Accueil › Les risques › Protéger votre image
Votre site, votre adresse de messagerie professionnelle, votre page Facebook ou Instagram, votre fiche Google : ce sont vos vitrines. Elles portent votre nom, elles inspirent confiance, et c'est précisément pour cela qu'elles sont convoitées. Détournées, elles servent à parler à vos clients en votre nom — pour les envoyer ailleurs, encaisser à votre place, ou simplement salir votre réputation.
Une entreprise se fait rarement voler son image d'un seul coup. Elle se la fait grignoter : un compte administrateur oublié, une adresse de récupération qui n'existe plus, un mot de passe réutilisé sur un site tiers qui a fuité trois ans plus tôt. Puis, un jour, quelqu'un poste à votre place, répond à vos clients à votre place, ou change le numéro de téléphone affiché sur votre fiche Google.
Le point commun de tous ces scénarios : l'attaquant n'a pas besoin d'entrer dans votre système d'information. Il n'a pas besoin de votre serveur, de votre logiciel de gestion ni de vos données. Il lui suffit d'un accès à l'un de vos comptes publics — ou même seulement de savoir imiter ce compte de façon crédible.
Vos vitrines numériques ne sont pas « de la communication ». Ce sont des actifs d'entreprise, au même titre qu'un local commercial ou qu'un fichier client. Elles se protègent, elles se surveillent, et elles doivent pouvoir être récupérées si quelqu'un s'en empare. Beaucoup de dirigeants découvrent qu'ils n'ont jamais eu le contrôle réel de leur page Facebook ou de leur nom de domaine le jour où ils essaient de les reprendre.
Ce que dit la statistique
Les chiffres qui suivent proviennent du rapport d'activité 2025 de Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, publié au printemps 2026.
Entreprises et associations
Le piratage de compte est devenu la première cause de demande d'assistance des entreprises et associations, avec une croissance de 52 % en un an. Il est directement alimenté par les fuites de données et les campagnes d'hameçonnage réussies.
Entreprises et associations
Deuxième motif d'assistance, en hausse de 29 %. C'est le vecteur qui sert à récupérer les identifiants de vos comptes publics — et le message d'hameçonnage arrive aujourd'hui aussi bien par courriel que par SMS, par téléphone ou par messagerie privée sur un réseau social.
Entreprises et associations
La fraude au virement entre pour la première fois dans les trois principales menaces, avec un nombre de diagnostics en progression de 93 % sur un an. C'est très souvent une messagerie compromise ou imitée qui rend l'escroquerie crédible.
Entreprises et associations
Cybermalveillance.gouv.fr note une forte progression des situations de cyberharcèlement visant les entreprises et associations, et cite explicitement parmi les cibles les dirigeants, les salariés et les pages de sociétés sur les réseaux sociaux.
Entreprises et associations
La hausse est explicitement reliée aux hameçonnages réussis et aux violations de données : un compte fuité ou hameçonné constitue l'accès initial au reste du système d'information. Votre compte « communication » peut donc être la porte d'entrée du reste.
Tous publics
Le dispositif a franchi le cap des 500 000 demandes d'assistance en 2025, en hausse de 20 %. Pour les seules entreprises et associations, la progression atteint 73 % en un an. L'année a été marquée par les fuites massives de données.
Au-delà des grandes catégories, le rapport documente des piratages de comptes Microsoft 365, de comptes Meta Business, de comptes Booking.com d'hôteliers, de logiciels de facturation et de comptes Colissimo Entreprise — à chaque fois avec des préjudices pouvant atteindre plusieurs milliers d'euros. Ce ne sont pas des cas de laboratoire : ce sont les outils quotidiens d'une petite entreprise.
Cartographie
Faites l'inventaire : tout ce qui porte votre nom en public est un vecteur de promotion, donc un vecteur d'attaque. Vous en avez probablement plus que vous ne le pensez.
Vitrine 1
Trois scénarios distincts, qu'on confond souvent. La défiguration : votre page d'accueil est remplacée par un message politique ou provocateur — visible immédiatement, dévastateur en image. La compromission discrète : le site reste identique, mais une page de paiement, un formulaire ou un IBAN ont été modifiés, ou du contenu invisible a été injecté pour référencer des produits qui ne sont pas les vôtres. Le clonage : un site jumeau est monté ailleurs, sur un domaine à une lettre près.
Vitrine 2
Deux formes également graves. L'usurpation d'expéditeur : personne n'est entré dans votre boîte, mais un message est envoyé en affichant votre adresse, parce que votre nom de domaine n'est pas protégé contre cela. La compromission réelle : l'attaquant lit vos échanges, apprend vos habitudes, vos noms de clients, vos montants — puis reprend un fil de discussion existant pour annoncer un changement de coordonnées bancaires. C'est le mécanisme du faux ordre de virement.
Vitrine 3
Facebook, Instagram, LinkedIn, TikTok. Une page professionnelle se gère toujours depuis des comptes personnels : la sécurité de votre page vaut celle du compte personnel le plus faible parmi ses administrateurs. Une fois la page prise, l'attaquant en change le nom, publie des offres frauduleuses à votre audience, répond en messages privés à vos clients, et surtout lance des campagnes publicitaires payées avec le moyen de paiement enregistré sur le compte.
Vitrine 4
C'est elle qui affiche votre adresse, vos horaires, votre téléphone, votre note et vos avis dans la recherche et sur Maps. Une fiche non revendiquée peut être revendiquée par un tiers. Une fiche revendiquée peut être modifiée : numéro de téléphone remplacé, lien vers un autre site, horaires faussés, ou fiche marquée « définitivement fermée ». Google indique lui-même qu'un établissement non revendiqué est plus vulnérable.
Vitrine 5
La vitrine qu'on oublie toujours, et pourtant celle qui commande toutes les autres : il porte le site et les adresses de messagerie. Trois façons de le perdre : l'oubli de renouvellement (carte bancaire expirée chez le registrar, courriel d'alerte parti dans une boîte que personne ne lit), le transfert frauduleux après piratage du compte du registrar, et la modification des enregistrements DNS, qui redirige silencieusement votre trafic et vos courriels ailleurs.
Vitrine 6
Votre compte de réservation, votre boutique sur une place de marché, votre espace transporteur, votre logiciel de facturation en ligne, votre outil d'envoi de newsletters. Ils contiennent votre fichier client, vos coordonnées bancaires et le droit d'écrire en votre nom. Le rapport 2025 de Cybermalveillance.gouv.fr cite explicitement des piratages de comptes Booking.com et Colissimo Entreprise.
Ils ne sont pas une septième vitrine : ils sont la conséquence de toutes les autres. Un client trompé par un faux site ou par une fausse page à votre nom laisse un avis sincèrement furieux sur votre vraie fiche. C'est ce qui rend ces avis si difficiles à faire retirer : leurs auteurs sont réellement victimes, ils se trompent seulement de coupable. Il existe aussi des campagnes d'avis négatifs délibérées, parfois assorties d'une demande d'argent pour les faire cesser.
Les impacts
L'atteinte à l'image n'est pas un dommage « symbolique ». Elle se traduit en trésorerie, en temps et en relations, souvent dans cet enchaînement.
C'est l'impact le plus rapide et le plus concret. Un IBAN modifié dans une facture, une page de paiement détournée sur votre boutique, un lien de règlement envoyé depuis votre adresse : le client paie, vous ne recevez rien. Il considère pourtant sa dette éteinte. La discussion sur qui supporte la perte est rarement simple, et elle finit parfois devant un juge.
Une publicité frauduleuse diffusée depuis votre propre page, un faux compte mieux référencé que le vrai, un numéro de téléphone remplacé sur votre fiche Google : le client potentiel ne vous atteint jamais. Vous ne verrez pas cette perte dans vos comptes, parce qu'une vente qui n'a pas eu lieu ne laisse aucune trace. C'est ce qui rend ce risque si long à détecter.
Les avis négatifs tombent, les commentaires s'accumulent, les captures d'écran circulent. Une note dégradée sur une fiche d'établissement met des mois à se rétablir, et elle influence directement votre position dans les résultats locaux. Le contenu publié en votre nom, lui, reste indexé et partagé bien après avoir été supprimé.
C'est l'impact le plus coûteux à long terme, et le moins mesurable. Un client qui a reçu un message frauduleux à votre nom ne saura plus, ensuite, quel message croire. Il vérifiera. Il téléphonera. Ou il ira voir ailleurs. La confiance, une fois entamée, ne se restaure pas par un communiqué — elle se restaure par des mois de comportement irréprochable.
Rassurer les clients, expliquer, prouver votre bonne foi, rassembler les preuves, remplir les formulaires de signalement, tenter de reprendre la main sur un compte auprès d'une plateforme qui ne répond pas. Pour un dirigeant qui travaille seul ou à deux, c'est du chiffre d'affaires perdu qui s'ajoute au préjudice. Et la récupération d'un compte peut prendre des semaines.
Si le compte compromis contenait des données personnelles — fichier clients, base de contacts, messages — vous êtes face à une violation de données au sens du RGPD, avec les obligations de notification qui l'accompagnent. C'est un sujet distinct de l'atteinte à l'image, mais il arrive en même temps. Nous le traitons sur la page risque juridique.
Vos fournisseurs, vos sous-traitants et vos clients reçoivent des messages venant de vous. Certains cliqueront. Vous devenez, malgré vous, le vecteur d'une attaque contre les autres — avec les conséquences relationnelles et parfois contractuelles que cela implique. C'est la raison pour laquelle vos donneurs d'ordre s'intéressent de plus en plus à votre niveau de sécurité.
Les premières actions
Elles ne coûtent rien, elles ne demandent aucun prestataire, et elles bloquent la très grande majorité des scénarios décrits plus haut. Elles se font dans cet ordre.
Action n° 1
Unique est plus important que compliqué. Un mot de passe réutilisé sur trois services devient inutile dès que l'un des trois est piraté — et les fuites de données massives alimentent précisément ce mécanisme.
La CNIL, dans sa recommandation de juillet 2022, ne raisonne plus en « caractères spéciaux obligatoires » mais en robustesse d'ensemble : au minimum 12 caractères mélangeant majuscules, minuscules, chiffres et caractères spéciaux, ou bien 14 caractères sans caractères spéciaux, ou encore une phrase de passe plus longue. Une phrase de plusieurs mots sans rapport entre eux est à la fois plus solide et plus facile à retenir qu'un mot déguisé en chiffres.
Corollaire indispensable : utilisez un gestionnaire de mots de passe. Personne ne retient quarante secrets différents. Sans gestionnaire, l'unicité est une intention, pas une pratique.
Action n° 2
La double authentification ajoute une preuve au moment de la connexion. Un mot de passe volé ne suffit alors plus. L'ANSSI place ce mécanisme avant même le choix du mot de passe dans ses recommandations.
À activer partout, sans exception : registrar du nom de domaine, hébergeur, messagerie, comptes personnels de chaque administrateur de page, compte Google gérant la fiche d'établissement, plateformes, banque, logiciel de facturation.
Tous les seconds facteurs ne se valent pas. Une clé de sécurité physique ou une application d'authentification vaut mieux qu'un code reçu par SMS : la ligne mobile peut être détournée par duplication de carte SIM, et le code SMS peut être demandé en direct par un escroc au téléphone. Utilisez le SMS s'il n'y a rien d'autre — mais préférez toujours l'application ou la clé.
Action n° 3
Un seul administrateur, c'est un point de rupture unique. Si son compte est piraté, si son téléphone est perdu, s'il quitte l'entreprise ou s'il est simplement injoignable, plus personne ne peut reprendre la main. C'est le motif de blocage le plus fréquent après un piratage de page.
Sur les réseaux sociaux, la fiche Google, le registrar et l'hébergeur : désignez au moins deux personnes ayant le rôle le plus élevé, sur deux comptes distincts, avec deux adresses de récupération distinctes et deux téléphones distincts. L'un d'eux doit être le dirigeant.
Le second compte n'est pas un compte partagé : c'est un compte nominatif. Un identifiant partagé entre plusieurs personnes ne permet plus de savoir qui a fait quoi, et il survit au départ de chacune d'elles.
La suite, dans l'ordre
Aucune ne demande de compétence technique particulière. Comptez une demi-journée au total, à répartir sur quelques semaines.
Sécuriser un compte que vous ne possédez pas n'a aucun sens. Avant tout le reste, vérifiez que l'entreprise — et non un ancien salarié, un neveu serviable ou une agence de communication — est bien propriétaire de chacune de ces ressources.
Créez et revendiquez le nom de votre entreprise sur les principales plateformes, même si vous n'y publiez jamais. C'est gratuit, cela prend une heure, et cela empêche quelqu'un d'autre de l'occuper. Le même raisonnement vaut pour les variantes évidentes de votre nom de domaine.
C'est le maillon que les attaquants visent en premier, et celui que les entreprises négligent le plus. Celui qui contrôle l'adresse de récupération contrôle le compte : il lui suffit de demander une réinitialisation de mot de passe.
Google le formule simplement : moins il y a de personnes ayant accès à votre fiche, moins elle risque d'être compromise. Le principe vaut pour tous vos comptes.
Le jour où quelqu'un quitte l'entreprise, la liste de ses accès doit être connue à l'avance. C'est aussi ce qui rend l'inventaire de l'action n° 6 utile bien au-delà de la sécurité.
Ce sont trois réglages du nom de domaine — pas trois logiciels à acheter. Ils permettent aux messageries de vos destinataires de vérifier qu'un message affichant votre adresse vient réellement de chez vous. Sans eux, n'importe qui peut écrire à vos clients en affichant votre adresse.
L'ordre de déploiement compte : SPF d'abord, en recensant tous les services qui écrivent en votre nom (hébergeur, logiciel de facturation, outil de newsletter, CRM) ; puis DKIM ; puis DMARC en mode observation pendant quelques semaines ; puis, seulement quand vos messages légitimes passent tous, un mode restrictif. Passer directement en mode strict avec une configuration incomplète bloquerait vos propres courriels.
Depuis février 2024, les grands fournisseurs de messagerie ont durci leurs exigences envers les expéditeurs, en particulier les expéditeurs en volume. Un domaine sans authentification correcte voit sa délivrabilité se dégrader : vos messages légitimes finissent en indésirables, y compris chez vos clients habituels.
C'est la seule mesure de cette liste qui demande l'intervention de la personne qui gère votre nom de domaine. Elle prend généralement moins d'une heure.
Le domaine commande le site et la messagerie. Sa perte est l'incident le plus difficile à réparer.
Un point qu'il faut connaître, parce qu'il change la façon de raisonner : certains logiciels malveillants, appelés infostealers, ne cherchent pas à chiffrer vos fichiers. Ils volent silencieusement les mots de passe enregistrés dans le navigateur et les cookies de session.
Un cookie de session est la preuve que vous vous êtes déjà authentifié. Volé, il permet à un attaquant de reprendre votre session sans mot de passe et sans code de double authentification. C'est ainsi que des comptes pourtant bien protégés sont pris. Changer son mot de passe après coup n'invalide pas nécessairement les sessions déjà ouvertes.
Plus la fraude est détectée tôt, plus elle est courte, et moins elle coûte. La surveillance ne demande pas d'outil payant.
Les campagnes d'hameçonnage visant les gestionnaires de pages professionnelles suivent presque toujours le même schéma : une menace, un délai court, un lien.
La règle qui neutralise les trois : ne cliquez jamais sur le lien du message. Ouvrez vous-même la plateforme, par votre marque-page habituel ou en tapant l'adresse, et regardez vos notifications. Si l'avertissement est réel, il y figure. Pour un changement de coordonnées bancaires, rappelez votre interlocuteur sur le numéro que vous connaissiez déjà — jamais sur celui indiqué dans le message.
Cette consigne doit être connue de toutes les personnes qui touchent à vos comptes publics, y compris celles qui ne sont pas salariées.
Le jour de l'incident, vous n'aurez ni le temps ni le calme de chercher ces éléments. Constituez-les maintenant, et conservez-les hors de vos comptes en ligne : sur papier, ou dans un fichier chiffré sur un support déconnecté.
Notre fiche d'urgence à imprimer est faite pour cela : une page à remplir aujourd'hui, à afficher, et à utiliser le jour venu.
Autocontrôle
Prenez vos comptes un par un et répondez à ces cinq questions. Toute case que vous ne pouvez pas cocher est une action à programmer.
| Question | Pourquoi elle compte |
|---|---|
| L'entreprise en est-elle propriétaire ? | Un compte au nom d'un ancien salarié ou d'un prestataire n'est pas le vôtre, quelles que soient les apparences. |
| Le mot de passe est-il unique et robuste ? | Un mot de passe réutilisé est déjà compromis si l'un des services où il sert a subi une fuite. |
| Le second facteur est-il actif ? | C'est ce qui rend le vol du mot de passe insuffisant. Application ou clé de préférence au SMS. |
| Y a-t-il deux administrateurs nominatifs ? | Sans second administrateur, la perte d'accès du premier est définitive dans les faits. |
| Saurais-je le récupérer demain matin ? | Adresse de récupération maîtrisée, codes de secours conservés, justificatifs de propriété disponibles. |
Nom de domaine · hébergement du site · administration du site · messagerie professionnelle · comptes personnels de chaque administrateur de page · page Facebook · compte Instagram · page LinkedIn · fiche d'établissement Google · logiciel de facturation · outil d'envoi de courriels · places de marché et plateformes de réservation · banque en ligne.
Si c'est déjà arrivé
La fenêtre de récupération se referme vite. Tant que l'attaquant n'a pas remplacé l'adresse de récupération et le numéro de téléphone du compte, la reprise en main reste souvent simple.
Ne payez jamais quelqu'un qui promet de récupérer votre compte « en une heure ». Ces offres, très présentes sur les réseaux sociaux, sont elles-mêmes des escroqueries : elles encaissent, puis disparaissent, ou réclament les identifiants d'autres comptes. Les seules voies légitimes sont les procédures officielles des plateformes et les prestataires de confiance.
Ne cherchez pas le numéro de l'assistance sur un moteur de recherche. Les résultats sponsorisés qui apparaissent au-dessus sont fréquemment des faux supports. Passez par la page d'aide de la plateforme, depuis votre compte.
Pour aller plus loin
Gratuites, publiques, et rédigées pour des non-spécialistes.
Cybermalveillance.gouv.fr
La fiche réflexe de référence : les signes, les premiers gestes, les démarches et les recours possibles.
Lire la fiche →Cybermalveillance.gouv.fr
Le cas particulier des réseaux sociaux : reprise en main, signalement à la plateforme, dépôt de plainte.
Lire la fiche →Cybermalveillance.gouv.fr
Le mécanisme complet de la fraude au virement, troisième menace pour les entreprises en 2025, et les moyens de la déjouer.
Lire la fiche →Cybermalveillance.gouv.fr
Ce qu'il faut faire quand votre identité, ou celle de votre entreprise, est utilisée par un tiers.
Lire la fiche →CNIL
La délibération n° 2022-100 du 21 juillet 2022 et son explication : ce qui rend un mot de passe réellement solide, et pourquoi le renouvellement forcé n'est plus recommandé.
cnil.fr →La page officielle : vérifier si votre fiche est revendiquée, limiter les accès, et reconnaître les faux appels d'assistance.
support.google.com →AFNIC
Le registre des extensions françaises : guide du titulaire, verrouillage renforcé, DNSSEC et procédures de résolution de litiges.
afnic.fr →Ministère de l'Intérieur
Le guichet unique d'assistance en ligne : un parcours guidé qui établit un diagnostic et oriente, si nécessaire, vers un policier ou un gendarme.
17cyber.gouv.fr →Vous n'êtes pas certain de savoir qui contrôle réellement votre page, votre fiche ou votre nom de domaine ? C'est le point de départ le plus utile. Écrivez-nous : nous ne vendons rien, nous vous aidons à faire le tri, gratuitement.
Cette page présente des informations générales à titre de sensibilisation. Elle ne constitue ni un conseil juridique, ni une prestation d'audit, et ne remplace pas l'analyse de votre situation par un professionnel. Les interfaces, procédures et exigences des plateformes citées évoluent fréquemment : vérifiez-les auprès des organismes concernés avant toute démarche. Aucune solution commerciale n'est recommandée sur ce site.