Faux mails Meta : le piège des pubs Facebook

Pourquoi les annonceurs Facebook sont une cible de choix

Dès qu’une publicité est diffusée, elle apparaît dans la Bibliothèque publicitaire de Meta, consultable par tout le monde. Les escrocs y repèrent les nouveaux annonceurs, puis récupèrent une adresse e-mail publique : celle de la page Facebook, du site internet ou des mentions légales. C’est pour cela que ces faux mails arrivent souvent sur une adresse générique comme contact@ ou info@.

Leur objectif n’est pas votre publicité, mais votre accès :

• voler vos identifiants Facebook et votre code de double authentification via une fausse page « Meta » ;
• prendre le contrôle de votre Business Manager pour diffuser leurs propres publicités frauduleuses avec votre moyen de paiement ;
• détourner votre page Facebook ou Instagram et l’audience que vous avez construite.

Les 3 faux mails reçus, décortiqués

Voici les trois messages tels que nous les avons reçus. Seul le nom de l’entreprise visée a été anonymisé.

Faux mail n°1

Common Logo Compliance Mistakes Businesses Make

De :

Meta For Business <mdwyvnyln@n.hplauto.us>

À :

contact@votre-entreprise.fr

Account Review & Policy Update. Recipient: Votre entreprise, Account Administrator.

This notice summarizes the outcome of a recent review. Our checks detected brand-identifying visuals that may create confusion about official affiliation or identity.

Issue type: Brand impersonation / confusing identity signals. Recommended response timeframe: within 24–48 hours.

Submit Appeal

Faux mail n°2

Official Brand Protection Alert: Improper Logo Usage Detected

De :

Meta For Business <ldeupdgwl@s.hrufhs.org>

À :

contact@votre-entreprise.fr

Brand Asset Review & Enforcement Update.

Materials associated with your account were flagged for unauthorized use of third-party trademarks or brand logos within promotional content.

If no action is taken, enforcement may include reduced reach, feature limitations, ad delivery impact, or temporary restrictions.

Submit Appeal

Faux mail n°3

Votre publicité n'est pas conforme à la réglementation sur le droit d'auteur

De :

Meta Ads Support <001519800@jpsms.org>

À :

contact@votre-entreprise.fr

Bonjour Votre entreprise,

Nous avons reçu des rapports de clients indiquant que votre publicité a enfreint les réglementations sur les droits d'auteur […] nous suspendrons temporairement votre compte publicitaire pendant que nous examinons et vérifions votre compte.

En l'absence de toute action, votre compte publicitaire pourrait être définitivement désactivé conformément à nos politiques.

Soumettre un appel

Les 6 signes qui trahissent un faux mail Meta

1. L’adresse de l’expéditeur. Regardez l’adresse complète, pas seulement le nom affiché. Un domaine inconnu ou une suite de lettres aléatoires suffit à écarter le message.
2. Le destinataire. Meta écrit à l’adresse liée à votre compte Facebook ou à votre Business Manager, pas à l’adresse de contact publiée sur votre site.
3. L’urgence et la menace. Délai de 24 à 48 heures, suspension, désactivation définitive : la peur est le premier levier de l’hameçonnage.
4. L’absence de détails vérifiables. Pas de numéro de compte publicitaire, pas d’aperçu de la publicité concernée.
5. Le bouton d’action. « Submit Appeal », « Vérifier mon compte »… Survolez-le avec la souris, ou faites un appui long sur mobile : l’adresse de destination n’est ni sur facebook.com, ni sur meta.com.
6. Les incohérences. Une langue différente de celle de votre compte, un objet sans rapport avec le contenu, un lien de désinscription.

Comment vérifier si un mail vient vraiment de Meta

La règle d’or : ne cliquez jamais sur le lien du mail. Ouvrez vous-même l’application, ou tapez l’adresse dans votre navigateur, puis vérifiez à deux endroits :

• La Qualité du compte, dans Meta Business Suite. Sur business.facebook.com, ouvrez le menu « Qualité du compte ». Toute restriction réelle sur votre compte publicitaire, votre page ou vos publicités y apparaît, avec la possibilité de faire appel. Si rien n’y figure, le mail est faux.
• Les e-mails récents de Meta. Dans Facebook, ouvrez Paramètres, puis Espace comptes, puis « Mot de passe et sécurité » et « E-mails récents ». Meta y liste les e-mails de sécurité qu’elle vous a réellement envoyés.

Les notifications officielles proviennent généralement de domaines comme facebookmail.com ou meta.com. Mais une adresse d’expéditeur peut être usurpée : ce critère seul ne suffit jamais à valider un message.

Vous avez cliqué ou saisi vos identifiants ? Agissez vite

1. Changez immédiatement votre mot de passe Facebook, ainsi que celui de votre boîte mail s’il est identique.
2. Dans Espace comptes, rubrique « Mot de passe et sécurité », déconnectez toutes les sessions que vous ne reconnaissez pas.
3. Activez ou réinitialisez la double authentification.
4. Dans les paramètres de votre Business Manager, vérifiez les personnes, les partenaires et les moyens de paiement. Supprimez tout ce que vous ne reconnaissez pas.
5. Prévenez votre banque si une carte est enregistrée sur le compte publicitaire.
6. Si vous avez perdu l’accès à votre compte, rendez-vous sur facebook.com/hacked.

Pensez aussi à signaler le message : transférez-le à phish@fb.com, déclarez-le sur signal-spam.fr, puis supprimez-le. En cas de piratage avéré, cybermalveillance.gouv.fr vous oriente vers des professionnels.

Comment protéger votre compte publicitaire

• La double authentification pour tous les administrateurs, de préférence avec une application d’authentification ou une clé de sécurité plutôt que par SMS.
• Le moins d’administrateurs possible sur le Business Manager, avec des accès nominatifs.
• Une adresse e-mail dédiée au compte publicitaire, différente de l’adresse de contact publique. Tout mail « Meta » reçu sur contact@ devient alors immédiatement suspect.
• Une équipe sensibilisée. La personne qui relève la boîte contact@ n’est pas forcément celle qui gère les publicités. Entraînez-vous avec notre quiz interactif sur le phishing.