Trois vérifications suffisent à repérer presque tous les faux. Le canal : Instagram ne parle jamais de la sécurité du compte en message privé, uniquement par e-mail. L'expéditeur : les vrais e-mails de sécurité proviennent d'une poignée de domaines officiels. L'historique : Paramètres › E-mails récents liste tout ce qu'Instagram vous a réellement envoyé ces 14 derniers jours. Un message qui exige un clic urgent pour éviter un bannissement ou une suppression échoue à au moins une de ces vérifications : c'est donc de l'hameçonnage.
Anatomie d'un faux
Pour Instagram, l'hameçonnage désigne un message ou un lien douteux conçu pour vous soutirer des informations personnelles afin d'entrer dans votre compte, en général en vous menaçant d'un bannissement ou d'une suppression si vous n'obéissez pas. Si l'attaquant réussit, votre compte devient souvent un canon à spam braqué sur vos abonnés.
Les déguisements changent : un avertissement « violation de droits d'auteur » ou « règles de la communauté » avec un lien de « recours », un compte à rebours avant suppression, un badge de vérification gratuit, un prix à gagner. Tous mènent à une page maquillée en page de connexion Instagram.
Vérification 1 : le canal
Les avis concernant le compte et les alertes de sécurité n'arrivent jamais dans Direct ; Instagram est explicite là-dessus. Un DM d'un profil qui se dit support ou sécurité, badge ou pas, n'est donc jamais authentique, aussi professionnel qu'il paraisse. Signalez le profil et ne répondez pas.
Vérification 2 : l'expéditeur
Les e-mails de sécurité ne vont qu'à votre adresse e-mail, indique Instagram, et uniquement depuis ces domaines :
| Domaine d'envoi authentique |
|---|
| @mail.instagram.com |
| @support.instagram.com |
| @facebookmail.com |
| @support.facebook.com |
| @global.metamail.com |
Lisez l'adresse complète après le @, pas le nom affiché, qui ne coûte rien à falsifier. Des mots en plus, des tirets ou des lettres inversées dans le domaine trahissent le faux.
Vérification 3 : l'historique
Le test décisif se trouve dans l'application : l'écran E-mails récents, parmi les paramètres de mot de passe et de sécurité, affiche les 14 derniers jours d'e-mails d'Instagram, avec les messages de sécurité et de connexion dans une liste à part. Absent de la liste, donc pas envoyé par Instagram.
Les réflexes qui vous rendent insensible au phishing
- Ne vous connectez jamais par un lien. Ignorez le bouton ; ouvrez l'application vous-même. Les vrais problèmes apparaissent dans Statut du compte, la boîte de réception de l'assistance ou vos notifications.
- Ne tapez jamais de code dans une page où l'on vous a envoyé. Cela vaut pour votre mot de passe, vos codes de connexion et de secours, vos numéros d'identité et de carte.
- Ralentissez. Les trois règles d'Instagram face à une arnaque présumée : prenez votre temps, car l'urgence est l'outil de l'escroc ; vérifiez les détails avant de cliquer ou de télécharger ; et rappelez-vous qu'aucune organisation sérieuse n'exige un paiement immédiat.
Mordu à l'hameçon ? Limiter les dégâts
- Toujours accès ? Nouveau mot de passe immédiatement, sessions inconnues déconnectées, double authentification activée. La checklist de sécurité couvre chaque réglage.
- Bloqué dehors ? Passez directement aux étapes pour compte piraté.
- Même mot de passe ailleurs ? Changez-le aussi sur votre messagerie.
- Prévenez vos abonnés que ce qui a été envoyé depuis votre compte entre-temps ne venait pas de vous.
- Transférez l'e-mail à phish@instagram.com, l'adresse d'Instagram pour les messages suspects ; les faux profils se signalent dans l'application.
Peu après, des « agents de récupération » payants ont tendance à se manifester. C'est souvent le deuxième acte de la même arnaque : arnaques à la récupération.
Vos questions
Instagram m'enverra-t-il un DM au sujet de mon compte ?
Non. Instagram indique ne pas utiliser Direct pour les questions de compte ou de sécurité du profil. Signalez ces messages et n'ouvrez pas leurs liens.
Quels domaines envoient les vrais e-mails de sécurité d'Instagram ?
Uniquement @mail.instagram.com, @support.instagram.com, @facebookmail.com, @support.facebook.com et @global.metamail.com, et seulement vers votre adresse e-mail.
Quel est le moyen le plus sûr de vérifier un e-mail ?
Cherchez-le dans E-mails récents, dans vos paramètres de sécurité. La liste couvre 14 jours d'e-mails authentiques d'Instagram ; ce qui n'y figure pas ne vient pas d'Instagram.
J'ai tapé mon mot de passe sur une page de phishing. Et maintenant ?
Avec accès : nouveau mot de passe, sessions effacées, double authentification activée. Sans accès : les étapes pour compte piraté, maintenant. Dans les deux cas, transférez l'appât à phish@instagram.com.
Vous avez cliqué, et vous voilà bloqué ?
Décrivez l'appât et chaque changement constaté sur le compte. Une réponse gratuite vous indique votre voie officielle réaliste. Mot de passe et codes restent chez vous.
Sources
- Protect yourself from phishing on Instagram (Instagram Help Center) help.instagram.com
- Review recent emails sent from Instagram (Instagram Help Center) help.instagram.com
- Avoid getting scammed on Instagram (Instagram Help Center) help.instagram.com
- If you think your Instagram profile has been hacked (Instagram Help Center) help.instagram.com