par Depuis le week-end dernier, les signalements explosent sur Cybermalveillance.gouv.fr. Le message est toujours à peu près le même. Un contact que vous connaissez, un vrai, vous écrit sur WhatsApp pour vous demander un service : votez pour Eliška, pour Sophie, pour la fille de mes amis, dans un concours de danse. Ton chaleureux, lien vers un site de vote. Rien de méchant en apparence.
Le problème, c’est que le compte qui vous écrit est déjà piraté. Et le but du jeu, c’est de piquer le vôtre.
Deux méthodes circulent. La première joue sur le fameux code à six chiffres. Vous cliquez, vous arrivez sur un faux site de vote, on vous demande votre numéro, puis le code reçu par SMS. Ce code, c’est exactement celui qui sert à enregistrer votre compte WhatsApp sur un nouveau téléphone. Vous le donnez, les escrocs installent votre compte chez eux, et vous voilà dehors.
La seconde passe par les appareils connectés. Le site vous fait scanner un QR code ou valider une association, et là c’est un navigateur contrôlé par les pirates qui s’invite dans vos conversations, vos contacts, vos messages. Discret, efficace.
Pour verrouiller ses comptes au-delà du simple code PIN, une clé de sécurité physique fait le même travail en mieux :
Yubico YubiKey 5 NFC → voir sur Amazon
Lien affilié Amazon. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
Comme le message vient d’un proche, on baisse la garde. C’est toute la force de l’arnaque. Une fois votre compte pris, il sert à écrire à vos propres contacts, qui font confiance à leur tour, et ainsi de suite. La boule de neige.
Le phénomène n’est pas neuf, on l’avait déjà vu passer en septembre 2025. Mais la vague d’octobre 2026 est d’une autre ampleur. La France, l’Espagne et la Belgique sont touchées, et personne n’est à l’abri : un député MoDem s’est fait prendre à l’Assemblée nationale et a perdu la main sur son compte. Kaspersky et Cybermalveillance tirent la même sonnette.
Les bons réflexes tiennent en trois lignes. Ne jamais cliquer sur un lien de vote reçu par message, même d’un ami. Ne donner son code à six chiffres à personne, sous aucun prétexte. Et aller faire un tour dans les paramètres de WhatsApp, section appareils connectés, pour virer ce qui n’a rien à y faire.
Le vrai bouclier, c’est la vérification en deux étapes. Un code que vous seul connaissez, et qui bloque l’enregistrement de votre compte ailleurs même si on vous a soutiré le reste. Cinq minutes à activer. Vu la saison, ça les vaut.
Crédit photo : WhatsApp / Wikimedia Commons
