L’Agence nationale de la cybersécurité (ANCS) a lancé, vendredi 14 août 2026, une alerte concernant la recrudescence des tentatives de piratage de comptes Facebook. Les cybercriminels misent notamment sur une technique d’ingénierie sociale particulièrement simple : faire croire à la victime qu’un code de vérification lui a été envoyé « par erreur », avant de lui demander de le communiquer.
Selon l’ANCS, le fraudeur peut contacter sa victime par téléphone, SMS ou courrier électronique et lui demander de lui transmettre le numéro de vérification reçu. Une fois ce code récupéré, l’attaquant peut l’utiliser pour valider une opération de connexion ou de récupération du compte, puis modifier le mot de passe et prendre le contrôle du profil.
Un code de vérification qui ne doit jamais être partagé
Le principe de l’arnaque repose sur une confusion fréquente : le code reçu par SMS ou par un autre canal peut sembler être une simple information technique, alors qu’il constitue précisément un élément destiné à vérifier l’identité du titulaire du compte.
L’ANCS rappelle ainsi qu’aucun utilisateur ne doit communiquer son code de vérification à un tiers, même si celui-ci affirme être un proche, un technicien, un représentant de Facebook ou une personne ayant reçu le code « par erreur ».
Cette recommandation s’inscrit dans les bonnes pratiques déjà préconisées par l’agence pour sécuriser les comptes sur les réseaux sociaux. L’ANCS recommande notamment l’activation de l’authentification à deux facteurs, l’utilisation de mots de passe robustes et différents pour les différents services, ainsi que la surveillance des connexions inhabituelles.
Une technique d’ingénierie sociale plutôt qu’une faille technique
L’élément important dans cette nouvelle alerte est que le piratage ne repose pas nécessairement sur une faille informatique sophistiquée. Le cybercriminel cherche avant tout à manipuler psychologiquement sa victime.
Le scénario est généralement construit pour provoquer une réaction rapide : un message inattendu, un appel d’une personne se présentant comme un interlocuteur légitime, puis une demande urgente de transmettre un code. La victime fournit elle-même l’élément permettant à l’attaquant de franchir une étape de sécurité.
Lire aussi : Démantèlement d’un réseau de phishing électronique dirigé par un salafiste
Cette méthode illustre l’importance croissante de l’ingénierie sociale dans les cyberattaques. Les comptes de réseaux sociaux constituent en effet des cibles particulièrement intéressantes : une fois compromis, ils peuvent servir à contacter les proches de la victime, diffuser de nouvelles arnaques, récupérer des informations personnelles ou tenter d’obtenir de l’argent.
Des tentatives similaires visant les comptes de réseaux sociaux ont déjà été signalées en Tunisie, avec notamment des messages frauduleux invitant les utilisateurs à « sécuriser » leur compte ou à éviter sa suspension.
Que faire si le code a déjà été communiqué ?
La vigilance doit être immédiate lorsqu’un utilisateur a déjà transmis un code de vérification à un tiers. Il est recommandé de vérifier rapidement les paramètres de sécurité du compte, de modifier le mot de passe et de contrôler les sessions et appareils connectés.
L’activation de l’authentification à deux facteurs constitue également une protection supplémentaire. L’ANCS recommande cette mesure pour les comptes Facebook et les comptes de messagerie qui leur sont associés.
En cas d’incident, le tunCERT, le centre de réponse aux urgences informatiques de l’ANCS, propose une assistance aux citoyens et aux professionnels. L’agence indique également qu’un incident de sécurité peut être signalé à l’adresse dédiée à cet effet.
L’ANCS maintient par ailleurs un niveau d’alerte national qualifié de « très élevé » sur son site, ce qui illustre le contexte général de vigilance dans lequel intervient cette nouvelle mise en garde.
Le réflexe à retenir reste donc simple : un code de vérification est personnel et confidentiel. S’il arrive sur votre téléphone ou votre adresse électronique, ne le transmettez à personne, même si la demande semble provenir d’une personne ou d’un service de confiance.
