Une cyberattaque d'envergure mondiale vient de faire 30 000 victimes sur Facebook. Des pirates vietnamiens ont réussi à détourner les propres outils de Google pour piéger des internautes du monde entier et voler leurs comptes. Ce qui rend cette attaque particulièrement redoutable, c'est sa sophistication : les victimes pensaient répondre à un message officiel, pas à une escroquerie.
Derrière cette affaire se cachent des techniques que n'importe qui peut croiser dans sa boîte mail ou ses notifications Facebook. Comprendre comment ces pirates ont opéré, c'est déjà se donner les moyens de ne pas tomber dans le piège. Voici tout ce que vous devez savoir.
Comment les hackers ont volé 30 000 comptes Facebook
Les pirates ont utilisé une méthode particulièrement retorse : ils ont exploité des outils légitimes de Google — notamment Google Forms et Google Sites — pour héberger leurs pages de phishing. Résultat : les liens générés commençaient par google.com, ce qui leur donnait une apparence totalement crédible.
Les victimes recevaient un message les alertant d'une prétendue violation de droits d'auteur sur leur compte Facebook. Le ton était urgent, officiel, presque menaçant. Le lien fourni pointait vers une page qui imitait parfaitement l'interface de Meta, hébergée sur un domaine Google. Difficile de soupçonner une arnaque dans ces conditions.
Le piège du faux signalement de droits d'auteur
Ce scénario précis — la fausse alerte droits d'auteur — est l'un des plus efficaces contre les créateurs de contenu, les gérants de pages Facebook professionnelles et les petits commerçants. Pourquoi ? Parce qu'il joue sur la peur de perdre un outil de travail. Sous le stress, on clique vite, on ne vérifie pas.
Une fois sur la fausse page, les victimes entraient leur identifiant, leur mot de passe, parfois même leur code 2FA. Les hackers récupéraient ces informations en temps réel et prenaient le contrôle du compte en quelques secondes.
Quelle erreur a permis de démasquer les pirates ?
Malgré le soin apporté à l'opération, les hackers vietnamiens ont commis une erreur classique : ils ont laissé des traces numériques exploitables. Les enquêteurs ont pu remonter jusqu'à eux grâce à des métadonnées dans les fichiers utilisés, des adresses IP mal masquées et des habitudes de connexion identifiables.
C'est un rappel important : même les cyberattaques les plus élaborées laissent des empreintes. Les forces de l'ordre et les chercheurs en cybersécurité disposent aujourd'hui d'outils très efficaces pour tracer ce type d'opération. Mais pendant ce temps, les 30 000 victimes, elles, ont bel et bien perdu l'accès à leur compte.
Les 5 signes qu'un message Facebook est une arnaque
Reconnaître une tentative de phishing devient une compétence essentielle en 2026. Voici les signaux d'alerte qui doivent vous mettre la puce à l'oreille :
- Une urgence artificielle : "Votre compte sera suspendu dans 24h", "Agissez immédiatement". Les vraies notifications Meta ne vous mettent pas sous pression de cette façon.
- Un lien qui redirige : même si le début de l'URL ressemble à
google.comoufacebook.com, regardez l'adresse complète. Un vrai message de Meta arrive depuis les paramètres de votre compte, pas par email ou message direct. - Une demande de mot de passe : Facebook ne vous demandera jamais votre mot de passe par message. Jamais.
- Une faute d'orthographe ou une mise en page approximative : les pirates bâclent souvent les détails.
- Un expéditeur inconnu ou un compte récent : vérifiez toujours l'ancienneté du profil qui vous contacte.
Que faire si vous avez reçu ce type de message ?
Ne cliquez sur aucun lien. Signalez le message directement à Facebook via l'option "Signaler" intégrée à la messagerie. Si vous avez déjà cliqué et saisi vos identifiants, passez immédiatement à la section suivante.
Votre compte Facebook a été piraté : que faire dans les premières minutes ?
Chaque minute compte. Voici les étapes à suivre dans l'ordre :
1. Tentez de récupérer votre compte via la page officielle facebook.com/hacked. Facebook propose un processus de récupération guidé, même si les pirates ont changé votre mot de passe.
2. Prévenez vos proches immédiatement. Un compte volé est souvent utilisé pour arnaquer la liste de contacts. Un simple message sur un autre canal (SMS, téléphone) peut éviter que votre famille se fasse piéger.
3. Changez votre mot de passe email associé au compte Facebook, car les hackers tentent souvent d'y accéder en parallèle.
4. Activez l'authentification à deux facteurs (2FA) dès que vous avez récupéré l'accès — et sur tous vos comptes importants, pas seulement Facebook.
5. Vérifiez les applications connectées à votre compte Facebook dans les paramètres. Révoquez tout accès suspect.
L'authentification à deux facteurs : votre meilleure protection
Le 2FA ne protège pas à 100 % — cette attaque le prouve, puisque certaines victimes ont saisi leur code en temps réel sur la fausse page. Mais il reste la barrière la plus efficace contre la grande majorité des tentatives de piratage automatisées. Utilisez de préférence une application d'authentification (Google Authenticator, Authy) plutôt que le SMS, plus vulnérable.
Pourquoi les outils Google ont-ils été utilisés pour piéger des victimes ?
C'est la partie la plus inquiétante de cette affaire. Les pirates n'ont pas créé de faux sites hébergés sur des serveurs obscurs : ils ont utilisé l'infrastructure même de Google pour donner une apparence légitime à leurs pages de phishing.
Google Forms, Google Sites, Google Docs — tous ces outils génèrent des URL en google.com. Les filtres anti-spam des messageries et les antivirus ne les bloquent généralement pas, précisément parce qu'ils font confiance aux domaines Google.
Cette technique, appelée "living off trusted sites" (vivre sur des sites de confiance), est en forte progression. Elle oblige à ne plus se fier uniquement à l'apparence d'un lien, mais à questionner systématiquement le contexte : pourquoi ce message ? Pourquoi maintenant ? Ai-je vraiment publié quelque chose susceptible de violer des droits d'auteur ?
Face à ce type de menace, un antivirus seul ne suffit plus. La combinaison d'un bon gestionnaire de mots de passe, du 2FA et d'un regard critique sur chaque message suspect reste la défense la plus robuste. Pour les particuliers et les professionnels de la Sarthe qui souhaitent faire le point sur la sécurité de leurs appareils, Fix72 accompagne ses clients au Mans et dans tout le département — joignable au 07 51 13 37 69 pour un diagnostic rapide.
Questions fréquentes
Q : Comment savoir si mon compte Facebook a été compromis sans que je m'en rende compte ?
R : Rendez-vous dans Paramètres > Sécurité et connexion > Où vous êtes connecté. Si vous voyez des appareils ou des localisations inconnus, déconnectez-les immédiatement et changez votre mot de passe.
Q : Un lien en google.com peut-il vraiment être dangereux ?
R : Oui. Les pirates utilisent des services légitimes de Google pour héberger des pages frauduleuses. L'URL commence bien par google.com, mais la page peut être entièrement conçue par des hackers. Méfiez-vous du contexte, pas seulement du nom de domaine.
Q : Le 2FA par SMS est-il suffisant pour protéger mon compte Facebook ?
R : Il est mieux que rien, mais moins sécurisé qu'une application d'authentification. Le SMS peut être intercepté via des attaques de type SIM swapping. Préférez Google Authenticator ou Authy pour une protection plus solide.
