30 000 comptes Facebook piratés : l'arnaque AccountDumpling exploitait Google AppSheet

Une vaste campagne de phishing a permis à des cybercriminels de s'emparer d'environ 30 000 comptes Facebook dans plus de 50 pays. L'opération, baptisée AccountDumpling, a été mise au jour par les chercheurs de Guardio Labs, puis relayée par Malwarebytes. Son ingrédient principal ? Un outil légitime de Google, détourné pour envoyer des e-mails frauduleux capables de franchir les filtres antispam.

Cet article va aussi vous intéresser : Pirater un compte Facebook : la nouvelle tactique « invisible » des hackers (et comment récupérer votre compte en 2027)

Une arnaque qui profite de la confiance accordée à Google

Tout commence par un e-mail alarmant. Le message prévient la victime que son compte Facebook a été signalé pour non-respect des règles de la plateforme. Il affirme qu'une suspension définitive interviendra sous 24 heures si aucune réponse n'est apportée.

Le détail qui change tout : ce message semble provenir d'une adresse liée à Google. Les pirates ont exploité Google AppSheet, un service officiel permettant de créer des applications sans compétences en programmation. AppSheet dispose d'un système de notifications capable d'envoyer des e-mails depuis l'adresse noreply@appsheet.com, via les serveurs de Google.

Résultat : pour de nombreux filtres antispam, ces messages apparaissent comme des communications de confiance. Les contrôles de sécurité des messageries les laissent donc passer beaucoup plus facilement.

De fausses pages Facebook pour voler bien plus qu'un mot de passe

L'e-mail invite la victime à cliquer sur un lien. Une fois le clic effectué, elle arrive sur une page qui imite le Centre d'aide Facebook. Cette page frauduleuse est hébergée sur Netlify, une plateforme d'hébergement web légitime, ce qui renforce encore l'illusion.

La fausse page réclame ensuite les identifiants Facebook, notamment le mot de passe. Mais les pirates ne s'arrêtent pas là : ils demandent aussi la date de naissance, le numéro de téléphone et des photos de carte d'identité. Avec ces informations, ils peuvent prendre le contrôle total du compte et en éjecter le véritable propriétaire.

D'autres variantes de l'arnaque misent sur :

• le badge bleu de vérification ;
• des récompenses pour les annonceurs ;
• une prétendue opportunité de faire certifier son compte ;
• des pages factices capables de récupérer jusqu'à trois codes d'authentification à deux facteurs ;
• des PDF hébergés sur Google Drive, imitant une notification officielle de Meta, avec logo et mise en page soignée.

Ces PDF contiennent un bouton ou un lien menant vers un tableau de contrôle en temps réel, conçu pour intercepter le mot de passe et le code de double authentification.

Une erreur de métadonnées trahit le cybercriminel

Les chercheurs ont réussi à remonter jusqu'au responsable présumé de l'opération. Ce dernier a commis une erreur : il n'a pas supprimé les métadonnées du fichier PDF utilisé dans l'arnaque.

L'analyse de ces données montre que le document a été créé sur Canva par un individu nommé Phạm Tài Tân. Les enquêteurs l'ont ensuite retrouvé sur Facebook et sur son site officiel. Fait troublant : cet homme proposerait également des services d'« aide à la récupération de comptes Facebook ».

L'infrastructure de l'attaque s'appuie sur des bots Telegram qui récupèrent les données volées en temps réel, les trient puis les transmettent aux pirates. En croisant les informations de quatre bots identifiés, Guardio Labs estime à environ 30 000 le nombre de victimes, réparties dans plus de 50 pays. Près de 68,6 % d'entre elles se trouveraient aux États-Unis.

Une véritable chaîne d'approvisionnement criminelle

L'enquête décrit une organisation bien rodée : un créateur de kits de phishing, un pirate chargé de lancer les attaques, et une plateforme dédiée à la revente des comptes volés. Ces comptes peuvent ensuite être revendus sur des marchés noirs, utilisés pour diffuser des publicités frauduleuses ou servir à des tentatives d'usurpation d'identité.

Plusieurs victimes contactées par Guardio Labs ont signalé des transactions bancaires frauduleuses. La preuve qu'un simple vol de compte Facebook peut entraîner des conséquences bien plus graves.

Guardio Labs compare cette mécanique à une chaîne d'approvisionnement criminelle : les accès sont collectés, les comptes sont piratés, puis la récupération elle-même est revendue. Chaque étape alimente la suivante.

Comment reconnaître et éviter cette arnaque Facebook ?

Face à ce type de campagne, la prudence reste la meilleure défense. Voici les réflexes à adopter :

• Ne cliquez sur aucun lien dans un e-mail urgent concernant votre compte Facebook.
• Retenez que Facebook ne vous contacte pas via une adresse Google.
• Rendez-vous directement sur le site officiel ou l'application Facebook pour consulter vos notifications.
• Méfiez-vous d'un formulaire qui réclame en même temps votre mot de passe, plusieurs codes d'authentification et une pièce d'identité.
• Activez les alertes de connexion Facebook.
• Remplacez l'authentification par SMS par une application dédiée à la double authentification, comme Google Authenticator.
• Ne téléchargez pas les PDF joints à des messages prétendant venir de Meta.
• Vérifiez toujours l'URL avant de saisir la moindre information.

FAQ : questions fréquentes sur l'arnaque AccountDumpling

Qu'est-ce que l'opération AccountDumpling ?

C'est une vaste campagne de phishing découverte par Guardio Labs. Elle a permis de voler environ 30 000 comptes Facebook à travers le monde.

Les e-mails frauduleux venaient-ils vraiment de Google ?

Ils étaient envoyés via Google AppSheet, un outil officiel de Google. Les pirates ont détourné son système de notifications pour envoyer des messages depuis une adresse liée à Google.

Combien de victimes sont concernées ?

Environ 30 000 comptes, dans plus de 50 pays. Près de 68,6 % des victimes se trouveraient aux États-Unis.

Que faire si j'ai cliqué sur un lien suspect ?

Changez immédiatement votre mot de passe Facebook, déconnectez toutes les sessions actives, activez la double authentification via une application, vérifiez vos comptes bancaires et signalez l'incident à Facebook.

Comment protéger mon compte Facebook efficacement ?

Utilisez un mot de passe unique et complexe, activez les alertes de connexion et privilégiez une application d'authentification plutôt que les SMS.

À retenir

• 30 000 comptes Facebook auraient été piratés via l'opération AccountDumpling.
• Les pirates ont détourné Google AppSheet pour envoyer des e-mails crédibles.
• Des pages imitant Facebook et des PDF piégés servaient à voler identifiants, pièces d'identité et codes 2FA.
• Une erreur de métadonnées a permis d'identifier un suspect, Phạm Tài Tân.
• La meilleure protection reste la vigilance : ne cliquez jamais sur un lien urgent reçu par e-mail et passez toujours par l'application ou le site officiel de Facebook.