Faux service client sur Facebook et Instagram : le piège des messages privés

Vous avez laissé un commentaire sur la page Facebook de votre banque, de votre opérateur ou d'un site de vente, pour signaler un souci ? Ou vous avez simplement écrit à une marque en message privé ? Méfiance : quelques minutes plus tard, un « conseiller » très serviable vous répond. Sauf que ce n'est pas la vraie marque. C'est un escroc qui a repéré votre message et se fait passer pour le service client.

Ce type d'arnaque s'est beaucoup développé sur Facebook et Instagram, parce que tout y est visible : vos plaintes, vos questions, parfois vos coordonnées. Les escrocs n'ont qu'à guetter. Rassurez-vous : leurs ficelles deviennent grossières une fois qu'on les connaît. Voyons ensemble comment ce piège fonctionne et comment ne pas tomber dedans, sans céder à la panique.

Le principe est toujours le même : se faire passer pour une entreprise de confiance afin de récupérer vos informations ou votre argent. Pour cela, l'escroc crée un faux compte qui imite une vraie marque : même logo, même nom ou presque, parfois un petit badge bleu contrefait pour faire « officiel ».

Il repère ensuite les personnes qui parlent de la marque : un commentaire mécontent sous une publication, une question posée en public. Il vous contacte alors en message privé (souvent abrégé « DM », pour direct message), l'endroit discret par excellence, en se présentant comme le « service client » ou le « support ». Il se montre aimable, compréhensif, pressé de résoudre votre problème. C'est précisément ce qui met en confiance.

Son but arrive vite : vous faire cliquer sur un lien, « vérifier » votre compte, communiquer vos identifiants ou votre carte bancaire, ou installer un logiciel pour « prendre la main » sur votre ordinateur. À partir de là, le piège se referme.

Les histoires changent, mais elles tournent autour de quelques scénarios que vous reconnaîtrez facilement :

• La réponse à votre réclamation. Vous vous plaignez publiquement, un faux conseiller vous répond en privé et réclame vos coordonnées « pour vous rembourser » ou « traiter votre dossier ».
• Le compte menacé. Un message alarmant vous prévient que votre compte Facebook ou Instagram va être « suspendu » ou « supprimé » pour une prétendue infraction, avec un lien pour « confirmer votre identité ». Le lien mène à une fausse page de connexion qui vole votre mot de passe.
• Le faux remboursement ou le faux gain. On vous annonce un remboursement, un cadeau ou un lot à récupérer, à condition de régler de petits « frais » ou de donner votre carte.
• La demande de logiciel à distance. Le « technicien » vous invite à installer une application comme AnyDesk ou TeamViewer pour « régler le problème ». Ces outils sont légitimes en soi, mais un faux service client s'en sert pour prendre le contrôle de votre écran et de vos comptes.

Un faux service client se trahit presque toujours. Gardez ces indices en tête, un seul suffit à justifier votre méfiance :

• C'est lui qui vous écrit en premier en message privé. Un vrai service client répond en général là où vous l'avez contacté, rarement en vous abordant spontanément en privé.
• Le compte a l'air « presque » vrai. Nom légèrement modifié, faute dans le pseudo, page créée récemment, très peu d'abonnés, aucune publication ancienne : autant d'indices.
• On vous demande vos informations sensibles. Mot de passe, numéro complet de carte, code à trois chiffres au dos, code reçu par SMS de votre banque : aucun service client sérieux ne vous les demandera.
• Un lien pour « vérifier » ou « débloquer ». Il vous fait quitter Facebook ou Instagram vers une page qui imite le site officiel.
• L'urgence et la peur. « Votre compte sera supprimé dans 24 h », « agissez maintenant » : on cherche à vous empêcher de réfléchir.

La règle d'or : ne répondez pas dans la précipitation, et ne cliquez sur rien. Tant que vous n'avez rien envoyé ni installé, vous ne risquez rien. Voici comment garder la main :

• Ne cliquez sur aucun lien et ne communiquez aucune information. C'est votre meilleure protection.
• Vérifiez par vous-même. Pour contacter une marque, passez par son site officiel (que vous tapez vous-même dans le navigateur) ou par le numéro figurant sur vos factures, jamais par le lien ou le numéro fournis dans le message.
• Regardez le compte de plus près. Ouvrez le profil : date de création, nombre d'abonnés, publications. Un vrai compte de marque est vérifié et actif depuis longtemps.
• Signalez et bloquez le compte directement sur Facebook ou Instagram (option « Signaler », puis « Bloquer »). Vous protégez aussi les autres utilisateurs.
• En cas de doute, demandez un deuxième avis à un proche ou à votre technicien avant toute action.

Si vous avez communiqué votre mot de passe, changez-le sans attendre, et activez si possible la double authentification (un code supplémentaire demandé à la connexion) pour verrouiller votre compte. Si vous avez donné vos coordonnées bancaires ou effectué un paiement, appelez votre banque pour faire opposition : c'est le geste prioritaire.

Vous pouvez ensuite vous faire aider et signaler l'arnaque gratuitement sur Cybermalveillance.gouv.fr, ou via le 17Cyber, le service en ligne de la police et de la gendarmerie. Un profil ou un contenu frauduleux peut aussi être signalé sur la plateforme Pharos (internet-signalement.gouv.fr). Conservez les captures d'écran de la conversation : elles seront utiles.

Le vrai problème, avec ces faux services client, c'est le doute : on ne sait pas si l'on a affaire à la bonne personne. Avoir quelqu'un de confiance à qui montrer le message avant d'agir change tout. C'est ce que propose Serenidesk : un vrai technicien français, joignable par téléphone, à qui vous pouvez soumettre un message étrange pour savoir, en quelques minutes, s'il est fiable ou non. Vous gardez le contrôle, sans jamais rester seul face à un écran inquiétant.