Protéger vos données sur les messageries et les réseaux sociaux

Les messageries et les réseaux sociaux en savent plus sur vous que presque n'importe quelle autre application : des années de conversations privées, des photos, des messages vocaux, votre liste de contacts et la trace de vos échanges, avec qui et à quel moment. Ils véhiculent aussi votre identité. Quand quelqu'un s'empare d'un compte de messagerie ou d'un profil social, il se contente rarement de lire vos anciennes discussions. Il écrit à vos amis en votre nom, leur demande de l'argent ou des codes de connexion, et profite de votre bonne réputation pour propager la même arnaque plus loin.

Bonne nouvelle : les protections les plus efficaces sont gratuites et déjà intégrées à Telegram, WhatsApp, Instagram et Facebook, et la plupart s'activent en quelques minutes. Les sections suivantes commencent par les réglages qui empêchent le piratage du compte et se terminent par les habitudes qui évitent la fuite de vos informations.

Un mot de passe ou un code SMS à usage unique, pris isolément, constitue un point de défaillance unique : ajoutez donc un second verrou partout où c'est possible. Dans Telegram, il s'agit de la validation en deux étapes, aussi appelée mot de passe cloud, que vous trouverez dans Paramètres, puis Confidentialité et sécurité. WhatsApp dispose de sa propre vérification en deux étapes, avec un code PIN à six chiffres, dans Paramètres, puis Compte. Pour Instagram et Facebook, tout se gère dans l'Espace Comptes de Meta, rubrique Mot de passe et sécurité, où une application d'authentification est un choix plus sûr que les SMS.

Ajoutez un e-mail de récupération partout où l'application le propose, et choisissez une adresse que vous consultez vraiment. Conservez les mots de passe et les éventuels codes de secours dans un gestionnaire de mots de passe plutôt que dans une note sur le même téléphone.

L'autre moitié de cette règle relève du comportement : ne transmettez jamais un code de connexion à qui que ce soit. Les vrais services d'assistance n'en demandent pas. Telegram envoie généralement les codes de connexion sur vos autres appareils via sa discussion de service officielle, en vous avertissant de ne pas les partager, et il en va de même pour les codes d'inscription WhatsApp. Un ami qui a soudain besoin d'un code que vous venez de recevoir, c'est presque toujours un compte déjà piraté.

Chaque endroit où vous êtes connecté est une porte d'entrée vers votre compte. Telegram les liste dans Paramètres, puis Appareils, et vous permet de fermer une session précise ou toutes les autres d'un coup. Il peut aussi fermer automatiquement les sessions après une période d'inactivité. Dans WhatsApp, ouvrez Appareils connectés sur votre téléphone pour voir chaque ordinateur et navigateur relié à votre compte, et déconnectez ceux que vous ne reconnaissez pas. Pour Instagram et Facebook, l'Espace Comptes indique où vous êtes connecté et permet de retirer les anciens appareils.

Refaites un tour après avoir utilisé un ordinateur partagé ou public, après avoir changé de téléphone et chaque fois que vous recevez une alerte de connexion inattendue. En activant les alertes de connexion dans l'Espace Comptes, vous êtes prévenu des nouvelles connexions au moment où elles ont lieu.

Méfiez-vous tout particulièrement des QR codes. Pour associer la version de bureau ou web de Telegram ou de WhatsApp, on scanne un code avec son téléphone. Un inconnu qui vous envoie un code en vous demandant de le scanner, pour un lot à gagner, un vote ou une invitation dans un groupe, vous demande en réalité de connecter son ordinateur à votre compte. Ne scannez un QR code de connexion que si vous l'avez affiché vous-même sur votre propre appareil.

Les réglages par défaut sont pensés pour le confort, pas pour la confidentialité. Dans Telegram, parcourez Confidentialité et sécurité et décidez qui peut voir votre numéro de téléphone, qui peut vous trouver grâce à lui, qui voit votre dernière connexion et vos photos de profil, et qui peut vous ajouter à des groupes et des chaînes. Régler votre numéro sur Personne ou Mes contacts et limiter les invitations aux groupes réduit le spam et évite que des inconnus découvrent votre numéro.

WhatsApp propose des réglages similaires pour la dernière connexion et le statut en ligne, la photo de profil, le texte de présentation, les statuts et les invitations aux groupes, ainsi que des options pour mettre en sourdine les appels de numéros inconnus et protéger votre adresse IP pendant les appels. Son outil de vérification de la confidentialité passe en revue les principaux choix au même endroit. Sur Instagram, envisagez un compte privé si vous n'avez pas besoin d'une audience publique, et vérifiez qui peut vous identifier ou vous mentionner et si votre statut d'activité est visible. Sur Facebook, contrôlez qui peut voir vos publications, votre liste d'amis et vos coordonnées, et utilisez l'assistant de confidentialité pour restreindre l'audience de vos anciennes publications.

Revenez sur ces réglages après les mises à jour importantes des applications, car de nouvelles fonctions arrivent parfois avec des paramètres par défaut permissifs.

La plupart des pertes de compte commencent par un message, pas par une attaque technique. Les appâts classiques : un avertissement selon lequel votre compte sera supprimé pour violation de droits d'auteur, un abonnement premium ou un cadeau offert, une demande de vote pour un ami dans un concours, la promesse d'un badge de vérification, ou encore une offre d'emploi ou d'investissement. Tous vous poussent vers une page de connexion ou vous réclament un code, et ils ajoutent généralement une échéance.

Avant de saisir quoi que ce soit, regardez l'adresse complète de la page. Une vraie page de connexion Instagram ou Facebook se trouve sur le domaine de la marque, pas sur une imitation avec des mots en plus, des tirets ou des lettres interverties. Mieux encore, ne vous connectez pas du tout via un lien : ouvrez vous-même l'application et vérifiez si une notification vous y attend vraiment. Instagram et Facebook peuvent aussi afficher la liste des e-mails de sécurité récents qu'ils vous ont envoyés, généralement dans la rubrique sécurité de l'Espace Comptes, ce qui aide à savoir si un message qui prétend venir d'eux est authentique.

Les faux comptes d'assistance sont eux aussi courants. Les équipes officielles n'engagent pas de conversation privée pour exiger des mots de passe, des codes ou un paiement afin de débloquer votre compte. Si quelqu'un le fait, bloquez-le et signalez-le.

Certaines informations sont anodines seules et risquées une fois combinées. Votre numéro de téléphone, votre date de naissance, votre quartier, votre employeur et les prénoms de vos proches ou de vos animaux sont exactement ce dont se servent les attaquants pour deviner des mots de passe, répondre à des questions de sécurité et rédiger des messages d'arnaque convaincants. Méfiez-vous des quiz ludiques qui vous demandent le nom de votre première école, de votre première voiture ou le nom de jeune fille de votre mère.

Les photos en révèlent plus qu'on ne le croit. Avant de publier, vérifiez l'arrière-plan : documents, écrans, numéros de rue, plaques d'immatriculation ou billets avec code-barres. La localisation peut aussi accompagner une image : les messageries suppriment généralement les données de localisation des photos envoyées normalement, mais envoyer une image sous forme de fichier peut conserver les informations d'origine. Ne partagez votre position en direct qu'avec des personnes de confiance, et seulement le temps nécessaire.

Tout ce qui est envoyé dans un groupe ou publié ouvertement peut être transféré, capturé et enregistré. Les messages éphémères et la suppression automatique évitent que les vieilles conversations s'accumulent, mais ils ne peuvent pas empêcher quelqu'un de copier un message avant qu'il disparaisse.

Protéger ses données, c'est aussi éviter de les perdre. WhatsApp conserve les discussions sur votre téléphone et peut les sauvegarder sur Google Drive sous Android ou sur iCloud sur iPhone. Activez l'option de sauvegarde chiffrée de bout en bout pour que la sauvegarde soit protégée par un mot de passe ou une clé que vous seul détenez, et conservez cette clé en lieu sûr.

Les discussions cloud de Telegram sont stockées sur les serveurs de Telegram et synchronisées entre vos appareils, mais les discussions secrètes n'existent que sur les appareils où elles ont été créées et ne peuvent pas être restaurées après une déconnexion. Telegram Desktop permet d'exporter vos discussions et vos médias si vous voulez une copie hors ligne. Instagram et Facebook vous permettent de télécharger vos informations depuis l'Espace Comptes.

Traitez ces exports comme le compte lui-même. Ils contiennent vos conversations privées et vos photos : rangez-les dans un stockage chiffré et supprimez les anciennes copies dont vous n'avez plus besoin.

Une fois tout configuré, un rapide contrôle à quelques mois d'intervalle suffit à maintenir ce niveau de protection. Vérifiez les sessions et les appareils connectés, assurez-vous que la double authentification est toujours active et que l'e-mail de récupération est à jour, relisez les paramètres de confidentialité après les mises à jour et retirez de vos applications connectées les services et sites tiers que vous n'utilisez plus.

Si vous venez de recevoir un compte de quelqu'un d'autre, par exemple lors d'une passation au travail ou après un achat sur une place de marché, appliquez toute la routine avant de l'utiliser : définissez vos propres mots de passe et informations de récupération, fermez toutes les sessions que vous n'avez pas ouvertes et décidez qui peut voir quoi. Utilisez tout compte obtenu dans le respect des conditions d'utilisation de la plateforme. Partir sur des bases saines est bien plus simple que de réparer les dégâts après un problème.