Piratage de compte très bizarre

Bonjour,

Voici le cas :
Une amie est espionnée sur Facebook par l'un de ses exs. Il a accès a son compte, et donc au contenu des discussions, des photos, etc.

Dans l'historique des connexions, Facebook affiche que le téléphone de mon amie (qui se trouve à Lyon) est connecté là où habite le type en question (banlieue parisienne).

Elle a le même numéro de téléphone depuis sa relation avec ce type, mais il n'a jamais été en contact avec son téléphone (car elle l'a changé depuis). Il n'a donc pas pu installer d'app malveillante ou autre technique de manipulation directement sur l'appareil.

On a procédé à :
- Un changement d'adresse mail de compte, avec la création d'une nouvelle adresse mail depuis mon PC.
- Un changement de numéro de téléphone pour l'authentification à 2 facteurs en mettant mon numéro de téléphone.
- Un changement de mot de passe du compte.
- Une déconnexion de tous les appareils.

Mais rien n'y fait, il a toujours accès à son compte.
Le nouveau compte mail n'affiche pas de demande de nouvelle connexion.
Je n'ai pas reçu de demande d'authentification.
Et comme Facebook indique que c'est le téléphone de mon amie qui est géolocalisé en banlieue parisienne, c'est comme s'il n'avait pas besoin de demander de se connecter au compte pour y avoir accès.

Comment c'est possible ?
Comment se débarrasser de ça ?