Mot de passe qui ne fonctionne plus, email de changement d'adresse que vous n'avez pas demandé, ou stories publiées à votre insu. Votre compte Instagram vous a échappé.
Première chose à comprendre, parce qu'elle détermine ce qu'il faut faire en premier : on ne vous a probablement pas visé pour ce que vous possédez, mais pour qui vous connaît.
Le mécanisme, presque toujours le même
Ça commence par un message d'un ami dont le compte est déjà volé. Une demande de vote pour un concours, une aide pour une candidature, un lien vers ce qui ressemble à Instagram et qui demande de se reconnecter.
Vous saisissez vos identifiants sur la fausse page. L'attaquant change l'email et le mot de passe, active sa propre double authentification, et se sert de votre compte pour envoyer le même message à vos abonnés.
Le compte volé ne sert donc pas à voler le compte volé. Il sert à voler le suivant. D'où sa valeur, même sans audience.
Certaines variantes vont plus loin : demande d'argent aux proches, revente de comptes anciens, ou promotion de faux investissements en cryptomonnaies depuis un compte qui a l'air normal.
L'urgence : prévenir vos abonnés
Avant même de tenter la récupération, prévenez par un autre canal : SMS, WhatsApp, appel aux personnes les plus fragiles.
« Mon Instagram est piraté. Ne cliquez sur aucun lien venant de moi, et ne répondez à aucune demande d'argent ou de code. »
Cinq minutes, et c'est ce qui arrête la propagation.
La récupération
- Demandez un lien de connexion depuis l'écran de connexion Instagram : Vous avez oublié votre mot de passe ?, puis essayez avec l'email, le numéro de téléphone et le nom d'utilisateur.
- Si l'email a été changé, cherchez dans votre boîte le message d'Instagram signalant la modification : il contient un lien « Ce n'était pas moi » qui permet de l'annuler. Vérifiez aussi les indésirables.
- Utilisez le formulaire de compte piraté — Besoin d'aide supplémentaire ? dans le parcours de connexion. Pour un compte avec photos de vous, Instagram propose une vérification par selfie vidéo : c'est la voie la plus fiable quand l'attaquant a tout changé.
- Vérifiez d'abord votre messagerie. Si elle est compromise aussi, commencez par elle.
Comptez de quelques heures à plusieurs jours. Insistez : les demandes aboutissent.
Une fois récupéré
- Déconnectez toutes les sessions — Paramètres → Sécurité → Activité de connexion
- Vérifiez l'email et le numéro enregistrés, et supprimez ceux que vous ne reconnaissez pas
- Activez la double authentification, de préférence par application d'authentification plutôt que par SMS
- Vérifiez les applications tierces autorisées
- Changez le mot de passe partout où vous l'utilisiez aussi
Porter plainte
Le piratage de compte relève de THESEE, la plainte en ligne accessible depuis service-public.fr, rubrique fraude sur internet. Le commissariat et la gendarmerie restent possibles.
17Cyber.gouv.fr oriente gratuitement. Et si un proche a envoyé de l'argent, c'est à lui de déposer plainte pour le préjudice financier.
La démarche est la même pour Facebook, avec quelques différences de parcours : voir notre article dédié.
Le réflexe à garder
On ne se reconnecte jamais depuis un lien reçu en message privé, même venant d'un ami.
C'est toute la subtilité de cette arnaque : le message vient réellement de votre ami — son compte est simplement déjà volé. La confiance que vous placez en lui est justifiée, elle est juste exploitée par quelqu'un d'autre.
Si un ami vous envoie un lien inhabituel, appelez-le. Vous lui rendrez service : il ne sait probablement pas encore qu'il est piraté.
Auriez-vous reconnu la fausse page de connexion ? Notre test anti-phishing gratuit vous confronte à 5 messages réels en une minute, sans compte.