conversation ou sur un réseau social. Vous pouvez demander le lieu d’un souvenir partagé, le prénom d’un animal, ou un détail d’un rendez-vous déjà prévu.

La question ne doit pas devenir un mot de passe permanent. Si vous utilisez toujours la même réponse, elle peut finir par circuler. Le plus important reste le changement de canal. Une personne qui répond correctement à une question n’est pas forcément la bonne personne si elle contrôle déjà le compte compromis.

• Appelez un numéro déjà enregistré, sans utiliser celui du message.
• Demandez une conversation vocale ou vidéo si cela correspond à vos habitudes.
• Posez une question liée à un souvenir privé, sans donner vous-même la réponse.
• Demandez à un autre proche de vérifier indépendamment.
• Si la demande concerne une banque, un colis ou une administration, contactez l’organisme par son site ou son numéro officiel.

Ce qu’il ne faut jamais envoyer pour aider

Un proche véritable peut vous demander un service. Il ne doit pas vous demander de lui transmettre un code de connexion reçu par SMS, votre mot de passe, une copie de votre pièce d’identité ou vos coordonnées bancaires. Un code reçu sur votre téléphone sert généralement à confirmer une action sur votre propre compte. Le communiquer revient à laisser quelqu’un agir à votre place.

La CNIL rappelle qu’il ne faut pas transmettre d’informations confidentielles par simple demande d’un contact. Elle recommande aussi de traiter les messages inattendus avec prudence : ne pas répondre, ne pas ouvrir les pièces jointes et ne pas cliquer sur les liens lorsque le contenu paraît douteux.

Une demande de carte cadeau, de coupon, de crypto-actifs ou de transfert vers un nouveau compte doit être vérifiée avec la même rigueur. Le moyen de paiement change, mais la règle reste identique : l’urgence ne remplace jamais l’identité vérifiée.

Si le compte de votre proche semble compromis

Prévenez votre proche par un canal indépendant, sans lui reprocher d’avoir été trompé. Il peut encore avoir accès à son compte, ou être complètement bloqué. Dans le premier cas, il doit changer son mot de passe depuis l’application ou le site officiel, activer la double authentification quand elle est proposée, vérifier les appareils connectés et prévenir ses contacts.

Si le compte est inaccessible, il faut utiliser la procédure officielle de récupération du service concerné. Ne confiez pas cette récupération à une personne qui vous contacte en privé et prétend être un support. Les faux services d’aide profitent souvent d’une première compromission pour demander de nouveaux codes ou un paiement.

Vous pouvez conserver les messages, les adresses, les numéros et les liens. Ne les diffusez pas publiquement avec des données personnelles. Ces éléments peuvent servir à prévenir les autres contacts et à déposer un signalement.

Si vous avez payé ou communiqué une information

Commencez par l’organisme qui peut encore limiter les conséquences. Pour une opération bancaire, appelez votre banque avec le numéro officiel de votre carte ou de votre relevé, pas avec un numéro reçu dans le message. Demandez le blocage ou la contestation de l’opération. Service-Public recommande d’alerter immédiatement la banque en cas d’escroquerie et d’opposition lorsqu’un moyen de paiement est compromis.

Si vous avez transmis un mot de passe, changez-le depuis le site officiel. Ne réutilisez pas ce mot de passe ailleurs. Si l’adresse électronique est concernée, sécurisez-la en priorité, car elle peut servir à réinitialiser d’autres comptes.

Écrivez la chronologie : heure de réception, canal utilisé, réponse envoyée, paiement, numéro appelé et action de la banque. Gardez les captures et les relevés. Les preuves sont plus utiles lorsqu’elles sont conservées avant la suppression du compte ou du message.

Les bons canaux pour signaler et porter plainte

Le canal dépend de ce qui s’est passé. Pour une escroquerie en ligne, THESEE peut permettre de déposer plainte en ligne lorsque les conditions sont réunies. Pour une fraude à la carte bancaire, Perceval est le service prévu pour le signalement, après opposition selon la situation. Pour un SMS frauduleux, le 33700 est le canal adapté. En cas d’hésitation sur l’orientation, 17Cyber peut vous guider.

Pharos ne doit pas être utilisé pour une escroquerie ordinaire. Cette plateforme concerne les contenus illicites signalés en ligne, pas le dépôt de plainte pour une fraude bancaire ou une demande d’argent trompeuse. Service-Public rappelle que la victime peut aussi déposer plainte au commissariat ou à la gendarmerie.

Si vous avez seulement reçu le message et n’avez rien transmis, le signalement reste utile. Il peut aider d’autres personnes à reconnaître le compte, le numéro ou le lien. Vous pouvez aussi prévenir directement votre entourage, sans publier de données personnelles qui permettraient d’identifier une victime.

La méthode à retenir avant toute réponse

Avant de répondre, posez-vous quatre questions. Le message demande-t-il une action inhabituelle ? Crée-t-il une urgence ou demande-t-il le secret ? Puis-je appeler cette personne avec un numéro que je connaissais avant le message ? La demande concerne-t-elle un code, un mot de passe, une pièce d’identité ou un paiement ?

Si une seule réponse vous gêne, arrêtez l’échange et vérifiez autrement. Vous pouvez écrire : « Je préfère vous appeler sur votre numéro habituel ». Cette phrase suffit. Vous n’avez pas à vous justifier et vous n’avez pas à prouver votre confiance en payant.

La vérification à deux ne signifie pas compliquer la vie de vos proches. Elle consiste à ne jamais laisser le même message être à la fois la demande et la preuve de l’identité. Recevoir, vérifier, décider : ces trois étapes simples rendent beaucoup plus difficile l’utilisation d’un compte ou d’un numéro détourné.