Commerçants de Nancy : votre page Facebook ou Instagram est piratée ? Comment la récupérer et la protéger

Pour un commerçant ou un artisan, la page Facebook ou le compte Instagram, c'est une vitrine : les horaires, les nouveautés, les messages des clients. Le jour où elle tombe entre de mauvaises mains, cette vitrine sert à arnaquer vos clients en votre nom, ou à diffuser des publicités payées avec votre carte bancaire. Ce n'est pas rare : selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, le piratage de compte est devenu la première menace des entreprises et des associations, avec 21 % de leurs demandes d'assistance, en hausse de 52 % en un an. Le rapport cite justement des comptes Meta Business piratés pour lancer des campagnes de publicité frauduleuses. Voici comment récupérer la page de votre commerce, à Nancy comme ailleurs, et surtout comment la verrouiller.

Comment les pirates prennent la main

• Le faux message de « Meta » : un e-mail, un message Messenger ou Instagram vous accuse d'avoir enfreint les Standards de la communauté ou les Standards publicitaires, et menace de fermer le compte si vous n'agissez pas tout de suite. Meta le rappelle : ses représentants ne demandent jamais de mot de passe, d'argent ni d'informations de paiement par message ou par e-mail.
• La fausse demande de partenariat : Meta signale des demandes de partenariat Business Manager qui contiennent des liens d'hameçonnage, envoyées depuis un vrai domaine de Meta (facebookmail.com). Si vous ne connaissez pas l'entreprise, ne cliquez sur rien.
• Le logiciel piégé : un faux outil d'intelligence artificielle ou de marketing, un logiciel piraté ou une extension de navigateur cache un programme qui vole les mots de passe et les cookies de connexion. D'après l'ANSSI, une session volée de cette façon permet de contourner la plupart des doubles authentifications, puisqu'elle est déjà ouverte.
• Le mot de passe réutilisé, ou la messagerie piratée : un mot de passe volé sur un autre site ouvre aussi les comptes où il resservait, et la boîte mail sert souvent à réinitialiser les autres comptes, rappelle Cybermalveillance.gouv.fr. C'est l'un des mots de passe les plus importants à protéger.
• Le faux conseiller au téléphone : le rapport 2025 décrit l'appel d'un faux conseiller Google My Business qui envoie un lien piégé ou réclame un code de connexion, pour s'emparer de la fiche d'établissement et, s'il y en a un, du compte publicitaire. Un code reçu par SMS ne se donne jamais, à personne.

Avant de cliquer sur un message qui se dit envoyé par Meta, vérifiez-le : la rubrique « E-mails récents » (Espace Comptes, ou Compte Meta sur les comptes déjà passés à la nouvelle version, puis Mot de passe et sécurité) liste les vrais e-mails de sécurité envoyés par Meta, et l'Accueil assistance business affiche les vraies alertes d'une page professionnelle.

Les signes qui doivent vous alerter

Meta cite notamment une photo de profil changée, des publications ou des messages que vous n'avez pas écrits, une connexion qui échoue ou une double authentification qui ne fonctionne plus, des alertes de connexion qui ne viennent pas de vous, et des e-mails annonçant un changement d'adresse, de numéro ou de mot de passe. Pour une page professionnelle, ajoutez des publicités ou des frais que vous ne connaissez pas.

Vous avez encore accès : agissez dans l'ordre

1. Gardez des preuves : faites des captures d'écran des messages, des changements et des publications suspectes avant de supprimer quoi que ce soit, conseille Cybermalveillance.gouv.fr.
2. Analysez l'ordinateur et le téléphone qui servent à gérer la page, avec un antivirus à jour, et supprimez les extensions de navigateur suspectes : tant qu'un logiciel malveillant reste installé, le pirate peut garder l'accès à vos comptes, prévient Meta.
3. Changez les mots de passe, à commencer par celui de la messagerie liée au compte, puis ceux de Facebook et d'Instagram : un mot de passe différent pour chaque service, d'au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Un gestionnaire de mots de passe comme KeePassXC, certifié par l'ANSSI, vous évite de les retenir.
4. Déconnectez les appareils inconnus dans la rubrique « Où vous êtes connecté(e) », et retirez l'adresse e-mail ou le numéro de téléphone ajoutés par le pirate.
5. Vérifiez les accès de la page et de votre portefeuille business dans Meta Business Suite, et retirez toute personne inconnue. Attention : chez Meta, toute personne qui a le contrôle total de la page peut en retirer n'importe qui, vous compris.
6. Contrôlez le compte publicitaire : dans Facturation et paiements, l'activité de paiement détaille chaque dépense et les publicités concernées. Mettez en pause celles que vous ne connaissez pas.
7. Activez la double authentification, et rangez en lieu sûr les codes de récupération.
8. Prévenez vos clients par un autre canal que la page piratée, pour qu'ils ne se fassent pas piéger en votre nom.

Vous n'avez plus accès : les démarches officielles de Meta

• Votre compte Facebook : rendez-vous sur facebook.com/hacked, de préférence depuis un appareil qui vous a déjà servi à vous connecter. Si le pirate a changé l'adresse e-mail, Meta envoie à l'ancienne adresse un message avec un lien qui annule ce changement : cherchez-le dans votre boîte. Sans accès à votre adresse ni à votre numéro, passez par facebook.com/login/identify, depuis un appareil déjà utilisé pour vous connecter, puis « Aucun accès à ces options ? ».
• La page de votre commerce : une fois votre compte personnel récupéré, Meta conseille d'envoyer son formulaire de récupération de Page, proposé seulement si vous avez perdu l'accès récemment. Elle vise une réponse sous un jour, sans le garantir, et n'agit que si elle peut confirmer que la page a été compromise. Même avec un abonnement payant Meta Verified, c'est ce formulaire que Meta recommande.
• Votre compte Instagram : si un e-mail de security@mail.instagram.com vous annonce un changement d'adresse, l'option « Sécuriser mon compte » de ce message permet de l'annuler. Sinon, demandez un lien de connexion avec « Mot de passe oublié ? », ou passez par instagram.com/hacked. Pour un compte qui contient des photos de vous, Instagram indique pouvoir demander un selfie vidéo, supprimé sous 30 jours.
• Un compte Instagram professionnel encore accessible, mais avec un intrus : sur ordinateur, ouvrez Meta Business Suite, puis Paramètres de l'entreprise et Personnes, pour repérer les gestionnaires inconnus. Pour les retirer, Meta indique de repasser le compte en compte personnel, puis de revenir en compte professionnel. Entre-temps, vous perdez l'accès aux outils professionnels de Meta (Business Suite, Gestionnaire de publicités) et à vos statistiques, que Meta conserve 90 jours.

Votre carte a servi à payer des publicités

Meta le précise : retirer une carte du compte publicitaire n'est possible qu'avec le contrôle total de ce compte, et sans solde dû. Si le pirate vous a retiré vos droits, le premier réflexe est donc votre banque : faites opposition au plus vite, et contestez les débits. Signalez ensuite l'activité inhabituelle à Meta : sa page d'aide sur les activités inhabituelles du compte publicitaire propose un lien pour la contacter.

Plainte et aide : à qui s'adresser

• 17Cyber (17cyber.gouv.fr) : le guichet gratuit de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, ouvert 24 h/24 aux particuliers comme aux professionnels. Diagnostic en ligne, conseils et, si la menace le justifie, échange avec un policier ou un gendarme.
• La plainte : pour un commerce, elle se dépose au commissariat ou à la gendarmerie, ou par courrier au procureur de la République. La plainte en ligne THESEE est réservée aux particuliers.
• Dans le Grand Est : le centre d'assistance régional, Grand Est Cybersécurité, aide gratuitement les PME, les ETI, les collectivités et les associations, au 0 970 512 525, en semaine. Une TPE, elle, est orientée vers Cybermalveillance.gouv.fr.
• Info Escroqueries : 0 805 805 817, numéro gratuit, du lundi au vendredi de 9 h à 18 h 30.
• Les données de vos clients : si un fichier ou des messages de clients étaient accessibles, une violation de données personnelles qui présente un risque se notifie à la CNIL sous 72 heures.

Verrouillez votre page dès aujourd'hui

• La double authentification par clé de sécurité ou par application, plutôt que par SMS : Meta propose les trois méthodes, et l'ANSSI déconseille le SMS, qui peut être intercepté ou détourné. Faute d'autre choix, le SMS vaut toujours mieux que le mot de passe seul. Rangez les codes de récupération en lieu sûr.
• La Protection avancée de Meta (Espace Comptes, Mot de passe et sécurité) : elle est obligatoire pour les comptes d'un portefeuille business qui fait de la publicité.
• La Vérification de la sécurité de Facebook : elle passe votre compte en revue et vous propose de changer de mot de passe, d'activer la double authentification et les alertes de connexion, qui vous préviennent quand un appareil inconnu tente de se connecter.
• Plusieurs administrateurs de confiance, comme le recommande Meta, pour pouvoir rétablir l'accès en cas de problème. Les autres n'ont besoin que d'un contrôle partiel (publications, messages, statistiques).
• Les accès des prestataires (agence, webmaster, ancien salarié) : passez-les en revue et retirez ceux qui ne servent plus.
• Aucun logiciel « miracle » téléchargé depuis une publicité, aucune extension de navigateur inconnue. Et souvenez-vous : Meta ne demande jamais à accéder à votre page.

Notre conseil de technicien : utilisez pour les comptes qui gèrent la page une adresse e-mail réservée à cet usage, protégée elle aussi par la double authentification, et gardez à jour l'ordinateur et le téléphone qui servent à la gérer.

Besoin d'un coup de main ?

Nous venons dans votre commerce, à Nancy et dans le Grand Nancy, pour sécuriser vos comptes : double authentification, Protection avancée, revue des accès de la page et du portefeuille business, gestionnaire de mots de passe, et contrôle de l'ordinateur à la recherche d'un logiciel voleur de mots de passe. Comptez notre forfait S, 50 € jusqu'à une heure, ou le forfait L, 95 € au-delà (prix nets, TVA non applicable). Si l'accès est perdu, nous vous aidons à rassembler les preuves et à préparer les démarches auprès de Meta, la seule à pouvoir vous rendre la page ; en cas de litige, notre expertise informatique établit les faits dans un rapport technique qui peut appuyer votre plainte. Pour un suivi dans la durée, le contrat de maintenance, à 40 € par mois et par poste, comprend une visite chaque mois : mises à jour, vérification de la sécurité et de l'antivirus, contrôle des sauvegardes. Le diagnostic par téléphone est gratuit : appelez-nous au 06 69 61 02 73. À lire aussi : pourquoi le code par e-mail ou SMS ne suffit plus et digitaliser son commerce sans se perdre.

Sources : Cybermalveillance.gouv.fr, rapport d'activité 2025 (26 mars 2026), piratage de compte, que faire ? (mise à jour du 22 octobre 2026), mots de passe, la sécurité sur les réseaux sociaux et 17Cyber ; ANSSI, authentification multifacteur et mots de passe et vols de cookies ; Meta, compte Facebook piraté, sans accès à l'e-mail ou au numéro, Page piratée, accès à la Page, profil Instagram piraté, compte Instagram professionnel, hameçonnage, faux e-mails de Facebook, vérifier un e-mail de Facebook, logiciels voleurs d'identifiants, authentification à deux facteurs, Protection avancée, Vérification de la sécurité, accès à votre Page dans Meta Business Suite, activités inhabituelles du compte publicitaire, supprimer un moyen de paiement et, en anglais, logiciels malveillants visant les entreprises (3 mai 2023) ; ministère de l'Intérieur, plainte en ligne THESEE ; Service-public, piratage d'un compte ; Grand Est Cybersécurité, le centre d'assistance.