Piratage de votre page Facebook ou compte professionnel: comment réagir et se protéger

Votre page Facebook diffuse soudain des publicités que vous n’avez jamais créées, votre compte LinkedIn publie des messages que vous n’avez pas écrits, ou vous êtes tout simplement déconnecté sans pouvoir vous reconnecter : dans les trois cas, la réponse est la même. Isolez immédiatement l’accès depuis un appareil sain, changez tous les mots de passe liés, révoquez les sessions actives, puis lancez la procédure officielle de récupération de la plateforme (facebook.com/hacked pour Meta, formulaire dédié pour LinkedIn). Un compte professionnel compromis n’est jamais un simple désagrément : la dépense publicitaire moyenne non autorisée constatée sur un compte Meta Business piraté dépasse 2 500 euros, et les signalements pour usurpation d’identité en ligne ont augmenté de 50 % en France en 2026.

Cet article détaille, étape par étape, comment identifier un piratage de compte professionnel, la procédure exacte pour récupérer l’accès à une page Facebook ou à un compte LinkedIn, les vérifications à effectuer une fois l’accès restauré, vos obligations légales si des données de clients ont pu être exposées, et surtout comment verrouiller durablement ces accès pour ne plus revivre l’incident. Il complète notre guide complet de cybersécurité pour PME, qui pose les bases de toute démarche de sécurisation.

Comment savoir si votre page Facebook ou votre compte professionnel a été piraté

Un piratage de compte professionnel n’est pas toujours spectaculaire. Il arrive qu’un attaquant reste discret plusieurs jours pour exploiter la confiance associée à votre marque avant de se faire repérer. Plusieurs signaux doivent alerter immédiatement votre équipe :

• Vous êtes déconnecté sans l’avoir demandé, et votre mot de passe ne fonctionne plus.
• L’adresse e-mail ou le numéro de téléphone associé au compte a été modifié sans votre action.
• Des publications, messages privés ou commentaires apparaissent sans que vous ou votre équipe les ayez rédigés.
• De nouveaux administrateurs inconnus apparaissent dans les paramètres de la page ou du compte Business Manager.
• Des campagnes publicitaires se lancent automatiquement, avec des dépenses inhabituelles sur le moyen de paiement enregistré.
• Des clients ou des contacts signalent avoir reçu des messages suspects de votre part (liens douteux, faux concours, demandes d’argent).
• La double authentification a été désactivée, ou reconfigurée sur un appareil que vous ne reconnaissez pas.

Ces signes n’apparaissent pas toujours tous en même temps, ce qui explique pourquoi il est recommandé de vérifier régulièrement la liste des administrateurs et des sessions actives de vos comptes professionnels, plutôt que d’attendre un incident visible. Si le piratage semble dépasser le seul réseau social et toucher également votre site web ou votre messagerie professionnelle, notre article sur la détection d’un site internet piraté détaille les signaux équivalents côté infrastructure web.

Pourquoi les comptes Facebook et LinkedIn professionnels sont des cibles privilégiées

Un compte professionnel vaut bien plus qu’un compte personnel aux yeux d’un attaquant. Il donne accès à une audience déjà constituée de clients et de prospects qui font confiance à la marque, à un compte publicitaire relié à une carte bancaire d’entreprise, et souvent à des outils annexes (Messenger, formulaires de leads, boutique en ligne) qui contiennent des données de contact. Le phishing ciblant les réseaux sociaux professionnels a bondi de 113 % en un an, porté principalement par Facebook, Instagram et WhatsApp. Une arnaque particulièrement efficace usurpe l’identité de « Meta for Business » : l’entreprise reçoit un message ou un e-mail prétendant que sa page enfreint les règles de la plateforme et sera désactivée, avec un lien vers un faux formulaire de connexion qui capture les identifiants.

Ce type d’attaque s’appuie sur des techniques d’ingénierie sociale déjà largement documentées, et vise en priorité les dirigeants et les responsables communication, avec des méthodes proches de celles utilisées dans les campagnes de spear phishing et de fraude BEC ciblant les dirigeants. Le tableau suivant résume les principaux vecteurs constatés sur les comptes professionnels et les parades associées.

Ces méthodes expliquent en grande partie pourquoi les PME, souvent moins outillées qu’un grand groupe pour surveiller ces signaux, restent des cibles de choix. Notre étude sur les raisons pour lesquelles les PME sont les cibles préférées des hackers détaille ce constat chiffré plus largement.

Les 5 premières actions à mener dans l’heure qui suit la découverte

L’ordre dans lequel vous agissez compte autant que la rapidité. Ces cinq actions, recommandées par Cybermalveillance.gouv.fr pour tout piratage de compte, s’appliquent directement aux comptes professionnels.

1. Isolez la situation. N’agissez plus depuis l’appareil ou le réseau suspect : utilisez un poste sain que vous savez non compromis pour toutes les étapes suivantes.
2. Changez immédiatement tous les mots de passe liés (compte principal, e-mail de récupération, Business Manager), avec des mots de passe uniques et longs. L’ANSSI recommande désormais un minimum de 12 à 16 caractères pour les accès les plus sensibles.
3. Révoquez toutes les sessions actives et déconnectez les appareils que vous ne reconnaissez pas dans les paramètres de sécurité du compte.
4. Vérifiez et sécurisez l’e-mail de récupération associé au compte : c’est souvent le véritable point faible, en particulier lorsqu’il s’agit d’une boîte personnelle ou de celle d’un ancien salarié.
5. Prévenez immédiatement votre équipe et vos contacts qu’un piratage est en cours, pour qu’ils ne tombent pas dans un piège envoyé en votre nom pendant que vous récupérez l’accès.

Récupérer une page Facebook ou un compte Meta Business piraté : la procédure

Le point de départ officiel pour tout compte Meta compromis est l’adresse facebook.com/hacked. Utilisez un seul appareil et un seul navigateur pour effectuer toute la démarche : des tentatives multiples depuis différents endroits déclenchent les systèmes anti-abus de Meta et ralentissent le traitement de votre dossier.

1. Si vous avez encore accès au compte, changez le mot de passe directement depuis les paramètres de sécurité et vérifiez la liste des sessions actives.
2. Si vous avez perdu l’accès, utilisez le parcours « Identifier votre compte » avec votre ancienne adresse e-mail, votre numéro de téléphone ou votre nom complet.
3. Si Meta vous le demande, soumettez une pièce d’identité officielle pour prouver que vous êtes bien le propriétaire légitime du compte ou de la page.
4. Comptez généralement entre 1 et 5 jours ouvrés de traitement ; ce délai peut s’allonger pour les comptes Business Manager avec plusieurs pages et comptes publicitaires liés.

Un attaquant qui prend le contrôle d’un compte professionnel peut potentiellement accéder aux pages associées, aux comptes publicitaires avec un moyen de paiement actif, et à l’ensemble du Business Manager. En quelques heures seulement, il peut lancer des campagnes publicitaires non autorisées, supprimer les administrateurs légitimes et épuiser le budget publicitaire de l’entreprise : c’est ce qui explique la dépense moyenne de plus de 2 500 euros constatée sur les comptes professionnels compromis. Dès que vous remarquez une modification des droits d’accès à une page, des dépenses publicitaires inexpliquées ou toute autre activité suspecte, considérez le compte comme compromis et lancez sans attendre la procédure de récupération.

Récupérer un compte LinkedIn professionnel piraté

Sur LinkedIn, un premier signe fréquent est un mot de passe qui ne fonctionne plus alors que vous ne l’avez pas modifié : l’attaquant a parfois déjà changé l’adresse e-mail associée pour vous empêcher de récupérer l’accès. La démarche à suivre est la suivante :

1. Tentez d’abord une réinitialisation du mot de passe depuis la page officielle de connexion LinkedIn.
2. Si l’e-mail associé au compte est toujours accessible, la récupération est généralement rapide.
3. Si ce n’est pas le cas, remplissez le formulaire de signalement « Signaler un compte piraté » disponible dans l’assistance LinkedIn : le réseau vérifie votre identité avant de vous aider à restaurer l’accès.
4. Une fois l’accès récupéré, passez en revue l’activité et les interactions récentes : nouvelles relations, abonnements, messages, publications, commentaires, et supprimez tout ce qui ne provient pas de vous.
5. Activez la vérification en deux étapes pour limiter le risque de récidive.

Ce mécanisme de récupération repose largement sur la vigilance humaine, ce qui en fait une cible de choix pour les techniques d’hameçonnage détaillées dans notre guide de détection du phishing, particulièrement adaptées aux échanges professionnels typiques de LinkedIn (invitations, demandes de recommandation, opportunités commerciales).

Après la récupération : les vérifications indispensables

Récupérer l’accès n’est que la moitié du travail. Un attaquant qui a contrôlé le compte, même quelques heures, a pu modifier des paramètres qui resteront invisibles si vous ne les vérifiez pas activement :

• La liste des administrateurs et des rôles sur la page ou le Business Manager.
• Les applications et intégrations tierces autorisées à accéder au compte.
• Les campagnes publicitaires actives et les moyens de paiement enregistrés.
• Les messages envoyés à vos contacts pendant la période de compromission.
• Les informations de la page (adresse, liens, catégorie, description) qui auraient pu être modifiées.
• Les publications programmées ou épinglées ajoutées sans votre accord.

Pour vérifier qu’aucune autre faille de votre système d’information n’a été exploitée en parallèle du piratage du compte social (poste de travail, messagerie, accès distants), un audit cybersécurité PME complet permet d’objectiver l’ampleur réelle de l’incident et de prioriser les actions correctives, sur le même principe que notre modèle d’audit cybersécurité pour PME.

Obligations légales : RGPD, CNIL, plainte et assurance cyber

Un compte professionnel Facebook ou LinkedIn n’est pas qu’un outil de communication : il est souvent relié à des messages privés de clients, des formulaires de contact publicitaires (Lead Ads) ou des listes d’abonnés, c’est à dire des données personnelles au sens du RGPD. Si le piratage a permis à un tiers non autorisé d’accéder à ces données, cela constitue une violation de données personnelles au sens des articles 33 et 34 du RGPD, avec des obligations précises.

Même lorsque la violation n’entraîne pas de risque pour les droits et libertés des personnes concernées, et ne nécessite donc pas de notification à la CNIL, elle doit toujours être documentée en interne. Le dépôt de plainte, lui, reste recommandé même après avoir récupéré le compte : il constitue une preuve utile pour votre assurance et pour toute procédure ultérieure, notamment via le dispositif 17Cyber ou en vous rendant en gendarmerie ou en commissariat. Un dirigeant peut par ailleurs voir sa responsabilité engagée en cas de négligence caractérisée dans la sécurisation des accès de l’entreprise : notre article sur la responsabilité du dirigeant de PME en cas de cyberattaque détaille ce que dit précisément la loi.

Comment prévenir durablement le piratage de vos comptes professionnels

La récupération d’un compte piraté est toujours plus coûteuse en temps et en image que sa prévention. Cinq mesures, recommandées par l’ANSSI, réduisent drastiquement le risque :

• Activer la double authentification sur tous les comptes de réseaux sociaux professionnels : c’est la mesure isolée la plus efficace, détaillée dans notre guide de déploiement du MFA en PME.
• Utiliser un mot de passe unique et long par service, géré via un gestionnaire de mots de passe plutôt que mémorisé ou réutilisé.
• Limiter le nombre d’administrateurs au strict nécessaire, et retirer systématiquement les accès des collaborateurs qui quittent l’entreprise.
• Auditer régulièrement les sessions actives et les applications tierces connectées aux comptes professionnels.
• Former les équipes qui gèrent la communication de l’entreprise à reconnaître les tentatives d’hameçonnage, comme le détaille notre guide pour former ses employés à la cybersécurité.

Ces mesures techniques gagnent à être formalisées dans une charte interne claire, qui précise qui a le droit de publier, d’ajouter un administrateur ou d’utiliser un outil d’IA générative pour rédiger du contenu au nom de l’entreprise. Le générateur de charte IA de SIAC Media permet de produire rapidement ce type de document, dans la continuité de notre guide complet sur la charte IA pour PME.

Dernier point souvent négligé : l’adresse e-mail de récupération associée à vos comptes sociaux professionnels doit elle-même être sécurisée et rester sous le contrôle de l’entreprise, jamais celui d’un salarié en particulier.

Réseaux sociaux américains et CLOUD Act : ce qu’une PME française peut réellement maîtriser

Meta et LinkedIn restent des entreprises américaines soumises au CLOUD Act, ce qui signifie que les autorités américaines peuvent, dans certaines conditions, demander l’accès à des données hébergées par ces plateformes, y compris lorsque les utilisateurs sont européens. Pour autant, il serait irréaliste de recommander à une PME française d’abandonner Facebook ou LinkedIn : c’est souvent là que se trouvent ses clients, ses prospects et une grande partie de sa visibilité commerciale. La bonne approche n’est pas de renoncer à ces canaux, mais de reprendre le contrôle de tout ce qui les entoure.

Concrètement, cela veut dire héberger vos mots de passe dans un coffre-fort géré par votre entreprise plutôt que dans le navigateur d’un salarié, faire reposer l’e-mail de récupération sur un hébergeur européen soumis au RGPD, documenter vos accès dans une charte interne, et sauvegarder ailleurs les contenus stratégiques publiés sur ces réseaux plutôt que de dépendre uniquement de la plateforme. Cette logique de souveraineté appliquée à ce qui est réellement sous votre contrôle est développée plus largement dans notre guide de cybersécurité souveraine anti CLOUD Act pour PME, et s’inscrit dans une approche plus globale détaillée dans notre panorama complet des technologies de cybersécurité IA pour PME en 2026.

Questions fréquentes sur le piratage de compte professionnel

Combien de temps faut-il pour récupérer une page Facebook piratée ?
Comptez généralement entre 1 et 5 jours ouvrés après soumission d’une pièce d’identité via facebook.com/hacked, sachant que ce délai n’est pas garanti par Meta et peut s’allonger pour les comptes Business Manager complexes.

Meta ou LinkedIn remboursent-ils les dépenses publicitaires frauduleuses ?
Un remboursement peut être demandé auprès du support Meta Business en cas d’activité publicitaire clairement non autorisée, mais la démarche n’est ni automatique ni garantie : c’est une raison supplémentaire d’agir dès les premiers signaux.

Dois-je porter plainte même si j’ai déjà récupéré mon compte ?
Oui, c’est recommandé. Le dépôt de plainte constitue une preuve utile pour votre assureur et pour toute démarche ultérieure, et peut se faire via 17Cyber, en gendarmerie ou en commissariat.

Un piratage de page Facebook doit-il être déclaré à la CNIL ?
Uniquement si des données personnelles de clients ou de contacts (messages privés, formulaires de leads) ont été exposées et que cela représente un risque pour les personnes concernées. Dans ce cas, la notification à la CNIL doit intervenir dans les 72 heures suivant la prise de connaissance.

Comment empêcher un ancien salarié de garder l’accès administrateur ?
En retirant systématiquement ses droits dès son départ, dans le cadre d’une procédure de offboarding formalisée, et en évitant que l’e-mail de récupération du compte social ne soit une adresse personnelle appartenant à un salarié plutôt qu’à l’entreprise.

Une authentification à deux facteurs suffit-elle à empêcher tout piratage ?
Non, mais elle réduit considérablement le risque en multipliant le nombre d’étapes nécessaires à un attaquant. Combinée à un mot de passe unique et à une vigilance face au phishing, elle reste la mesure de prévention la plus efficace au regard de son coût de mise en œuvre.

Conclusion : agir vite, dans le bon ordre, et verrouiller durablement l’accès

Un piratage de page Facebook ou de compte LinkedIn professionnel se gère en deux temps. Dans l’urgence : isoler, changer les mots de passe depuis un appareil sain, révoquer les sessions, lancer la procédure officielle de récupération et prévenir vos contacts. Une fois l’accès restauré : vérifier administrateurs, applications tierces et campagnes publicitaires, évaluer vos obligations RGPD, et surtout activer la double authentification pour ne pas revivre l’incident. C’est cette discipline, plus que la rapidité seule, qui distingue un incident maîtrisé en quelques heures d’une crise qui affecte durablement la confiance de vos clients.

Pour aller plus loin et structurer une démarche de sécurisation complète de votre PME, consultez notre guide complet de cybersécurité pour PME et notre panorama complet des technologies de cybersécurité IA pour PME en 2026.