Sécuriser les comptes de réseaux sociaux de votre entreprise

Une microbrasserie de Charlevoix publie tous les jeudis ses nouveautés sur Facebook et Instagram. La personne responsable des communications reçoit un message urgent : « Votre page enfreint nos règles sur les droits d'auteur et sera supprimée dans 24 heures. » Le lien mène à une page qui ressemble en tout point à celle de Meta. Elle entre son mot de passe et le code reçu par texto.

En une heure, l'attaquant contrôle son compte personnel, donc la page de la brasserie, dont elle était la seule administratrice. Il retire les autres accès, publie une fausse promotion en cryptomonnaie et lance des publicités payées avec la carte de crédit de l'entreprise. Ce scénario est fictif, mais chaque étape est courante.

Les réseaux sociaux sont souvent gérés « à côté » de la TI, par une employée, un stagiaire ou une agence. C'est précisément ce qui en fait une cible facile. Voici comment les remettre sous contrôle.

Pourquoi vos comptes sociaux intéressent les pirates

Une page d'entreprise a de la valeur pour un criminel, même si votre PME compte 15 employés :

• Votre audience. Vos abonnés vous font confiance. Une fausse promotion publiée par vous sera crue.
• Votre carte de crédit. Un compte publicitaire lié à un moyen de paiement permet de lancer des campagnes frauduleuses à vos frais.
• Vos messages. La messagerie de la page contient des échanges avec des clients, parfois avec des renseignements personnels.
• Votre réputation. Une page piratée qui diffuse des arnaques peut être suspendue, et la récupérer prend du temps.

Les techniques d'attaque sont rarement sophistiquées : faux avis de violation des règles, faux « soutien Meta », mot de passe réutilisé d'un autre site, extension de navigateur malveillante qui vole la session ouverte.

Qui a vraiment accès à quoi

Le premier réflexe est de dresser la liste des comptes et de leurs administrateurs. Chaque plateforme a sa propre logique.

Sur Meta, le contrôle total permet de gérer tous les paramètres, d'ajouter des personnes et de partager des actifs avec des partenaires. L'accès partiel se limite à des tâches précises : créer du contenu, gérer des publicités, répondre aux messages. Meta recommande de n'accorder que le niveau d'accès nécessaire au travail de chacun.

Sur LinkedIn, le super administrateur peut tout faire, y compris ajouter ou retirer des administrateurs et désactiver la page. L'administrateur de contenu publie et gère les événements ; l'analyste ne voit que les statistiques. Des rôles distincts existent pour la publicité.

Les réglages à activer cette semaine

La double authentification, pour tout le monde. Meta l'exige déjà pour certains portefeuilles d'entreprise de plus de 90 jours et recommande de l'imposer à toutes les personnes qui y ont accès. Le réglage se trouve dans les paramètres du portefeuille : exigez-la pour tout le monde, pas seulement pour les administrateurs. Sur LinkedIn, chaque administrateur active la vérification en deux étapes dans ses propres paramètres ; LinkedIn recommande l'application d'authentification comme méthode privilégiée.

Évitez le texto quand une meilleure option existe. Notre article sur le choix d'un MFA explique pourquoi une application ou une clé d'accès (passkey) résiste mieux à l'hameçonnage.

Au moins deux administrateurs de confiance. Jamais un seul, pour ne pas tout perdre si ce compte est piraté ou si la personne quitte l'entreprise. Et pas dix non plus : chaque accès complet est une porte d'entrée.

Des courriels de récupération qui vous appartiennent. Les comptes à identifiant unique doivent être rattachés à une adresse de l'entreprise (par exemple une boîte partagée des communications), pas à l'adresse personnelle d'un stagiaire.

Des mots de passe uniques. Un gestionnaire de mots de passe d'entreprise permet de partager un identifiant sans le dévoiler et de le changer d'un clic.

Des applications tierces sous surveillance. Les outils de planification de publications et les extensions connectées à vos comptes conservent souvent leurs droits pendant des années. Le Centre canadien pour la cybersécurité recommande de repérer régulièrement ces applications et de retirer celles qui ne servent plus.

Employés, stagiaires, agences : gérer les arrivées et les départs

La plupart des pages « perdues » le sont au départ d'une personne. Un ancien employé reste administrateur pendant des années, ou l'agence d'il y a trois contrats conserve le contrôle total.

Trois règles simples :

1. L'entreprise est propriétaire. Le portefeuille d'entreprise Meta et la page LinkedIn sont rattachés à des dirigeants de l'entreprise, pas seulement au fournisseur qui les a créés.
2. Les agences passent par l'accès partenaire. Meta permet de donner à une autre entreprise l'accès à des actifs précis, sans partager de mot de passe. Vous retirez cet accès en un clic à la fin du mandat.
3. Le départ déclenche la révocation. Le retrait des accès sociaux fait partie de votre checklist de départ d'un employé, au même titre que le courriel et le VPN.

Si un compte est piraté malgré tout

1. Passez par les voies officielles. Pour Meta, la page facebook.com/hacked guide la récupération d'un compte ou d'une page ; Meta offre aussi une vérification d'identité par vidéo égoportrait. Pour LinkedIn, utilisez le centre d'aide. Ignorez les « experts en récupération » qui vous écrivent.
2. Agissez depuis un compte sain. Si un autre administrateur a encore accès, il retire immédiatement le compte compromis.
3. Coupez le moyen de paiement. Retirez la carte du compte publicitaire et prévenez votre institution financière.
4. Prévenez votre communauté par vos autres canaux : site web, infolettre, autre réseau.
5. Évaluez les données exposées. Messages privés, listes de clients, formulaires de prospects : notez ce que l'attaquant a pu voir et documentez l'incident.

Le Centre canadien pour la cybersécurité recommande de prévoir ce scénario dans un plan d'intervention écrit et de l'exercer avant d'en avoir besoin.

Checklist de sécurité des réseaux sociaux

• Liste à jour des comptes de l'entreprise et de leurs administrateurs
• Au moins deux administrateurs de confiance par page, et pas plus que nécessaire
• Double authentification exigée pour tout le monde dans le portefeuille Meta
• Vérification en deux étapes activée par chaque administrateur LinkedIn
• Courriels de récupération appartenant à l'entreprise
• Mots de passe uniques, rangés dans un gestionnaire d'entreprise
• Applications tierces revues et nettoyées chaque trimestre
• Agences branchées par l'accès partenaire, révoqué à la fin du contrat
• Procédure de piratage écrite : qui fait quoi, et qui appelle qui

En conclusion

Vos réseaux sociaux sont une vitrine. Leur sécurité tient surtout à la discipline : des accès nominatifs, une double authentification imposée et une révision régulière de qui peut quoi. Une heure de ménage aujourd'hui évite des semaines de démarches pour récupérer une page.

Ces vérifications font partie de notre audit de cybersécurité : nous passons en revue vos comptes infonuagiques et sociaux, leurs administrateurs et leurs réglages, et nous vous remettons une liste de correctifs priorisés. Si quelqu'un usurpe déjà votre marque, notre guide sur les faux sites et l'usurpation d'entreprise détaille les démarches de retrait.