Faux service client sur Facebook et Instagram : le piège des messages privés

Vous avez laissé un commentaire sur la page Facebook de votre banque, de votre opérateur ou d'un site de vente, pour signaler un souci ? Ou vous avez simplement écrit à une marque en message privé ? Méfiance : quelques minutes plus tard, un « conseiller » très serviable vous répond. Sauf que ce n'est pas la vraie marque. C'est un escroc qui a repéré votre message et se fait passer pour le service client.

Un faux compte peut ressembler de très près à la marque. Les indices visuels ne suffisent pas : rejoignez le service client depuis le site officiel de l'entreprise pour vérifier qui vous répond.

Le principe est toujours le même : se faire passer pour une entreprise de confiance afin de récupérer vos informations ou votre argent. Pour cela, l'escroc crée un faux compte qui imite une vraie marque : même logo, même nom ou presque, parfois un petit badge bleu contrefait pour faire « officiel ».

Il repère ensuite les personnes qui parlent de la marque : un commentaire mécontent sous une publication, une question posée en public. Il vous contacte alors en message privé (souvent abrégé « DM », pour direct message), l'endroit discret par excellence, en se présentant comme le « service client » ou le « support ». Il se montre aimable, compréhensif, pressé de résoudre votre problème. C'est précisément ce qui met en confiance.

Son but arrive vite : vous faire cliquer sur un lien, « vérifier » votre compte, communiquer vos identifiants ou votre carte bancaire, ou installer un logiciel pour « prendre la main » sur votre ordinateur. À partir de là, le piège se referme.

Les histoires changent, mais elles tournent autour de quelques scénarios que vous reconnaîtrez facilement :

• La réponse à votre réclamation. Vous vous plaignez publiquement, un faux conseiller vous répond en privé et réclame vos coordonnées « pour vous rembourser » ou « traiter votre dossier ».
• Le compte menacé. Un message alarmant vous prévient que votre compte Facebook ou Instagram va être « suspendu » ou « supprimé » pour une prétendue infraction, avec un lien pour « confirmer votre identité ». Le lien mène à une fausse page de connexion qui vole votre mot de passe.
• Le faux remboursement ou le faux gain. On vous annonce un remboursement, un cadeau ou un lot à récupérer, à condition de régler de petits « frais » ou de donner votre carte.
• La demande de logiciel à distance. Le « technicien » vous invite à installer une application comme AnyDesk ou TeamViewer pour « régler le problème ». Ces outils sont légitimes en soi, mais un faux service client s'en sert pour prendre le contrôle de votre écran et de vos comptes.

Un compte peut sembler crédible. Ces indices doivent vous conduire à vérifier son identité par le site officiel :

• Un service client peut proposer de poursuivre en privé après une demande publique. Vérifiez le compte depuis le site de la marque ; le simple passage en message privé ne prouve ni fraude ni authenticité.
• Le compte a l'air « presque » vrai. Nom légèrement modifié, faute dans le pseudo, page créée récemment, très peu d'abonnés, aucune publication ancienne : autant d'indices.
• On vous demande vos informations sensibles. Mot de passe, numéro complet de carte, code à trois chiffres au dos, code reçu par SMS de votre banque : aucun service client sérieux ne vous les demandera.
• Un lien pour « vérifier » ou « débloquer ». Il vous fait quitter Facebook ou Instagram vers une page qui imite le site officiel.
• L'urgence et la peur. « Votre compte sera supprimé dans 24 h », « agissez maintenant » : on cherche à vous empêcher de réfléchir.

Ne répondez pas dans la précipitation et ne communiquez aucune donnée sensible. Vérifiez la demande par un autre canal avant de suivre un lien ou d'autoriser un accès.

• Ne cliquez sur aucun lien et ne communiquez aucune information. C'est votre meilleure protection.
• Vérifiez par vous-même. Pour contacter une marque, passez par son site officiel (que vous tapez vous-même dans le navigateur) ou par le numéro figurant sur vos factures, jamais par le lien ou le numéro fournis dans le message.
• Rejoignez le compte social depuis le site officiel de l'entreprise. Un badge, l'ancienneté ou le nombre d'abonnés sont des indices à recouper : un compte peut être imité ou compromis.
• Signalez et bloquez le compte directement sur Facebook ou Instagram (option « Signaler », puis « Bloquer »). Vous protégez aussi les autres utilisateurs.
• En cas de doute, demandez un deuxième avis à un proche ou à votre technicien avant toute action.

Depuis un appareil de confiance, changez le mot de passe divulgué et ses réutilisations, vérifiez les sessions et activez la double authentification. Si des données bancaires ou un paiement sont concernés, contactez la banque pour la mesure adaptée.

Conservez les échanges et signalez le compte sur la plateforme concernée. Le site 17cyber.gouv.fr propose un diagnostic et une orientation ; un signalement ne remplace pas un dépôt de plainte en cas de fraude.