Un mot de passe qui ne fonctionne plus, une notification de connexion depuis un appareil inconnu, des messages envoyés à votre insu, des paramètres de compte modifiés sans votre intervention, etc.
Ces situations peuvent être les signes d’une compromission de compte. Lorsqu’un doute apparaît, la première réaction peut être de vouloir tout modifier ou tout supprimer immédiatement. Pourtant, face à un incident de cybersécurité, il est important de réagir rapidement, mais de manière structurée.
Certains réflexes permettent de reprendre le contrôle du compte et de limiter les conséquences de l’incident. Dans un contexte professionnel, un signalement rapide peut également permettre aux équipes informatiques ou au CSIRT d’analyser la situation et de prendre les mesures adaptées.
Alors, quels sont les signes à surveiller et que faire lorsqu’on pense qu’un compte a été piraté ?
Qu’est-ce qu’un compte compromis ?
On parle de compromission lorsqu’un tiers parvient à obtenir un accès non autorisé à un compte. Il peut alors, selon le service et les droits associés au compte, consulter des informations, modifier des paramètres ou utiliser le compte à l’insu de son propriétaire.
Cybermalveillance.gouv.fr définit le piratage de compte comme « la prise de contrôle, voire l’utilisation frauduleuse, d’un compte au détriment de son propriétaire légitime ». Les comptes de messagerie, les réseaux sociaux, les services administratifs ou encore les plateformes de commerce en ligne peuvent notamment être concernés.
Les moyens d’obtenir cet accès sont variés : un mot de passe trop facile à deviner, des identifiants récupérés lors d’un phishing, la réutilisation d’un mot de passe déjà compromis ou, dans certains cas, la présence d’un logiciel malveillant capable de dérober des identifiants.
Quels signes peuvent indiquer qu’un compte a été compromis ?
Une compromission n’est pas toujours immédiatement visible. Certains signes doivent toutefois attirer votre attention.
Il peut notamment s’agir :
- D’un mot de passe qui ne fonctionne plus alors que vous ne l’avez pas modifié ;
- D’une notification de connexion inhabituelle ;
- De messages envoyés depuis votre compte sans votre intervention ;
- De modifications de vos informations personnelles ou de vos paramètres de sécurité ;
- De connexions provenant d’appareils que vous ne reconnaissez pas ;
- D’actions réalisées depuis votre compte dont vous n’êtes pas à l’origine.
La Commission nationale de l’informatique et des libertés (CNIL) cite notamment parmi les signes d’un piratage l’invalidité soudaine du mot de passe, l’envoi de publications ou de messages non sollicités depuis le compte et la modification des informations qui lui sont associées. Cybermalveillance.gouv.f recommande également de vérifier l’historique des connexions récentes et les appareils associés lorsqu’un piratage est suspecté.
Un seul indice ne suffit pas toujours à confirmer une compromission, mais une activité inhabituelle mérite d’être vérifiée.
Premier réflexe : ne pas attendre pour réagir
Face à une suspicion de compromission, attendre de voir si « cela recommence » n’est pas le bon réflexe. Un compte compromis peut notamment être utilisé pour accéder à des informations, envoyer des messages frauduleux ou tenter de compromettre d’autres comptes. Cette situation est particulièrement sensible lorsqu’il s’agit d’une messagerie électronique, car celle-ci peut notamment servir à recevoir les messages permettant de réinitialiser les mots de passe d’autres services.
Il faut donc agir dès l’apparition d’un doute sérieux, sans attendre que les conséquences deviennent visibles.
Dans un environnement professionnel, cette réaction doit notamment passer par le signalement de l’incident selon les procédures prévues par l’organisation.
Changer rapidement le mot de passe
Si vous avez toujours accès au compte, modifiez rapidement son mot de passe. Choisissez un nouveau mot de passe unique, qui n’est utilisé sur aucun autre service. Si l’ancien mot de passe était réutilisé ailleurs, il faut également modifier le mot de passe des autres comptes concernés. En effet, la compromission d’un même mot de passe peut exposer plusieurs services lorsqu’il a été réutilisé.
Lorsque cela est possible, effectuez ces opérations depuis un équipement de confiance.
Si vous n’avez plus accès au compte parce que le mot de passe ou les informations de récupération ont été modifiés, utilisez la procédure officielle de récupération proposée par le service concerné.
Vérifier les connexions et les paramètres du compte
Changer le mot de passe est une étape essentielle, mais cela ne doit pas être la seule vérification. Lorsque le service le permet, consultez l’historique des connexions et les appareils associés au compte.
Recherchez notamment :
- Les appareils que vous ne reconnaissez pas ;
- Les sessions inhabituelles ou que vous n’avez pas ouvertes ;
- Les modifications de l’adresse électronique ou du numéro de téléphone de récupération ;
- Les changements apportés aux paramètres de sécurité ;
- Les applications ou services tiers que vous ne reconnaissez pas.
Pour une messagerie électronique, il peut également être pertinent de vérifier l’absence de règles ou de redirections automatiques créées à votre insu. La CNIL recommande justement, dans ses conseils récents en cas de violation de données, de contrôler les appareils connectés, les sessions actives, les coordonnées de récupération et, pour une messagerie, l’absence de redirection automatique ou de règle de filtrage créée sans l’accord de l’utilisateur.
Lorsque le service propose cette possibilité, déconnectez les appareils ou sessions que vous ne reconnaissez pas. La CNIL recommande également de désactiver les terminaux liés au compte qui ne sont plus utilisés ou qui paraissent suspects.
Activer l’authentification multifacteur
Si elle n’était pas déjà activée, mettez en place une authentification multifacteur (MFA) lorsque le service le permet. Comme nous l’avons vu dans notre article consacré au MFA, cette protection permet de ne pas faire reposer l’authentification sur la seule connaissance du mot de passe.
Attention toutefois : activer le MFA ne dispense pas de changer un mot de passe déjà compromis. Les deux actions sont complémentaires.
Ne pas supprimer précipitamment les traces de l’incident
Lorsqu’une activité inhabituelle apparaît, le premier réflexe peut être de supprimer immédiatement les messages, notifications ou éléments suspects. Dans un contexte professionnel, mieux vaut cependant signaler rapidement la situation et suivre les consignes de votre organisation avant de chercher à tout nettoyer.
Certaines informations peuvent contribuer à comprendre ce qui s’est passé : une notification de connexion, l’heure d’une activité inhabituelle, un message reçu ou envoyé, ou encore une modification constatée sur le compte.
La CNIL recommande par exemple, dans le contexte d’une violation de données, de conserver les messages reçus pouvant être utiles et de réaliser des captures d’écran des activités suspectes. Plus largement, la préservation d’informations utiles participe à l’analyse d’un incident avant sa remédiation.
Ne cherchez donc pas à tout effacer avant d’avoir signalé l’incident.
Dans un contexte professionnel : signaler rapidement
Si le compte concerné est professionnel, ou s’il est utilisé pour accéder aux ressources de votre organisation, prévenez rapidement votre équipe informatique, votre responsable de la sécurité des systèmes d’information (RSSI) ou votre CSIRT, conformément aux procédures internes. Même si vous avez réussi à changer votre mot de passe et que la situation semble revenue à la normale, le signalement reste important.
Pourquoi ?
Parce qu’un incident visible sur un compte peut nécessiter des vérifications complémentaires. La réponse à incident comprend non seulement la remédiation, mais également l’investigation permettant de comprendre le périmètre et les conséquences de la compromission. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) présente d’ailleurs l’investigation, la gestion de crise et la remédiation comme des dimensions majeures de la réponse à incident cyber.
Et si je n’ai plus du tout accès à mon compte ?
Un attaquant peut avoir modifié le mot de passe ou les informations utilisées pour récupérer le compte. Dans cette situation, utilisez les procédures officielles de récupération du service concerné. Surtout, évitez de passer par des liens reçus dans des messages inattendus. Accédez directement au site ou à l’application officielle du service.
Une fois l’accès récupéré :
- Modifiez le mot de passe ;
- Vérifiez les informations et paramètres du compte ;
- Examinez les connexions et appareils associés ;
- Déconnectez les accès que vous ne reconnaissez pas ;
- Activez l’authentification multifacteur lorsqu’elle est disponible ;
- Vérifiez si l’ancien mot de passe était utilisé sur d’autres comptes et, si nécessaire, changez-le également ;
- Dans un contexte professionnel, signalez l’incident selon la procédure prévue par votre organisation.
Et si le compte compromis est ma messagerie ?
Une attention particulière doit être portée à la messagerie électronique.
Une boîte mail peut contenir de nombreuses informations personnelles ou professionnelles. Elle peut également être utilisée pour recevoir des liens de réinitialisation de mots de passe d’autres services. Sa compromission peut donc servir de point de départ à d’autres actions malveillantes.
En plus des précédentes mesures, pensez donc à vérifier :
- Les messages envoyés à votre insu ;
- Les éventuelles règles de transfert ou de redirection ;
- Les coordonnées de récupération ;
- Les appareils et sessions connectés ;
- Les éventuelles demandes de réinitialisation de mots de passe concernant d’autres services.
Les premiers réflexes à retenir
Les premières actions peuvent permettre de limiter les conséquences de l’incident :
- Signalez rapidement la situation dans un contexte professionnel ;
- Changez le mot de passe compromis et vérifiez qu’il n’est pas utilisé ailleurs ;
- Activez l’authentification multifacteur lorsqu’elle est disponible ;
- Vérifiez les sessions, appareils et paramètres du compte ;
- Déconnectez les accès que vous ne reconnaissez pas ;
- Conservez les informations qui peuvent être utiles à l’analyse de l’incident.
Surtout, ne considérez pas qu’un simple changement de mot de passe clôt nécessairement l’incident.
Face à un compte compromis, le bon réflexe est de sécuriser, vérifier et signaler. Plus tôt la situation est identifiée et remontée, plus tôt elle pourra être analysée et prise en charge.
Sources et références
- Cybermalveillance.gouv.fr, Piratage de compte, que faire ?, consulté le 12 octobre 2026.
- Cybermalveillance.gouv.fr, Que faire en cas de piratage d’une boîte mail ?, consulté le 12 octobre 2026.
- Cybermalveillance.gouv.fr, Que faire en cas de piratage de compte sur les réseaux sociaux ?, consulté le 12 octobre 2026.
- Commission nationale de l’informatique et des libertés (CNIL), Prévenir, repérer et réagir face au piratage de ses comptes sociaux, consulté le 12 octobre 2026.
- Agence nationale de la sécurité des systèmes d’information (ANSSI), Piloter la remédiation d’un incident cyber, consulté le 12 octobre 2026.
Crédit image de couverture : Vectorarte sur Magnific