Semaine 43 : Des escrocs piratent à nouveau des comptes WhatsApp via des messages concernant de faux concours
L’OFCS enregistre actuellement une nouvelle vague importante de signalements concernant des comptes WhatsApp volés ou piratés. Rien qu’en octobre 2026, il a reçu plus de 50 signalements concernant cette pratique. La plupart des tentatives d’escroquerie ont d’ailleurs abouti. Les pirates ont recours à une arnaque sophistiquée dans laquelle ils demandent à la victime, par l’intermédiaire d’un contact de son carnet d’adresses, de voter dans le cadre d’un concours. Si la victime clique sur le lien la redirigeant vers un site frauduleux et y saisit ou y scanne ensuite un code, elle perdra l’accès à son compte WhatsApp ou permettra à un appareil tiers d’y accéder.
L’attaque commence toujours par un message provenant d’un contact qui figure dans le carnet d’adresses et dont le compte a déjà été piraté. Les escrocs demandent par exemple le service suivant : « Salut ! Pourrais-tu s’il te plaît soutenir la fille de mon ami en votant pour elle ? Elle s’appelle Sophie. Les votes se terminent bientôt et ça te prendra moins d’une minute. » Cette méthode d’attaque n’est pas nouvelle. Au printemps 2026, l’OFCS avait déjà publié une information à ce sujet. L’augmentation actuelle du nombre de cas montre toutefois que cette méthode s’est imposée et semble porter ses fruits.
La prétendue urgence et la confiance accordée à l’expéditeur connu incitent de nombreux destinataires à cliquer sur le lien contenu dans le message. Afin de contourner les filtres de sécurité, les cybercriminels utilisent actuellement, pour ces liens frauduleux, une multitude de domaines différents qui changent constamment.
Le piège : code SMS ou code QR
Le lien redirige vers un site web falsifié de manière professionnelle, qui simule un concours scolaire ou de danse. Pour ce soi-disant vote, les escrocs recourent à deux méthodes :
- Le code SMS
Le site web invite tout d’abord la victime à saisir son numéro de portable avant de saisir ensuite sur la page un code reçu par SMS. Ce code est en fait le code d’enregistrement officiel à six chiffres de WhatsApp. En saisissant ses informations sur la fausse page, la victime autorise les auteurs de l’escroquerie à activer le compte WhatsApp sur leur propre appareil. - Le code QR
Le site peut aussi afficher un code QR, accompagné d’une instruction invitant l’utilisateur à le scanner via la fonction « Appareils connectés » de WhatsApp. Les escrocs font ainsi un usage abusif de la fonctionnalité de WhatsApp Web. Le scan relie, à l’insu de la victime, son compte au système des cybercriminels. C’est particulièrement insidieux, car il arrive que la victime ne remarque même pas que son compte est utilisé par des tiers.
Les conséquences : réaction en chaîne et accès aux données
Si l’attaque réussit, les escrocs prennent le contrôle total du compte WhatsApp. Ils ont accès à l’historique des conversations, aux groupes, aux photos et aux informations confidentielles échangées. Le message frauduleux concernant le vote est alors envoyé à l’ensemble du carnet d’adresses de la victime. Cet effet boule de neige explique la forte propagation actuelle de cette arnaque.
Recommandations
- Méfiez-vous des invitations à participer à des votes ou à des jeux-concours via Messenger, même si l’expéditeur vous est connu. En cas de doute, contactez l’expéditeur par un autre canal et, le cas échéant, signalez-lui que de tels messages sont envoyés en son nom.
- Ne transmettez jamais votre code de vérification WhatsApp à six chiffres et ne le saisissez pas non plus sur un site web inconnu.
- Utilisez la fonction « Appareils connectés » uniquement pour configurer WhatsApp Web sur vos propres appareils, que vous savez fiables (p. ex. votre propre ordinateur portable). Ne scannez pas les codes QR provenant de sites web inconnus.
- Protégez votre compte de manière préventive en définissant votre propre code PIN. Activez cette fonctionnalité dans WhatsApp sous Paramètres > Compte > Vérification en deux étapes. Cette mesure simple rend le piratage d’un compte bien plus difficile.
Que faire si votre compte WhatsApp a été piraté ?
- Prévenez immédiatement vos contacts par d’autres canaux que votre compte a été piraté. Dites-leur d’ignorer les messages contenant des liens qu’ils reçoivent de votre part.
- Après un piratage par code QR
Déconnectez les appareils étrangers : si vous avez encore accès à l’application sur votre téléphone, ouvrez les paramètres, puis cliquez sur Appareils connectés. Supprimez tous les navigateurs et ordinateurs inconnus (Déconnexion). - Après un piratage par code SMS
Récupérez votre compte : si vous avez été déconnecté/e de WhatsApp sur votre téléphone portable, connectez-vous une nouvelle fois à l’application avec votre téléphone. Vous recevrez alors un nouveau code à six chiffres par SMS. Les pirates seront automatiquement déconnectés de votre compte dès que vous aurez saisi le nouveau code. Remarque : si, dans l’intervalle, les escrocs ont introduit un code PIN que vous ne connaissez pas pour la vérification en deux étapes, vous devez attendre sept jours avant de pouvoir vous reconnecter sans ce code PIN. Votre compte est toutefois désactivé pour les escrocs pendant ce délai.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous: