Des escrocs se font en ce moment passer pour l’équipe sécurité de X, le réseau social, avec des emails assez alarmants qui annoncent la connexion d’un « nouvel appareil » à votre compte. Le message pousse à réagir vite, en vous proposant par exemple de réinitialiser votre mot de passe ou de vérifier l’accès des applications liées au compte.
Le mécanisme est simple : les liens ne mènent pas vers X, mais vers de faux sites pensés pour récupérer vos identifiants, vos codes à usage unique, ou vous faire autoriser une application contrôlée par les attaquants. Dans les deux cas, l’objectif ne change pas : mettre la main sur le compte.
Cette campagne est d’autant plus trompeuse que les emails copient de très près l’habillage des messages officiels de X : logo, couleurs, mise en page, ton, formulation. À première vue, beaucoup d’utilisateurs peuvent croire qu’il s’agit d’un message authentique.
Tout repose sur l’urgence. Le mail affirme qu’une connexion suspecte a eu lieu et vous pousse à cliquer tout de suite pour « sécuriser » le compte.
Une fois sur le faux site, la victime peut se voir demander son mot de passe, un code d’authentification à deux facteurs, ou la validation d’une application tierce. Et c’est parfois cette dernière option qui pose le plus de problèmes, car elle peut donner au fraudeur un accès durable au compte, sans même nécessiter un changement immédiat du mot de passe.
La première chose à regarder, c’est l’adresse de l’expéditeur. D’après les consignes d’aide de X, les emails légitimes proviennent uniquement de domaines se terminant par @x.com ou @e.x.com. X rappelle aussi dans sa documentation d’aide qu’il ne demandera jamais votre mot de passe par email, par message privé ou en réponse à un post.
D’autres indices reviennent dans cette campagne : l’absence de votre @pseudo dans le message, des informations floues sur l’endroit supposé de la connexion et, surtout, des liens qui renvoient vers des domaines sans rapport avec X. Si un bouton vous paraît suspect, passez simplement le curseur dessus pour voir l’adresse réelle avant de faire quoi que ce soit.
Le bon réflexe, c’est de ne cliquer sur rien. Ouvrez plutôt l’application X, ou le site officiel en tapant vous-même l’adresse, puis allez vérifier s’il existe une vraie alerte de sécurité dans les paramètres du compte.
Si l’email ne vient pas d’un domaine officiel, supprimez-le. Si vous avez déjà saisi votre mot de passe ou un code sur un site non vérifié, changez immédiatement votre mot de passe X, activez l’authentification à deux facteurs et passez en revue les applications connectées pour révoquer tout accès suspect. Mieux vaut aussi surveiller l’activité récente du compte ainsi que les messages envoyés en votre nom.
Cette vague s’inscrit dans une hausse plus large des prises de contrôle de comptes sur les réseaux sociaux. Selon des estimations du secteur, les plateformes sociales sont devenues en 2025 le premier canal de diffusion des arnaques, avec 429 millions de comptes piratés cette année-là et 17 milliards de pertes liées aux fraudes par prise de contrôle de compte.
Toujours selon des estimations du secteur, X à lui seul aurait connu environ 15 millions d’incidents de piratage en 2024. Prudence, donc. Une fois récupérés par des tiers, ces comptes servent souvent à diffuser des arnaques crypto, de la désinformation, ou de nouvelles campagnes de phishing.
Suivez-moi sur Twitter : @pierrevitre
