Votre e-mail est la clé maîtresse : sécurisez le compte qui peut ouvrir tous les autres

Faites ce petit exercice : ouvrez la page de connexion de Facebook, d’Instagram, de votre application bancaire ou d’une boutique en ligne, et cliquez sur « Mot de passe oublié ? ». Où le lien de réinitialisation sera-t-il envoyé ? Dans la plupart des cas : sur votre adresse e-mail.

Cela signifie une chose simple et inquiétante à la fois : celui qui prend le contrôle de votre e-mail n’a pas besoin de pirater vos autres comptes un par un. Il lui suffit de cliquer sur « Mot de passe oublié » sur chaque site, d’ouvrir les liens dans votre boîte et de choisir de nouveaux mots de passe. En quelques minutes, il peut détenir votre Facebook, votre Instagram, vos comptes d’achat, et peut-être davantage.

Alors, si vous n’avez le temps de sécuriser qu’un seul compte aujourd’hui, que ce soit votre adresse e-mail.

Pourquoi les escrocs ciblent-ils l’e-mail en priorité ?

• La réinitialisation des mots de passe : comme on vient de le voir, l’e-mail est la « clé maîtresse » de la plupart de vos comptes.
• Une mine d’informations : factures, contrats, photos de documents, messages de la banque, échanges professionnels. De quoi usurper votre identité.
• Une plateforme pour tromper les autres : un message envoyé depuis votre vraie adresse inspire confiance à vos amis et collègues.
• Le transfert silencieux : l’escroc peut créer une règle qui lui renvoie une copie de tous vos messages, même après que vous avez changé de mot de passe.

Étape 1 : faites le « Check-up Sécurité »

Google propose un outil appelé Check-up Sécurité (Security Checkup), qu’il recommande comme point de départ pour ajouter des options de récupération, activer la validation en deux étapes et vérifier les autorisations de votre compte.

1. Connectez-vous à votre compte Google depuis le navigateur ou depuis les paramètres de votre téléphone Android.
2. Allez dans Sécurité, puis Check-up Sécurité.
3. Suivez les recommandations une à une : appareils connectés, activité de connexion, applications liées, options de récupération.

Si vous utilisez Outlook, Yahoo ou une autre messagerie, cherchez la page « Sécurité » dans les paramètres de votre compte : la plupart des grands services proposent des outils similaires.

Étape 2 : les options de récupération (ne les négligez pas)

Les options de récupération sont ce qui vous permet, à vous, de récupérer votre compte si vous oubliez votre mot de passe ou s’il est volé. Sur Android : Paramètres > Google > Gérer votre compte > Sécurité et connexion, puis Téléphone de récupération et Adresse e-mail de récupération. Les noms peuvent légèrement varier selon la version.

Les conseils de Google :

• Téléphone de récupération : un numéro de mobile qui reçoit les SMS, que vous êtes seul à utiliser, et que vous avez habituellement sur vous.
• E-mail de récupération : une adresse que vous utilisez régulièrement, et différente de celle que vous sécurisez.
• Attention aux délais : ajouter ou modifier un téléphone de récupération peut prendre jusqu’à 7 jours avant d’être effectif. N’attendez pas que votre compte soit volé.
• Contacts de récupération : Google permet à certains comptes d’ajouter des personnes de confiance (jusqu’à 10) qui peuvent vous aider à récupérer votre compte. Cette fonction n’est pas disponible pour tous les types de comptes, par exemple les comptes d’enfants ou professionnels.

Étape 3 : une connexion plus solide

1. Un mot de passe unique et long pour votre e-mail, jamais utilisé ailleurs. Si votre adresse apparaît dans une fuite, lisez notre guide pour vérifier les fuites.
2. Une clé d’accès : la meilleure option aujourd’hui, qui rend le phishing quasi impossible. Les étapes sont dans l’article les clés d’accès expliquées.
3. La validation en deux étapes : si vous n’activez pas de clé d’accès, activez au moins la validation en deux étapes, en privilégiant une application d’authentification ou les notifications sur le téléphone plutôt que les SMS.
4. Ne donnez aucun code à personne, quel que soit le prétexte. Google indique clairement ne collaborer avec aucun « service » proposant de l’aide pour récupérer un compte.

Étape 4 : inspectez ce qui pourrait se cacher dans votre messagerie

Un escroc habile ne change pas toujours votre mot de passe. Parfois, il laisse votre compte fonctionner normalement et installe des « portes dérobées » pour rester informé. Google recommande de vérifier :

• Le transfert automatique : dans Gmail sur ordinateur, Paramètres > Voir tous les paramètres > Transfert et POP/IMAP. Assurez-vous que vos messages ne partent pas vers une adresse inconnue.
• Les filtres : dans les mêmes paramètres, rubrique Filtres et adresses bloquées. Supprimez tout filtre qui transfère (« Forward to ») ou supprime automatiquement des messages et que vous n’avez pas créé.
• Les appareils connectés : depuis la page Sécurité, Gérer tous les appareils, et déconnectez tout appareil inconnu.
• Les applications liées : supprimez celles que vous ne reconnaissez pas. Nous expliquons pourquoi dans l’article « Autoriser cette application ? ».

Étape 5 : séparez les usages

• Une adresse principale pour l’essentiel : banque, administrations, comptes importants. Ne la diffusez pas partout.
• Une adresse secondaire pour les promotions, concours et sites peu importants. Si elle fuite, les dégâts restent limités.
• Ne vous connectez pas à votre adresse principale sur des ordinateurs publics (cybercafés par exemple) et, si vous y êtes obligé, déconnectez-vous toujours à la fin.

Votre téléphone protège aussi votre e-mail

L’application de messagerie de votre téléphone reste toujours ouverte. Si le téléphone est volé sans verrouillage, votre boîte mail est exposée, avec tous les liens « mot de passe oublié ». Activez le verrouillage de l’écran avec un code solide ou une empreinte, ainsi que la localisation de l’appareil pour pouvoir le verrouiller ou l’effacer à distance, comme Google recommande de sécuriser ses appareils par un verrouillage d’écran.

Votre e-mail a été piraté : que faire ?

D’après les recommandations de Google pour sécuriser un compte piraté :

1. Récupérez le compte immédiatement via la page officielle de récupération (en tapant l’adresse vous-même). Répondez aux questions le plus précisément possible : Google indique qu’il n’y a pas de limite au nombre de tentatives.
2. Changez le mot de passe pour un nouveau mot de passe solide, jamais utilisé auparavant.
3. Consultez l’activité de sécurité : si vous voyez une activité que vous n’avez pas effectuée, choisissez « Non, ce n’était pas moi » et suivez les instructions.
4. Déconnectez les appareils inconnus et supprimez les applications liées suspectes.
5. Vérifiez les options de récupération : l’escroc a peut-être remplacé le téléphone ou l’e-mail de secours par les siens.
6. Supprimez les filtres et transferts que vous n’avez pas créés.
7. Changez les mots de passe des autres comptes liés à cette adresse, en commençant par la banque et les réseaux sociaux.
8. Prévenez vos contacts si des messages frauduleux ont été envoyés, et signalez les faits via la plateforme « E-Blagh » (dgsn.gov.ma) si votre adresse a servi à une escroquerie.
9. Vérifiez votre appareil : s’il est infecté par un logiciel malveillant, le compte pourrait être volé à nouveau. Lisez l’article infostealers et cookies volés.

L’essentiel à retenir

• Votre e-mail permet de réinitialiser la plupart de vos comptes : protégez-le en premier.
• Faites le Check-up Sécurité et mettez à jour téléphone et e-mail de récupération.
• Mot de passe unique + clé d’accès ou validation en deux étapes.
• Vérifiez transferts automatiques, filtres et applications liées.
• Google n’offre pas d’assistance téléphonique pour récupérer un compte : tout « support » qui vous appelle est un escroc.

Sources

• Google Account Help : Set up recovery options (Android)
• Google Account Help : How to recover your Google Account or Gmail
• Google Account Help : Add, manage & use recovery contacts
• Google Account Help : Secure a hacked or compromised Google Account
• Gmail Help : Gmail security tips