Faux compte Instagram : comment savoir qui se cache derrière

↑ Ce conseil fait partie du guide : Arnaques & hameçonnage

Faux compte Instagram : comment savoir qui c'est ?

Aucun outil public ne donne un nom. Instagram ne communique l'identité d'un titulaire qu'à l'autorité judiciaire, jamais à un particulier : il faut donc une plainte, puis une réquisition. En attendant, cinq indices gratuits restent lisibles sur le profil, et ils suffisent souvent à confirmer un soupçon.

1. Capturez le profil avant toute chose.
2. Lisez « À propos de ce compte ».
3. Notez les abonnés en commun.
4. Signalez le compte, puis bloquez-le.
5. Déposez plainte : seule voie vers un nom.

Les captures d'abord, le blocage en dernier

Au téléphone, la question arrive toujours dans le même ordre : d'abord « qui est-ce ? », ensuite « comment je le fais supprimer ? ». L'ordre inverse marche mieux : l'identification est longue, la trace disparaît en quelques heures. Un pseudo se change en trois secondes, et un compte effacé n'est plus consultable.

Le réflexe le plus coûteux, c'est de bloquer tout de suite. Un compte bloqué devient invisible depuis votre téléphone : plus d'URL à copier, plus de capture. Vous vous protégez du harcèlement et vous perdez le dossier. Le blocage vient en dernier.

1. Copiez l'URL du profil, instagram.com/ suivi du pseudo, et notez l'identifiant exact, au point près.
2. Capturez le profil entier : photo, biographie, publications, abonnés, abonnements.
3. Capturez chaque message reçu, date et heure visibles.
4. Ouvrez « À propos de ce compte » et photographiez l'écran.
5. Signalez le compte, au motif « usurpation d'identité » s'il y a lieu, puis bloquez.

Les cinq indices gratuits, dans l'ordre

Tout ce qui suit se lit depuis l'application, sans logiciel et sans payer. Aucun ne donne un nom ; chacun réduit le champ.

Le quatrième est le plus utile, et personne ne le regarde. Un faux compte monté contre quelqu'un de précis a besoin de voir ce que vous publiez : son auteur suit des gens de votre entourage. Les abonnés en commun dessinent un cercle — une classe, une équipe, une famille. Cela ne nomme personne, mais réduit le champ à quelques dizaines de noms, et c'est ce qui rend la plainte utile.

La recherche inversée prend trente secondes : enregistrez la photo, déposez-la sur images.google.com ou passez par Google Lens. Tapez aussi le pseudo entre guillemets : beaucoup réutilisent le même identifiant sur un forum ou une vieille adresse email publique. Attention au contresens : la photo retrouvée ailleurs désigne la personne photographiée, elle aussi victime. La fiche quelqu'un utilise mes photos explique quoi lui dire.

« À propos de ce compte » : ce que la rubrique montre vraiment

Ouvrez le profil, touchez le menu en haut à droite, puis À propos de ce compte. Instagram y donne cinq informations, pas une de plus : la date d'inscription, le pays, les abonnés en commun, les changements d'identifiant des douze derniers mois, et les publicités diffusées.

Pourquoi ces cinq lignes pèsent autant ? Parce que la création d'un compte Instagram ne réclame qu'une adresse email ou un numéro de téléphone, jamais une pièce d'identité : rien n'est vérifié, et c'est pour ça qu'une usurpation se monte en deux minutes. La date de création reste l'un des rares éléments que l'auteur n'a pas choisis.

La ligne des publicités ouvre une base publique. Un compte qui en paie a relié un compte bancaire à Meta, et ses annonces sont dans la bibliothèque publicitaire, consultable sans compte : vous y verrez qui les finance. Rare en harcèlement, courant sur une arnaque à la vente. Pour juger l'URL d'une annonce, voyez vérifier un lien suspect.

L'écran « mot de passe oublié » : ce qu'il révèle, ce qu'il déclenche

C'est l'astuce que tous les sites recopient, et presque aucun n'en dit les deux moitiés. Sur l'écran de connexion, « Mot de passe oublié » puis le pseudo affiche les moyens de réinitialisation enregistrés — une adresse mail et parfois un numéro — partiellement masqués : quelques caractères, le domaine, les derniers chiffres.

Ce que cela permet : confirmer. Si vous soupçonnez une personne précise et avez son numéro, la comparaison tranche en dix secondes. Ce que cela ne permet pas : découvrir. Un contact masqué inconnu n'apprend rien, et c'est le cas le plus fréquent.

Les quatre indices qui trompent

• Le pays affiché. Il dit où le compte est localisé, pas où vit la personne : un VPN à trois euros le déplace, une carte SIM étrangère aussi.
• La photo retrouvée ailleurs. Elle désigne la personne photographiée, qui ignore presque toujours que son visage sert à une usurpation.
• La date qui « coïncide ». Un compte créé le lendemain d'une dispute est un argument, pas une preuve. Écrivez-le dans la plainte, n'en faites pas une accusation.
• Les suggestions d'Instagram. Le faux compte dans vos « Suggestions pour vous » ne désigne personne : l'application croise des répertoires et des adresses email que vous ne voyez pas.

Ces quatre-là mènent à accuser publiquement : si la personne n'est pas l'auteur, c'est vous qui vous exposez ; si elle l'est, elle efface le compte avant toute réquisition.

Ce que le faux compte vous demande : trois hameçonnages

Un faux compte ne se contente pas d'exister : il écrit. Derrière le harcèlement ou l'usurpation d'identité, l'hameçonnage n'est jamais loin, et le message privé suit l'un de ces trois modèles d'arnaque.

• Le lien d'activation. « Votre compte va être désactivé, connectez-vous ici pour le vérifier ». L'URL qui suit n'est jamais instagram.com : c'est une copie de l'écran de connexion, qui enregistre vos identifiants et votre mot de passe, puis le code à six chiffres de la double authentification. Le libellé ne varie presque pas : « Veuillez saisir votre identifiant et votre nouveau mot de passe ». Le faux compte devient alors un compte volé, et l'usurpation change de victime.
• La demande d'informations personnelles. Date de naissance, adresse mail de secours, opérateur : exactement ce qu'un service client réclame pour réinitialiser un accès.
• Les coordonnées bancaires. « Frais de vérification », « déblocage du compte », « gain à réclamer » : Instagram ne demande jamais votre carte ni votre RIB. Aucune plateforme ne fait payer la restitution d'un compte : c'est un hameçonnage, et il se signale comme les autres.

Le signal fiable est dans votre boîte mail, pas dans l'application : chaque tentative de connexion déclenche un courriel d'Instagram. Ouvrez la boîte de réception et les spams, où ces messages tombent souvent, puis comparez avec E-mails d'Instagram, dans les paramètres : cette liste donne les courriels réellement envoyés. Absent de la liste, c'est de l'hameçonnage.

Ce qui ne sert à rien — et ce qui se retourne contre vous

Les sites qui promettent un nom contre paiement. Ils tiennent les premières places des résultats, et c'est tout : ils revendent une recherche publique, le pseudo dans un moteur, la photo en recherche inversée. Aucun n'a accès aux données de Meta.

Les « récupérateurs d'adresse IP ». Envoyer une URL piégée pour relever l'adresse de qui clique : sur un téléphone en 4G, la même adresse publique sert à des milliers d'abonnés et désigne un opérateur, pas une personne. Et même juste, elle ne devient un nom que par un enquêteur. La fiche ce qu'on peut faire avec une adresse IP détaille la limite.

• Les « pirates » qui proposent l'identité en message privé. Ils arrivent dans l'heure qui suit votre story. Même arnaque que les faux hackers qui promettent de récupérer un compte : un acompte, puis un second, puis rien.
• Faire signaler le compte par vingt proches. Le signalement est jugé sur le contenu, pas au nombre de votes ; un seul, bien motivé, pèse davantage.
• Créer votre propre faux compte pour la piéger. La pire idée de la liste : vous entrez dans la qualification que vous dénoncez.

La seule voie qui donne un nom

Un particulier n'obtiendra pas de Meta l'identité derrière un compte. Le vrai enchaînement tient en trois temps : vous déposez plainte, l'enquêteur qualifie les faits, puis il adresse une réquisition judiciaire à l'hébergeur. C'est long et incertain ; c'est la seule voie.

1. Rassemblez les captures, l'URL du profil et les faits datés.
2. Déposez plainte en commissariat ou en gendarmerie : gratuit, et on ne peut le refuser.
3. Si la qualification vous échappe, passez par 17Cyber, le guichet en ligne de l'État.
4. Demandez le numéro de procédure : les plateformes le réclament.

La qualification habituelle est l'usurpation d'identité, article 226-4-1 du code pénal : utiliser l'identité d'un tiers « en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur », puni d'un an d'emprisonnement et de 15 000 € d'amende, en ligne comme ailleurs. Un détail dit tout du problème : les peines montent à deux ans et 30 000 € quand l'auteur est le conjoint, le concubin ou le partenaire de PACS. Le faux compte est souvent une affaire de proches.

Une voie civile existe : un référé, par avocat, suppose un « motif légitime » au sens de l'article 145 du code de procédure civile, et des honoraires ; la plainte est gratuite. La suite est dans porter plainte après un piratage et une plainte classée sans suite.

Le RGPD, la CNIL, et ce qu'ils ne feront pas

Un faux compte qui diffuse vos photos, votre adresse email ou votre date de naissance traite vos données. Deux recours s'ajoutent à la plainte.

• La demande d'effacement à Meta, écrite depuis l'adresse email du compte, captures jointes. Réponse due « au plus tard dans un délai d'un mois », porté à trois si la demande est complexe, et l'entreprise doit dire pourquoi.
• La réclamation à la CNIL, en ligne et gratuite, passé ce mois sans réponse ou avec une réponse insatisfaisante. Joignez la copie de votre demande : c'est la pièce que la CNIL réclame d'abord.

Ce que ni l'un ni l'autre ne feront : vous donner un nom. Le droit d'accès ne porte que sur vos données, et la CNIL sanctionne l'usurpation sans lever l'anonymat d'un tiers : l'anonymat reste l'affaire du juge. Ces démarches font disparaître ce qui est publié ; elles n'identifient pas les pirates.

Si le faux compte porte votre nom

La priorité change : l'urgence n'est plus de savoir qui, mais de faire tomber le compte avant qu'il n'écrive à vos proches pour leur réclamer de l'argent. Le signalement pour usurpation d'identité, qui accepte une pièce d'identité, aboutit bien mieux qu'un signalement générique. Prévenez votre entourage autrement : ce sont eux la cible.

Le même mécanisme chez Facebook est détaillé dans faux profil Facebook, et les démarches complètes — banque, opérateur, administrations — dans usurpation d'identité. Si c'est votre compte qui publie sans vous, il faut reprendre un compte Instagram piraté. Et si l'on réclame de l'argent contre des photos, c'est le chantage aux photos intimes, urgent.

Si vous préférez qu'on regarde ensemble, une assistance à distance dès 19 € la demi-heure suffit pour relever les indices et préparer les captures.

Questions fréquentes

Instagram peut-il me dire qui est derrière un faux compte ?

Non. La plateforme ne communique ces données qu'à l'autorité judiciaire, sur réquisition. Même après suppression du compte signalé, l'email de réponse dira qu'il a été traité, jamais par qui il était tenu.

Combien de temps ai-je pour agir ?

Un an. Les données techniques de connexion, dont l'adresse IP, ne sont conservées qu'un an à compter de la connexion : au-delà, même une réquisition judiciaire ne trouve plus de quoi relier le compte à un abonné.

La rubrique « À propos de ce compte » n'apparaît pas, est-ce normal ?

Oui, c'est fréquent : Instagram l'a conçue pour les comptes qui touchent une large audience, et sur un petit compte récent elle est souvent absente. Passez aux abonnés en commun et à la recherche inversée de la photo.

Puis-je utiliser « mot de passe oublié » sur le faux compte ?

Une fois, pour comparer la fin du numéro de téléphone masqué avec celui d'une personne que vous soupçonnez. La demande part vraiment et la personne en est avertie. Entrer dans le compte relève de l'article 323-1 du code pénal.

Dois-je bloquer le faux compte ?

Oui, mais en dernier. Un compte bloqué devient invisible pour vous : plus d'URL à copier, plus de capture. Copiez l'adresse, capturez, signalez, puis bloquez.

J'ai cliqué sur le lien envoyé par le faux compte, que faire ?

Changez le mot de passe de votre messagerie en premier, celui d'Instagram ensuite, et activez la double authentification. Surveillez vos spams : des emails de réinitialisation non demandés signifient que la tentative continue. Signalez ensuite le faux compte, l'hameçonnage fait partie du dossier.

Faut-il porter plainte si je ne sais pas qui c'est ?

Oui, c'est même le cas normal : on ne dépose pas plainte contre une personne mais pour des faits. La plainte contre X existe pour ça, et c'est elle qui ouvre la réquisition vers l'hébergeur.

Sources

• Instagram — « About This Account » (les cinq informations).
• Instagram — voir les publicités actives d'un compte.
• Légifrance — article 226-4-1 du code pénal.
• Légifrance — article 323-1 du code pénal (3 ans et 100 000 €).
• Légifrance — décret n° 2021-1362 du 20 octobre 2021 (durées de conservation).
• CNIL — le droit à l'effacement (un mois, porté à trois).
• 17Cyber et cybermalveillance.gouv.fr.

À lire aussi : mon compte Instagram a été suspendu · la double authentification · les tarifs.