Compte Gmail piraté : comment le récupérer

↑ Ce conseil fait partie du guide : Compte en ligne piraté

Est-ce vraiment un piratage ?

Avant de lancer une procédure de récupération, il faut être sûr de ce qu'on regarde. Beaucoup d'appels commencent par « mon Gmail est piraté » alors que le compte n'a jamais été touché : c'était un mail d'alerte qui était faux, ou un mot de passe simplement oublié.

Ce qui indique une vraie intrusion :

• Le mot de passe ne fonctionne plus, du jour au lendemain, alors que vous ne l'avez pas changé.
• Des messages sont partis de votre boîte sans que vous les ayez écrits, ou vos contacts vous signalent des liens bizarres envoyés depuis votre adresse.
• Des mails ont disparu, ou vous ne recevez plus ceux de votre banque alors qu'ils arrivaient hier encore.
• Google vous a prévenu d'une connexion depuis un appareil ou un pays inconnu, et ce n'était pas vous.
• L'adresse ou le numéro de secours enregistrés dans le compte ne sont plus les vôtres.

Ce qui n'en est pas un :

• Un mail qui prétend vous avoir filmé par la webcam et qui cite un de vos anciens mots de passe. Ce mot de passe vient de la fuite d'un site, pas de votre boîte ; le reste est du bluff. L'ordre dans lequel reprendre les comptes concernés est détaillé dans la fiche sur les mots de passe volés ou fuités.
• Un mail « Alerte de sécurité Google » qui vous demande de cliquer sur un bouton pour vérifier votre compte. Une vraie alerte n'a pas besoin de ce bouton : elle se retrouve en tapant vous-même l'adresse de votre compte Google dans le navigateur.
• Une soudaine avalanche de spam. C'est désagréable, ce n'est pas une intrusion.

La vérification se fait en une minute et sans rien installer. Tout en bas de la page Gmail, à droite, s'affiche « Dernière activité sur le compte » avec un lien « Détails » : il liste les connexions récentes, leur heure et leur origine. S'il y a là une session que vous ne reconnaissez pas, le doute est levé.

Les gestes des dix premières minutes

Si le mot de passe fonctionne encore, vous êtes dans le cas facile. Il faut aller vite, parce qu'un intrus déjà entré passe justement son temps à verrouiller le compte derrière lui.

1. Changez le mot de passe depuis un appareil sain. Si vous le changez depuis une machine où un logiciel enregistre les frappes du clavier, vous lui offrez aussi le nouveau. En cas de doute sur l'ordinateur lui-même, commencez par les gestes à faire quand l'ordinateur est en cause.
2. Déconnectez toutes les autres sessions. Dans Gmail, en bas à droite, « Détails » puis « Déconnecter toutes les autres sessions Web ». Un mot de passe changé ne ferme pas toujours une session déjà ouverte ailleurs.
3. Vérifiez l'adresse et le numéro de secours. C'est la première chose qu'un intrus remplace : tant qu'ils sont à lui, il peut reprendre le compte quand il veut.
4. Activez la validation en deux étapes, de préférence par une application de codes plutôt que par SMS.
5. Gardez des traces. Captures d'écran, mails d'alerte, adresses inconnues : elles serviront pour la plainte et pour la banque.

La procédure officielle de récupération

Il n'y a qu'un seul chemin, et il est gratuit : la page de connexion Google, puis « Mot de passe oublié ». Google déroule alors une série de questions et décide, au vu de vos réponses, si le compte vous appartient. Il n'existe ni numéro à appeler, ni formulaire d'urgence, ni service client pour un compte Google gratuit.

Quatre choses font vraiment la différence sur le résultat :

• Faites la démarche depuis un appareil et un navigateur déjà utilisés pour ce compte, sur votre connexion habituelle. Google s'appuie énormément sur cet historique : la même demande faite depuis l'ordinateur d'un ami aboutit beaucoup moins souvent.
• Répondez à toutes les questions, même approximativement. Un ancien mot de passe dont vous n'êtes pas certain, un mois de création estimé : une réponse approchée vaut mieux qu'une case laissée vide.
• Ne multipliez pas les tentatives contradictoires dans la même heure. Si ça bloque, arrêtez, et recommencez plus tard, au calme, avec de meilleures réponses.
• Sortez vos codes de secours s'il en existe. Ce sont les codes à usage unique proposés au moment où vous avez activé la validation en deux étapes : beaucoup de gens les ont imprimés puis oubliés dans un tiroir. Un seul suffit à rentrer.

Google impose parfois un délai avant de trancher, en particulier quand le compte a été modifié récemment. Ce n'est pas un refus : il faut surveiller l'adresse de secours et attendre la réponse, sans relancer dix demandes en parallèle.

Si le numéro de secours a été changé

C'est le cas le plus fréquent, et le plus désagréable. L'intrus a remplacé l'adresse de secours et le numéro par les siens : toutes les réinitialisations partent désormais chez lui.

Deux choses jouent encore pour vous. D'abord, Google prévient normalement l'ancienne adresse quand ces informations changent, avec un lien permettant d'annuler la modification. Cherchez ce message, y compris dans les indésirables et dans la corbeille : c'est de loin le chemin le plus rapide. Ensuite, la récupération ne repose pas que sur ces coordonnées : elle tient compte des appareils sur lesquels vous étiez déjà connecté. Un téléphone Android encore relié au compte est souvent ce qui sauve la situation.

Si malgré tout la récupération échoue, il faut le dire franchement : il n'y a pas d'autre porte. Aucun prestataire, moi compris, ne peut faire rouvrir un compte Google à votre place. Le travail change alors de nature — il s'agit de limiter les dégâts :

1. Prévenir vos contacts par un autre canal que le mail : leur dire que l'adresse n'est plus à vous et qu'aucune demande d'argent venue d'elle n'est de vous.
2. Faire le tour de tous les comptes qui utilisent cette adresse comme adresse de réinitialisation, et y mettre une autre adresse. C'est la partie longue, et la plus importante.
3. Créer une nouvelle adresse, protégée dès le premier jour par la validation en deux étapes.
4. Déposer plainte, surtout si le compte servait à une activité professionnelle.

Les portes dérobées à refermer

Vous avez repris le compte ? Le travail n'est pas fini. Quelqu'un qui est entré laisse presque toujours de quoi revenir, et ces réglages-là survivent très bien à un changement de mot de passe. À vérifier un par un, dans les paramètres de Gmail et dans la page de sécurité du compte Google :

• Le transfert automatique (Paramètres → Transfert et POP/IMAP) : une copie de tous vos mails peut partir vers une adresse inconnue sans que rien ne se voie.
• Les filtres (Filtres et adresses bloquées) : une règle qui supprime ou archive automatiquement les messages de votre banque se crée en dix secondes. C'est ce qui permet à une fraude de passer inaperçue pendant des semaines.
• L'accès délégué et les alias d'envoi (Comptes et importation) : une autre personne peut avoir le droit de lire et d'écrire depuis votre boîte.
• Les applications tierces autorisées à accéder au compte : retirez tout ce que vous ne reconnaissez pas.
• Les mots de passe d'application, s'il en reste : ce sont des accès permanents accordés à des logiciels.
• La liste des appareils connectés : déconnectez tout ce qui n'est pas à vous, y compris les vieux téléphones dont vous ne vous servez plus.
• La signature et la réponse automatique : elles sont parfois modifiées pour glisser un lien dans tout ce que vous envoyez.

Tant que ces sept points n'ont pas été passés en revue, le compte n'est pas repris : il est seulement rouvert.

Ce que votre Gmail ouvre ailleurs

C'est le point que presque tout le monde sous-estime. Une boîte Gmail n'est pas un compte parmi les autres : c'est le trousseau. Celui qui la tient peut réinitialiser la banque, les impôts et les réseaux sociaux, dans l'ordre qui lui plaît.

• Les comptes reliés : tous les sites où vous avez cliqué « Se connecter avec Google » s'ouvrent avec ce compte. Retirez l'accès des services que vous n'utilisez plus.
• Les comptes sensibles d'abord : banque, impôts, sites marchands où une carte est enregistrée. Changez leur mot de passe, et vérifiez au passage qu'aucune adresse de récupération n'a été modifiée chez eux aussi.
• Le téléphone Android : le compte Google pilote la sauvegarde et les achats sur le magasin d'applications. Relisez l'historique d'achats.
• Drive et Photos : coupez les partages par lien que vous n'avez pas créés.

Si de l'argent est parti, les délais comptent plus que tout le reste : opposition immédiate sur la carte, contestation auprès de la banque, signalement sur Perceval quand la carte est toujours en votre possession, et plainte au commissariat ou à la gendarmerie avec vos captures d'écran. Si vous êtes professionnel et que des données de clients ont pu partir, la CNIL doit être notifiée dans les 72 heures qui suivent la découverte.

Éviter que ça recommence

Une boîte mail se protège avec trois réglages, pas trente.

1. La validation en deux étapes, par application de codes ou par clé physique. Le SMS vaut mieux que rien, mais il se détourne. C'est la mesure qui rend la plupart des tentatives inutiles.
2. Un mot de passe unique pour cette adresse, qui ne sert nulle part ailleurs. Beaucoup de comptes Gmail sont pris avec un mot de passe récupéré dans la fuite d'un tout autre site.
3. Des codes de secours imprimés et rangés ailleurs que dans la boîte mail, plus une adresse de secours que vous consultez réellement.

Ajoutez-y une habitude : une fois par an, ouvrez le check-up de sécurité de votre compte Google et relisez la liste des applications autorisées. Et ne validez jamais une demande de connexion ou un code que vous n'avez pas déclenché vous-même.

Pour être orienté officiellement, le dispositif public cybermalveillance.gouv.fr propose un parcours dédié aux comptes piratés, et 17Cyber permet d'être mis en relation avec un interlocuteur.

Quand se faire aider

Il y a un moment où continuer seul fait perdre du temps : quand le numéro de secours a été changé, quand deux tentatives de récupération ont déjà échoué, quand le compte sert à votre activité, ou quand vous ne savez pas dire par où c'est entré. Dans ce dernier cas, commencez par mesurer l'étendue réelle du problème : reprendre un compte pendant que l'ordinateur reste infecté ne sert à rien.

Le premier avis ne coûte rien : quinze minutes au téléphone, pendant lesquelles je vous dis si le compte est vraiment compromis, ce qu'il faut faire d'abord, et ce que coûterait la suite.

Pour la suite, une reprise de comptes se règle presque toujours à distance : une assistance à distance dès 19 € pour trente minutes, le temps de passer les réglages un par un avec vous. S'il faut aussi nettoyer la machine, comptez dès 39 € pour un virus, un logiciel espion ou une intrusion, et dès 49 € pour une intervention à domicile au Mans et en Sarthe. Je suis référencé comme prestataire sur cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes.

Si vous voulez savoir à quoi ressemble une intervention avant d'appeler, le déroulé est décrit ici, étape par étape.

À lire aussi : reprendre un compte Facebook piraté · les mesures de prévention qui tiennent dans la durée.