Un proche vous demande sur WhatsApp de voter pour un enfant participant à un concours de danse ou pour l’aider à obtenir une bourse ? Le message paraît anodin, parfois même chaleureux. Pourtant, derrière cette demande peut se cacher une tentative de prise de contrôle de votre compte WhatsApp.
Cette fraude n’est pas nouvelle. L’Office fédéral de la cybersécurité (OFCS) l’avait déjà documentée en Suisse au printemps 2026. Une nouvelle campagne s’est intensifiée en Europe en octobre, ce qui justifie de rappeler son fonctionnement et les bons réflexes à adopter, aussi bien dans un cadre privé que professionnel.
POURQUOI LE MESSAGE PARAÎT-IL CRÉDIBLE ?
Le message arrive souvent depuis le compte d’une personne que vous connaissez : un collègue, un ami ou un membre de votre famille. C’est précisément ce qui rend le piège efficace.
Dans de nombreux cas, le compte de cette personne a déjà été compromis. Les escrocs l’utilisent alors pour envoyer la même demande à ses contacts et profiter de la confiance existante.
Le scénario varie, mais conserve généralement les mêmes ingrédients :
- aider un enfant ou une jeune participante ;
- voter dans un concours de danse, un concours scolaire ou pour une bourse ;
- agir rapidement avant la fin du vote ;
- suivre un lien vers une page qui paraît légitime.
COMMENT LES ESCROCS PRENNENT-ILS LE CONTRÔLE DU COMPTE ?
Le faux site ne cherche pas réellement à enregistrer un vote. Il pousse la victime à effectuer une action qui autorise l’accès au compte WhatsApp.
Deux variantes sont notamment documentées :
- Le code d’enregistrement : le site demande le numéro de téléphone, puis un code à six chiffres reçu par SMS ou dans l’application. Ce code sert en réalité à enregistrer le compte WhatsApp sur un autre appareil.
- Le code QR ou l’appareil lié : le site demande d’ouvrir WhatsApp, d’accéder à « Appareils connectés » et de scanner un code QR. Cette opération relie alors l’appareil du fraudeur au compte de la victime, comme lors de l’utilisation légitime de WhatsApp Web.
Un vrai concours n’a aucune raison de vous demander un code WhatsApp, de modifier les paramètres de votre compte ou de relier un nouvel appareil.
QUELLES PEUVENT ÊTRE LES CONSÉQUENCES ?
Selon la méthode utilisée, la victime peut perdre l’accès à son compte ou continuer à utiliser WhatsApp sans remarquer immédiatement qu’un appareil inconnu a été relié.
Les fraudeurs peuvent ensuite :
- envoyer des messages en se faisant passer pour la victime ;
- diffuser le faux concours à de nouveaux contacts ;
- tenter une demande d’argent urgente auprès de proches ou de collègues ;
- accéder aux messages et informations synchronisés sur l’appareil lié ;
- nuire à la réputation de la personne ou de l’entreprise dont l’identité est usurpée.
Dans une entreprise, le risque ne concerne donc pas uniquement le compte personnel d’un collaborateur. Une identité de confiance peut être utilisée pour tromper des collègues, des clients ou des partenaires.
COMMENT RECONNAÎTRE LE PIÈGE ?
Plusieurs signaux doivent attirer l’attention :
- une demande de vote inattendue, même envoyée par un proche ;
- une urgence artificielle ou une sollicitation émotionnelle ;
- un lien vers un domaine inconnu ;
- une demande de numéro de téléphone suivie d’un code WhatsApp ;
- des instructions demandant d’ouvrir les paramètres de WhatsApp ;
- un code QR à scanner depuis la rubrique « Appareils connectés ».
En cas de doute, ne répondez pas dans la même conversation. Contactez la personne par téléphone, SMS, courriel ou par un autre moyen connu.
COMMENT PROTÉGER SON COMPTE WHATSAPP ?
- Ne communiquez jamais votre code d’enregistrement WhatsApp à six chiffres.
- Ne scannez un code QR depuis « Appareils connectés » que lorsque vous reliez volontairement votre propre ordinateur ou appareil.
- Activez la vérification en deux étapes dans les paramètres du compte.
- Ajoutez et vérifiez une adresse électronique de récupération lorsque cette option est disponible.
- Contrôlez régulièrement la liste des appareils connectés et déconnectez tout appareil inconnu.
- Sensibilisez les collaborateurs aux demandes inhabituelles provenant de comptes pourtant connus.
ADOPTER UNE PRÉVENTION PLUS GÉNÉRALE
Les noms, les prétextes et les sites utilisés par les fraudeurs changent régulièrement. Une prévention efficace ne consiste donc pas seulement à mémoriser l’exemple du faux concours, mais à développer des réflexes applicables à toutes les demandes inhabituelles.
- Faire une pause avant d’agir : l’urgence, l’émotion et la volonté de rendre service sont souvent utilisées pour empêcher la vérification.
- Vérifier par un autre canal : appeler la personne ou utiliser une coordonnée déjà connue, plutôt que répondre au message reçu.
- Protéger les secrets d’authentification : un code reçu par SMS, une notification de connexion, un mot de passe, une clé de récupération ou un QR code de liaison ne doivent jamais être transmis ou validés à la demande d’un tiers.
- Examiner la demande, pas seulement l’expéditeur : un compte connu peut être compromis. Une demande inhabituelle reste suspecte même lorsqu’elle provient d’un collègue, d’un client ou d’un proche.
- Sécuriser les comptes et les appareils : activer la vérification en deux étapes, maintenir les applications et le système à jour, protéger l’accès au téléphone et contrôler les sessions ouvertes.
- Prévoir un canal de signalement : dans l’entreprise, chacun doit savoir à qui signaler rapidement un message douteux ou une erreur, sans crainte d’être blâmé.
- Vérifier séparément les demandes financières : toute demande urgente de paiement, de changement d’IBAN ou d’achat de cartes prépayées doit suivre une procédure de confirmation indépendante.
Le bon réflexe général peut se résumer ainsi : lorsqu’une demande touche à un accès, un code, un paiement ou une donnée sensible, interrompez l’action et vérifiez-la par un moyen distinct.
QUE FAIRE SI VOUS AVEZ DÉJÀ SUIVI LES INSTRUCTIONS ?
Agissez sans attendre :
- Ouvrez WhatsApp et consultez la rubrique « Appareils connectés ».
- Déconnectez tous les navigateurs ou appareils que vous ne reconnaissez pas.
- Avertissez vos contacts par un autre canal et demandez-leur d’ignorer les messages, liens ou demandes d’argent envoyés depuis votre compte.
- Si vous avez été déconnecté, réenregistrez votre numéro dans WhatsApp avec le nouveau code à six chiffres reçu par SMS ou appel.
- Contrôlez les paramètres de sécurité et activez la vérification en deux étapes après avoir récupéré l’accès.
- Dans un contexte professionnel, informez rapidement votre responsable ou votre prestataire informatique afin d’évaluer les messages envoyés, les informations exposées et les actions complémentaires nécessaires.
Si un fraudeur a activé une vérification en deux étapes avec un code que vous ne connaissez pas, WhatsApp indique qu’un délai pouvant aller jusqu’à sept jours peut être nécessaire avant de pouvoir se reconnecter sans ce code.
LE BON RÉFLEXE À RETENIR
Un message provenant d’une personne connue n’est pas automatiquement fiable. Si un « vote » exige un code WhatsApp, un changement de paramètres ou la connexion d’un appareil, interrompez immédiatement la procédure.
En cas de doute sur un compte professionnel ou sur les conséquences d’une compromission, CIFERA peut vous aider à vérifier la situation, à sécuriser les accès et à organiser la réponse à l’incident.