Faux votes WhatsApp : comment un message de confiance peut prendre le contrôle d’un compte

Le 27 octobre 2026, Cybermalveillance.gouv.fr a publié une alerte sur une campagne d’hameçonnage diffusée principalement dans WhatsApp. Le message propose de soutenir une personne dans un faux concours, souvent présenté comme un concours de danse ou une bourse d’études. Il semble provenir d’un contact connu, ce qui réduit la vigilance : la relation paraît familière et la demande paraît limitée à un vote.

La page officielle précise que la campagne s’intensifie par un effet boule de neige. Les comptes déjà compromis servent à envoyer le même message à de nouveaux contacts. La date de mise à jour de l’alerte est le 3 novembre 2026. Cela établit la présence d’une campagne suivie par Cybermalveillance.gouv.fr, mais ne permet pas de déduire un nombre de victimes, une liste d’entreprises ciblées ou la compromission de tous les messages qui circulent.

Le lien du message ouvre une fausse page de vote. La victime est invitée à renseigner le numéro de téléphone associé à son compte WhatsApp. Cette étape ne sert pas à enregistrer un vote : elle déclenche une procédure qui peut générer un code d’enregistrement ou d’ajout d’appareil.

La page frauduleuse demande ensuite de saisir ce code dans les paramètres du compte, en donnant l’impression qu’il faut confirmer sa participation. En réalité, le code permet à l’escroc d’ajouter un nouvel appareil au compte. Cybermalveillance.gouv.fr décrit donc une prise de contrôle obtenue par manipulation de la procédure légitime de WhatsApp, et non par une faille technique démontrée dans le chiffrement des messages.

Le scénario est particulièrement efficace parce qu’il combine trois éléments : un contact de confiance déjà compromis, une action courte qui ressemble à un service rendu et un code technique dont la fonction n’est pas expliquée. Le fait de recevoir le code sur son propre téléphone ne prouve pas que la demande est légitime ; cela signifie seulement qu’une procédure d’enregistrement a été déclenchée pour le numéro.

• Message reçu d’un contact connu, mais demande inhabituelle ou urgente.
• Lien vers une page de vote qui demande un numéro de téléphone.
• Demande de saisir ou de transmettre un code reçu par SMS, appel ou WhatsApp.
• Instruction de modifier un réglage ou d’ajouter un appareil pour « valider » le vote.

Selon Cybermalveillance.gouv.fr, un compte compromis peut servir à usurper l’identité de la victime et à rediffuser l’arnaque à ses contacts. L’escroc peut aussi demander de l’argent à des proches, exploiter des données personnelles présentes dans le compte ou bloquer l’accès de la victime, parfois en exigeant une rançon.

Il faut distinguer ces conséquences possibles de ce qui est établi dans un cas particulier. La réception du message ne prouve pas que le compte est compromis. La saisie du numéro de téléphone ne suffit pas non plus à établir une prise de contrôle ; le point critique est la communication ou l’utilisation du code et la présence éventuelle d’un appareil inconnu. Enfin, la page de Cybermalveillance.gouv.fr ne fournit pas de statistique publique permettant de mesurer la campagne.

WhatsApp est souvent utilisé dans une petite entreprise pour coordonner une équipe, échanger avec des clients ou gérer une urgence. Un compte personnel compromis peut donc devenir un point d’entrée relationnel : les collègues reconnaissent le nom et répondent plus facilement à une demande d’argent, à un lien ou à une fausse consigne.

Le risque ne se limite pas à la messagerie elle-même. Une usurpation peut provoquer un transfert frauduleux, divulguer des échanges professionnels ou faire perdre du temps à l’équipe pendant la récupération du compte. Elle peut aussi contaminer la confiance dans les messages légitimes envoyés depuis ce numéro. En revanche, il ne faut pas conclure automatiquement qu’un compte WhatsApp compromis donne accès au système d’information de l’entreprise : l’impact dépend des usages, des appareils liés et des informations accessibles depuis le compte.

Pour une organisation, le bon réflexe consiste à traiter l’incident comme une compromission de compte et de relation, avec une vérification séparée des comptes professionnels, des appareils et des opérations financières éventuellement demandées.

Ne pas cliquer sur le lien et ne pas saisir son numéro sur la page proposée. Si le message semble venir d’un collègue, vérifier par un autre canal connu : appel au numéro habituel, courriel déjà enregistré ou conversation directe avec l’équipe. Cette vérification doit éviter de réutiliser le compte WhatsApp potentiellement détourné.

Prévenir le contact que son compte semble utilisé pour diffuser une arnaque. Une entreprise peut aussi rappeler à l’équipe une règle simple : aucun code de connexion ou d’enregistrement n’est à communiquer à un tiers, même si la demande vient d’un proche ou d’un collègue.

• Conserver le message et l’URL pour l’analyse interne, sans les relayer.
• Signaler ou bloquer le compte et le contenu selon les fonctions disponibles.
• Vérifier les appareils liés à son propre compte et déconnecter toute session inconnue.
• Prévenir les personnes qui pourraient recevoir la même demande.

Le centre d’aide de WhatsApp recommande de se réinscrire avec le même numéro et le code à six chiffres reçu par SMS ou appel. Cette réinscription déconnecte automatiquement les autres appareils connectés au compte. WhatsApp précise qu’une personne qui utilise le compte est ainsi déconnectée, même si une vérification en deux étapes a été activée par l’attaquant.

Une demande de code PIN ou de mot de passe de vérification en deux étapes peut ensuite apparaître. Si la victime ne connaît pas ce code, le centre d’aide indique qu’un délai de sept jours peut être nécessaire avant de pouvoir réinitialiser cette étape. La récupération dépend donc de la capacité à recevoir le code sur le numéro associé ; sans la carte SIM ou le contrôle de ce numéro, il faut d’abord traiter ce problème avec l’opérateur.

Après la récupération, revoir les appareils liés, les coordonnées de récupération et les paramètres de sécurité. Avertir les contacts par un autre moyen que WhatsApp, car les messages envoyés pendant la compromission peuvent avoir été écrits par l’escroc. Les opérations financières ou demandes sensibles doivent être vérifiées séparément.

Le premier contrôle est humain : apprendre à reconnaître la demande anormale, même lorsqu’elle arrive d’un contact connu. Le second est technique : vérifier régulièrement les appareils liés et activer la vérification en deux étapes. Le troisième est organisationnel : définir un autre canal pour confirmer toute demande d’argent, de changement de coordonnées ou de partage de code.

WhatsApp indique que la vérification en deux étapes ajoute une protection lors de la réinscription du numéro. Elle ne remplace pas la vigilance sur les codes et ne transforme pas un message reçu d’un contact en preuve d’authenticité. La protection la plus utile est donc la combinaison d’un réglage activé, d’une vérification des appareils et d’une procédure de confirmation indépendante.

Pour vérifier que la mesure est réellement en place, demander à chaque personne de montrer où se trouvent les appareils liés et le réglage de vérification en deux étapes, sans demander le code ou le mot de passe lui-même. Une sensibilisation utile vérifie une action, pas la divulgation d’un secret.

• Ne jamais partager un code d’enregistrement ou un mot de passe.
• Activer la vérification en deux étapes avec une adresse de récupération maîtrisée.
• Revoir périodiquement les appareils liés et supprimer ceux qui ne sont pas reconnus.
• Confirmer par un autre canal toute demande financière ou changement de compte.