Le compte publicitaire Facebook piraté d’un ami : ce n’était probablement pas de sa faute
Un ami qui gère les communications d’une grande organisation m’a appelé un vendredi après-midi, un peu paniqué. Une publicité active de son organisation, en ligne depuis des semaines, ne faisait plus la promotion de ce qu’elle devait promouvoir.
Personne n’avait cliqué sur un lien suspect ce jour-là. Le compte publicitaire au complet avait changé de mains et la pub existante avait simplement été redirigée ailleurs.
Pour rappel, un compte publicitaire Facebook, dans le Gestionnaire d’entreprise Meta, donne accès à tout : les publicités actives, le budget, la carte de crédit associée et souvent les listes de clients téléversées pour cibler des campagnes. Prendre le contrôle de ce compte vaut beaucoup plus qu’un simple mot de passe volé.
Ce que mon ami a vu
La publicité a continué de tourner, mais son contenu changeait. D’abord un produit générique du genre qu’on retrouve sur Temu. Ensuite de la cryptomonnaie. Ensuite autre chose encore.
Ce n’est pas un hasard. Un pirate qui contrôle un compte publicitaire fait rouler plusieurs offres en rotation, en partie pour maximiser les clics avant que Meta ne bloque la pub, en partie parce que les équipes de révision de Meta finissent par détecter et refuser certaines créations publicitaires. La rotation, c’est une tactique, pas un bogue.
Est-ce vraiment une erreur de mon ami ?
C’est la première question que tout le monde pose. Et la réponse honnête : probablement pas, du moins pas de la façon qu’on imagine.
Je vois trois causes qui reviennent le plus souvent dans ce type de dossier et aucune des trois ne ressemble à « il a cliqué sur un lien évident ».
La première, c’est l’hameçonnage qui imite une vraie notification de Meta. Un message arrive, prétendant qu’une page a violé les droits d’auteur ou une politique publicitaire. Pour régler le problème, on demande d’accorder un accès au Gestionnaire d’entreprise. La demande ressemble en tout point à une vraie procédure Meta, parce qu’elle en copie le format exact. Un administrateur qui répond à ça ne commet pas une erreur de jugement grossière. Il réagit normalement à ce qui ressemble à une obligation légitime.
La deuxième, ce sont les extensions de navigateur. Des chercheurs en sécurité ont documenté en 2025 une extension nommée CL Suite, offerte sur le Chrome Web Store, qui promettait de faciliter la gestion du Gestionnaire d’entreprise Meta. En réalité, elle exfiltrait les codes d’authentification à deux facteurs et les listes de contacts vers un serveur externe. Une extension installée par un membre de l’équipe marketing, pour gagner du temps, peut suffire.
La troisième, la plus fréquente selon moi dans mes mandats : un accès administrateur ou un accès partenaire jamais révoqué. Une ancienne agence de publicité, un employé parti depuis longtemps, un accès accordé temporairement pour un projet ponctuel. Ces accès dorment, souvent pendant des mois, et personne ne les vérifie.
Dans les trois cas, ce n’est pas une personne qui a mal agi. C’est un processus de gouvernance des accès qui n’existait pas.
La procédure pour la suite
Une fois le piratage confirmé, l’ordre des actions compte. Voici la séquence que je recommande, dans cet ordre :
- Retirer immédiatement les accès administrateur et partenaire inconnus dans les paramètres du Gestionnaire d’entreprise, avant toute autre chose. Un accès retiré trop tard laisse le pirate reprendre le contrôle pendant que vous réglez le reste.
- Changer les mots de passe de tous les comptes administrateurs et régénérer les codes d’authentification à deux facteurs, pas seulement les réactiver. Si un vol de jeton est en cause, changer seulement le mot de passe ne règle rien.
- Mettre en pause la publicité compromise et signaler le compte piraté directement à Meta, par le processus prévu pour ça.
- Vérifier les transactions sur la carte de crédit associée au compte publicitaire et contester les charges non autorisées.
- Évaluer si des renseignements personnels ont pu être exposés, comme une liste de clients téléversée pour du ciblage publicitaire. Si c’est le cas, la Loi 25 impose d’évaluer le risque de préjudice sérieux et, si le seuil est atteint, de le déclarer à la Commission d’accès à l’information et aux personnes concernées.
- Documenter l’incident. Pas pour blâmer qui que ce soit, mais parce que c’est exactement le genre de preuve qu’un auditeur ISO 27001 va chercher : comment l’organisation a détecté, contenu et corrigé l’incident.
Ce que les entreprises devraient mettre en place
En pratique, la prévention ici n’a rien de sophistiqué techniquement. C’est de la gouvernance des accès, pur et simple.
Minimalement, personne ne devrait partager un mot de passe de compte publicitaire avec une agence ou un collègue. Le Gestionnaire d’entreprise Meta permet d’accorder des rôles précis, comme administrateur, annonceur ou analyste, sans jamais donner le mot de passe lui-même. Une agence externe devrait avoir un accès partenaire lié à son propre identifiant d’entreprise, révocable en un clic.
La double authentification devrait être obligatoire pour tous les administrateurs, pas optionnelle. Et la révision des accès actifs (qui est administrateur, qui a un accès partenaire, est-ce que ces personnes ou ces agences travaillent encore avec l’organisation) devrait se faire au moins une fois par trimestre. Ce n’est pas une suggestion, c’est un contrôle de base au même titre que la révision des accès à un système financier.
J’ajouterais un point moins évident : les extensions de navigateur installées sur les postes qui gèrent des comptes publicitaires devraient être limitées ou approuvées. Ce n’est pas exagéré, c’est exactement le vecteur documenté dans le cas de CL Suite.
Bref, mon ami n’a probablement pas fait d’erreur évidente. Il a fait confiance à des mécanismes que son organisation n’a jamais mis en place pour vérifier qui a accès à quoi. Je ne sais pas encore laquelle des trois causes explique son cas précis et honnêtement, ça ne change pas grand-chose à la réponse.
Votre organisation sait-elle en ce moment qui a un accès administrateur sur son compte publicitaire Facebook ?