Une campagne de phishing sophistiquée cible actuellement les créateurs de contenu sur Facebook. Restez vigilant : une simple interaction peut suffire à tout perdre.
Ne cliquez pas : cette arnaque Facebook vole vos cookies et votre compte
Une vague d’escroqueries sophistiquées circule actuellement sur Facebook et vise en priorité les créateurs de contenu et les gestionnaires de pages professionnelles. Derrière une apparente opportunité de valorisation de leurs comptes se cache en réalité un piège redoutablement efficace, conçu pour en prendre le contrôle sans éveiller les soupçons.
Des chercheurs en cybersécurité, notamment ceux de Hunt.io, ont mis en lumière une campagne malveillante reposant sur une technique appelée ClickFix. Ce type d’attaque ne force pas directement l’accès au compte. Il pousse la victime à effectuer elle-même des actions techniques qui ouvrent la porte aux cybercriminels. En agissant ainsi, les pirates contournent de nombreuses protections de sécurité traditionnelles. L’opération, en forte progression depuis le début de l’année dernière, a déjà donné lieu à la création de plus d’une centaine de pages frauduleuses.
Un appât très convoité : la vérification du compte
Tout commence par un message qui semble provenir de Facebook. Il évoque l’obtention d’un badge bleu de vérification ou alerte sur un prétendu problème urgent lié au compte. Ce badge, symbole de crédibilité et de visibilité, attire particulièrement les créateurs et les entreprises. Le message contient un lien redirigeant vers une fausse page imitant à la perfection les outils officiels de Facebook ou son centre d’aide.
Une animation s’affiche pour rassurer l’utilisateur, avant une redirection vers une interface quasi identique au site officiel. À ce stade, tout est fait pour maintenir l’illusion.
Sur cette page frauduleuse, des messages alarmants s’affichent, souvent accompagnés de boutons d’action urgents ou d’un compte à rebours. L’objectif est de provoquer la panique et d’empêcher toute réflexion. La victime est invitée à suivre une procédure de « vérification gratuite », parfois guidée par une vidéo explicative.
L’utilisateur est alors amené à afficher des données techniques de son navigateur et à copier des éléments précis : les cookies de session Facebook. Ces fichiers permettent de prouver qu’un compte est connecté sans avoir à ressaisir le mot de passe. En les transmettant, la victime donne aux attaquants un accès direct à sa session active. Un script vérifie instantanément la validité des cookies et demande à l’utilisateur de rester connecté pendant 24 heures afin de garantir leur exploitation.
Une fois les cookies récupérés, une prétendue vérification finale exige la saisie du mot de passe. Avec ces informations, les cybercriminels prennent totalement le contrôle du compte (changement de mot de passe, modification des moyens de paiement, publications frauduleuses ou nouvelles campagnes d’arnaques).
Comment se protéger ?
Pour se protéger, il est essentiel de retenir une règle simple. Facebook ne demandera jamais vos cookies de session ni des informations techniques issues de votre navigateur. Ces données doivent être protégées avec autant de vigilance que vos mots de passe.
