« Reset password Instagram » : tout est dans l’intitulé du nom de domaine

Reset password Instagram : le nom de domaine <reset-password-instagram.com> décrit presque mot pour mot le piège mis en place par son titulaire. Dans sa décision D2026-3536 rendue le 25 septembre 2026, l’Organisation Mondiale de la Propriété Intellectuelle (OMPI) a ordonné le transfert du nom de domaine à Instagram, LLC. L’affaire illustre une technique classique de phishing fondée sur l’usurpation d’une marque et la récupération de mots de passe.

Reset password Instagram : un faux site pour récupérer les mots de passe

Le nom de domaine <reset-password-instagram.com> a été enregistré le 26 avril 2026. Il a été déposé auprès de CloudFlare, Inc.

Avant le début de la procédure UDRP, le nom de domaine redirigeait vers un site web particulièrement trompeur. Le site reproduisait de manière ostentatoire la marque INSTAGRAM et le logo du Plaignant, ou à tout le moins un logo très similaire.

Le scénario était simple. Le site invitait les internautes connaissant le réseau social Instagram à « réinitialiser leur mot de passe ». Pour effectuer cette prétendue réinitialisation, le visiteur devait saisir son mot de passe Instagram actuel.

Cette étape constituait précisément le piège.

Le Défendeur obtenait ainsi le mot de passe communiqué par l’internaute. Il pouvait ensuite l’utiliser pour tenter d’accéder aux comptes détenus par les visiteurs auprès d’Instagram et commettre une fraude. L’expert de l’OMPI qualifie clairement ce comportement de phishing.

Le nom de domaine joue donc ici un rôle central. Il contient directement la marque INSTAGRAM. Il ajoute les termes anglais « reset » et « password ». L’ensemble donne immédiatement l’impression d’un service officiel permettant de modifier les identifiants d’un compte Instagram.

Instagram, une marque particulièrement attractive pour les fraudeurs

Le requérant est Instagram, LLC, une société américaine créée en 2010. Elle exploite un réseau social de renommée mondiale sous la marque INSTAGRAM.

Le réseau est spécialisé dans le partage de photos et de vidéos en ligne. Le produit Instagram a été lancé en 2010 et compte aujourd’hui plus de 3 milliards de comptes actifs mensuels. Son application figure également parmi les applications les plus téléchargées au monde.

Instagram dispose par ailleurs de droits de marque sur le signe INSTAGRAM. La société détient notamment une marque américaine n° 4,146,057, enregistrée le 22 mai 2012 pour des logiciels téléchargeables.

Pour un fraudeur, une marque aussi connue présente un intérêt évident. Le risque de confusion est important. L’internaute peut naturellement penser qu’un nom de domaine contenant « Instagram » et « reset password » correspond à un service officiel.

Le même mécanisme apparaît dans d’autres affaires de phishing visant des réseaux sociaux. De faux mails de phishing visant Facebook ont ainsi utilisé la marque du réseau social pour diriger les internautes vers un faux site destiné à récupérer leurs informations.

Une affaire similaire a également concerné Twitter. Un site de phishing a tenté de récupérer des mots de passe sur Twitter au moyen de noms de domaine associant la marque TWITTER à des termes destinés à renforcer l’apparence de légitimité.

L’OMPI retient les trois critères de l’UDRP

Dans sa décision, l’expert Nicholas Smith examine successivement les trois conditions prévues par la procédure UDRP.

Premièrement, le nom de domaine est jugé similaire à la marque INSTAGRAM. La marque est reproduite intégralement dans le nom de domaine. L’ajout des termes « reset-password » ne suffit pas à écarter le risque de confusion.

Deuxièmement, le Défendeur ne dispose d’aucun droit ni intérêt légitime sur le nom de domaine. Instagram n’a accordé aucune licence ni autorisation pour utiliser sa marque. Surtout, le site ne propose pas un véritable service de réinitialisation de mot de passe. Il cherche à obtenir les identifiants des internautes.

L’expert considère donc que cette utilisation ne constitue pas une offre de bonne foi de produits ou de services. Il relève au contraire que le site sert à obtenir les mots de passe Instagram des visiteurs sous une apparence trompeuse.

Troisièmement, l’enregistrement et l’utilisation du nom de domaine sont considérés comme réalisés de mauvaise foi. Le site reproduit la marque et le logo d’Instagram. Il donne aux visiteurs l’impression qu’ils communiquent avec le titulaire légitime de la marque.

L’objectif apparent est alors de récupérer leurs mots de passe. Pour l’OMPI, un tel comportement constitue une utilisation frauduleuse et relève du phishing.

Un transfert du nom de domaine au profit d’Instagram

Le Défendeur n’a pas répondu à la plainte UDRP. Après examen du dossier, l’expert a retenu les arguments d’Instagram et ordonné le transfert de <reset-password-instagram.com> à Instagram, LLC.

Cette décision rappelle surtout qu’un nom de domaine litigieux peut constituer la première étape d’une opération de phishing. Ici, son intitulé est particulièrement révélateur : reset-password-instagram.com reprend la marque et décrit directement l’action attendue de l’internaute.

L’affaire montre également l’intérêt d’une surveillance des noms de domaine combinant une marque avec des termes comme « reset », « password », « secure » ou « login ». Ces associations peuvent constituer des signaux utiles pour détecter rapidement des tentatives d’usurpation et de phishing.

Instagram était représenté dans cette procédure UDRP par le cabinet Hogan Lovells Cadwalader, basé à Paris.