« Pourrais-tu s’il te plaît soutenir la fille de mon ami en votant pour elle ? » Le message arrive sur WhatsApp, envoyé par un collègue, une cousine ou un ancien camarade de classe. Il paraît anodin, mais c’est le point de départ d’une arnaque qui circule en ce moment en France et en Suisse. Son but n’est pas votre argent dans l’immédiat : c’est votre compte WhatsApp. Voici comment le piège fonctionne, les réglages à vérifier sur votre téléphone et quoi faire si vous êtes tombé dedans.
Les points :
Deux alertes officielles la même semaine #
Le 27 octobre, Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, a publié une alerte sur ces faux votes, mise à jour le 29 octobre. Le même jour, l’Office fédéral suisse de la cybersécurité (OFCS) a consacré sa revue de la semaine 43 au même scénario. L’office suisse indique avoir reçu plus de 50 signalements de comptes WhatsApp piratés pour le seul mois d’octobre.
Le scénario repose sur une mécanique simple : la confiance. Selon l’OFCS, le message vient d’un contact dont le compte a déjà été piraté. Le nom qui s’affiche est donc bien celui d’une personne que vous connaissez, même si elle n’a jamais écrit ce message.
À lire NAS Synology et rançongiciel C3RB3R : la version de DSM à vérifier et les réglages à faire
Comment l’escroc prend la main sur le compte #
Le lien mène à un faux site qui imite un concours, scolaire ou de danse par exemple. L’OFCS précise que les escrocs changent sans cesse de nom de domaine pour échapper aux filtres. Pour « valider » le vote, la page demande votre numéro de téléphone. Ensuite, deux variantes existent.
Variante 1 : le code reçu par SMS
Après la saisie du numéro, vous recevez un SMS avec un code à six chiffres, que la page vous demande de recopier. L’office suisse est clair : ce code est en réalité le code d’enregistrement officiel de WhatsApp. En le donnant, vous permettez aux escrocs d’activer votre compte sur leur propre téléphone. Cybermalveillance.gouv.fr décrit le même mécanisme : la saisie du numéro génère un code qui autorise l’ajout d’un nouvel appareil au compte.
Variante 2 : le QR code à scanner
Dans la seconde version, le faux site affiche un QR code et vous invite à le scanner depuis la fonction « Appareils connectés » de WhatsApp. Cette fonction sert normalement à ouvrir WhatsApp Web sur votre ordinateur. Ici, elle relie votre compte à l’appareil de l’escroc. Selon l’OFCS, cela se fait souvent sans que la victime s’en aperçoive, puisque son téléphone continue de fonctionner normalement.
Dans les deux cas, le résultat est identique. L’escroc lit vos conversations, se fait passer pour vous et renvoie le même faux concours à tout votre carnet d’adresses. C’est ce qui explique la propagation rapide de l’arnaque.
À lire Taxe de 2 € sur les colis hors UE : le faux SMS de la douane à ne pas payer
Les réglages à vérifier dès maintenant #
Même si vous n’avez cliqué sur rien, ces deux minutes de vérification valent le coup.
Contrôlez les appareils connectés. Dans WhatsApp, ouvrez le menu « Appareils connectés ». La liste doit contenir uniquement votre ordinateur, votre tablette ou votre navigateur habituel. Cybermalveillance.gouv.fr recommande de supprimer tout appareil inconnu.
Activez la vérification en deux étapes. Elle ajoute un code PIN personnel, demandé lorsqu’on réinstalle WhatsApp sur un nouveau téléphone. Le chemin indiqué par l’OFCS est Paramètres, puis Compte, puis Vérification en deux étapes. Choisissez un code que vous ne réutilisez nulle part ailleurs.
Vérifiez vos informations de récupération. L’alerte française conseille aussi de contrôler le numéro de téléphone, l’adresse e-mail de récupération et les éventuelles liaisons avec Instagram ou Facebook.
À lire Windows 11 24H2 : fin des mises à jour de sécurité le 13 octobre, comment passer en 25H2
Si vous avez saisi un code ou scanné le QR code #
Pas de panique, mais agissez vite. Si vous avez scanné un QR code, retournez dans « Appareils connectés » et déconnectez la session inconnue. Si vous avez donné le code reçu par SMS, l’OFCS conseille de vous reconnecter sur votre téléphone pour recevoir un nouveau code, ce qui déconnecte les pirates. Attention : si l’escroc a eu le temps d’activer lui-même un PIN de vérification en deux étapes, l’office précise qu’il faudra attendre sept jours avant de pouvoir vous reconnecter sans ce code.
Prévenez ensuite vos proches par un autre moyen que WhatsApp, par SMS, appel ou e-mail, pour qu’ils ignorent les messages envoyés en votre nom. Si vous ne parvenez plus du tout à accéder au compte, suivez la procédure officielle de récupération de WhatsApp, à laquelle renvoie l’alerte de Cybermalveillance.gouv.fr. Le site propose aussi une fiche réflexe sur le piratage de compte et un diagnostic en ligne pour être orienté.
La règle à retenir #
Un vrai vote en ligne ne demande jamais de recopier un code de vérification ni de scanner un QR code dans les réglages de votre messagerie. Cybermalveillance.gouv.fr le résume ainsi : il ne faut jamais communiquer un mot de passe ou un code personnel demandé par un tiers, même s’il s’agit d’un proche. Si un message vous pousse à toucher aux paramètres de votre compte, c’est le signal pour tout arrêter et appeler la personne qui vous l’a envoyé.
