Un code à six chiffres, un message d’un proche, un « technicien » pressé : en 2026, quelques mots suffisent pour perdre le contrôle de son compte WhatsApp. Derrière ces scénarios, des réseaux organisés et des techniques comme le GhostPairing. Voici les pièges les plus répandus et les réflexes qui protègent particuliers et entreprises.
« Bonjour, ici l’équipe de sécurité de WhatsApp. Une activité inhabituelle a été détectée sur votre compte. Pour le protéger, merci de nous transmettre le code que vous venez de recevoir par SMS. » La formule est polie, le ton professionnel, l’urgence parfaitement dosée. Elle résume une menace devenue massive : en 2025, Cybermalveillance.gouv.fr a assisté plus d’un demi-million de victimes, soit 20 % de plus qu’en 2024, selon son rapport d’activité publié le 26 mars 2026. Le piratage de compte y figure désormais au premier rang des menaces visant les entreprises et les associations.
Le code à six chiffres, clé de toutes les portes
Pour comprendre la mécanique, il faut partir d’un détail technique. Lorsqu’un compte WhatsApp est installé sur un nouveau téléphone, l’application envoie un code de vérification par SMS au numéro concerné. Ce code prouve que la personne qui s’inscrit détient bien la ligne. Le communiquer revient à remettre les clés de son compte à un inconnu, qui peut alors l’activer sur son propre appareil et écrire à tous les contacts en se faisant passer pour la victime.
Les escrocs ne cherchent donc pas à « casser » le chiffrement de WhatsApp. Ils obtiennent l’accès avec le consentement, extorqué, de son propriétaire. Trois ressorts reviennent dans presque tous les scénarios : l’autorité apparente de l’interlocuteur, une urgence artificielle (un compte « suspendu dans l’heure ») et le réflexe naturel d’obéir à une consigne présentée comme une procédure de sécurité. Il ne s’agit pas d’une prouesse informatique mais d’ingénierie sociale, c’est-à-dire de manipulation psychologique appliquée à la fraude.
Aucun profil n’est épargné. Selon Cybermalveillance.gouv.fr, 93 % des demandes d’assistance émanent de particuliers, mais la progression la plus forte concerne les entreprises et associations, dont les demandes ont bondi de 73 % en un an. Une évolution que nous suivons de près dans nos analyses télécoms, tant le numéro mobile est devenu la pièce maîtresse de l’identité numérique.
GhostPairing : quand le piège arrive par un proche
Une variante plus discrète s’est répandue depuis la fin de l’année 2025. Baptisée GhostPairing, elle a fait l’objet le 19 décembre 2025 d’une alerte de sévérité élevée du CERT-In, l’agence indienne de réponse aux incidents informatiques. Son mode opératoire avait été mis au jour par l’éditeur de sécurité Gen, maison mère d’Avast et de Norton.
Un lien, une fausse page, un appareil fantôme
Le message arrive d’un contact connu, dont le compte a lui-même déjà été détourné : « Regarde, j’ai trouvé ta photo ! », suivi d’un lien. La page ouverte imite un site familier, souvent Facebook, et demande de saisir son numéro de téléphone pour « vérifier son identité ». En coulisses, l’attaquant utilise ce numéro pour lancer la fonction officielle de WhatsApp qui permet de relier un ordinateur ou une tablette à un compte. L’application génère alors un véritable code d’association, que la victime recopie elle-même en croyant débloquer la photo.
Pourquoi la victime ne s’aperçoit de rien
Contrairement au vol classique du code SMS, la victime conserve l’usage normal de son compte. L’appareil de l’escroc devient simplement un appareil connecté supplémentaire, avec un accès comparable à celui de WhatsApp Web : messages, photos, vidéos. Il peut suivre les échanges en temps réel et relancer le même piège auprès de tous les contacts. La chaîne de confiance se retourne contre elle-même et la propagation s’auto-entretient.
Meta a réagi le 11 mars 2026 : WhatsApp affiche désormais un avertissement lorsque des signaux comportementaux laissent penser qu’une demande de liaison d’appareil est suspecte, en précisant d’où elle provient. Cette protection repose toutefois sur une détection probabiliste. Elle ne dispense pas l’utilisateur de rester attentif.
Entreprises : un salarié piégé, tout un carnet d’adresses exposé
Pour une TPE ou une PME, le risque est démultiplié. Un seul collaborateur dont le compte est détourné expose clients, fournisseurs et partenaires à des messages frauduleux envoyés sous un nom de confiance. Cybermalveillance.gouv.fr relève que le piratage de compte représente 21 % des parcours d’assistance des entreprises et associations, et que la fraude au virement entre pour la première fois dans leurs trois principales menaces. Une messagerie compromise est souvent la première étape d’un faux ordre de virement.
La première parade relève de l’organisation : séparer les usages. Une ligne professionnelle dédiée, distincte du numéro personnel du salarié, limite la contagion et permet à l’employeur de couper rapidement un accès compromis lors d’un départ ou d’un incident.
Pour équiper leurs équipes, les entreprises peuvent s’appuyer sur un opérateur spécialisé qui fournit des cartes SIM et eSIM professionnelles, distinctes des lignes personnelles des salariés.
Faux support technique : l’arnaque déguisée en assistance
En parallèle, l’arnaque au faux support technique a migré vers les messageries. Le script varie peu : un message ou un appel signale une faille de sécurité, puis un prétendu conseiller propose de « guider » la victime pas à pas. Le scénario le plus redouté passe par le partage d’écran pendant un appel vidéo, qui permet à l’escroc de lire en direct les codes de vérification ou les validations bancaires affichés sur le téléphone.
Le procédé s’est assez répandu pour que WhatsApp introduise, à l’automne 2025, un avertissement lorsqu’un utilisateur tente de partager son écran avec un contact inconnu pendant un appel vidéo. Le rapport annuel de Cybermalveillance.gouv.fr consacre d’ailleurs un chapitre entier à cette escroquerie, aux côtés du piratage de compte en ligne.
La version la plus élaborée vise directement les entreprises. Le faux technicien appelle, connaît le nom du dirigeant, cite le prestataire informatique habituel ou le logiciel utilisé en interne. Ces détails, glanés sur les réseaux professionnels, le site de la société ou dans des fuites de données, rendent l’appel crédible. Or, selon Cybermalveillance.gouv.fr, l’année 2025 a été, comme la précédente, particulièrement marquée par ces fuites, qui touchent aussi bien des TPE que des opérateurs télécoms, des services publics ou des établissements de santé.
Une industrie criminelle à l’échelle mondiale
Derrière ces messages soigneusement rédigés se trouvent rarement des escrocs isolés. Au premier semestre 2025, WhatsApp a détecté et banni plus de 6,8 millions de comptes liés à des centres d’escroquerie, opérés pour beaucoup par des groupes criminels installés en Asie du Sud-Est, notamment au Myanmar, au Cambodge et en Thaïlande. Ces structures recourent fréquemment au travail forcé et mènent plusieurs arnaques en parallèle, du faux placement en cryptomonnaies au système pyramidal.
Sur l’ensemble de l’année 2025, Meta affirme avoir retiré plus de 159 millions de publicités frauduleuses, dont 92 % avant tout signalement, et fermé 10,9 millions de comptes Facebook et Instagram rattachés à ces réseaux. Une opération conjointe avec le FBI, le département américain de la Justice et la police royale thaïlandaise a conduit à la désactivation de plus de 150 000 comptes et à 21 arrestations.
Ces chiffres impressionnent, sans clore le débat. En novembre 2025, une enquête de Reuters fondée sur des documents internes estimait qu’environ 10 % des revenus publicitaires de Meta en 2024 provenaient de publicités frauduleuses ou de produits interdits. Le chiffrement de bout en bout de WhatsApp limite en outre l’analyse du contenu des messages : la détection s’appuie surtout sur les comportements des comptes et sur les signalements des utilisateurs.
Quatre réflexes qui ferment la porte aux escrocs
Les campagnes changent, les scripts s’affinent, mais la grammaire de fond reste stable. Quelques gestes, gratuits et rapides, réduisent fortement les risques.
Ne jamais transmettre un code reçu par SMS. Ni à un « conseiller », ni à un proche, ni à un prétendu service client. WhatsApp ne demande jamais ce code par message ou par téléphone.
Activer la vérification en deux étapes. Dans Paramètres, puis Compte, puis Vérification en deux étapes, WhatsApp permet de définir un code PIN personnel exigé lors de toute nouvelle inscription du numéro. Même en possession du code SMS, l’escroc reste bloqué.
Contrôler les appareils connectés. La rubrique Appareils connectés liste chaque ordinateur ou tablette relié au compte. Un appareil inconnu se déconnecte en deux gestes : c’est la parade directe contre le GhostPairing.
Vérifier par un autre canal. Une demande urgente d’argent ou de code, même venant d’un proche, se confirme par un appel au numéro habituel, jamais en répondant au message reçu.
Le même principe de cloisonnement vaut pour le matériel de l’entreprise : un traceur GPS de véhicule ou une alarme connectée doit disposer de sa propre carte SIM plutôt qu’emprunter la ligne d’un salarié. En cas de piratage, le service 17Cyber, lancé fin 2024 avec la Gendarmerie et la Police nationale, oriente vers l’assistance de Cybermalveillance.gouv.fr. Les SMS et appels frauduleux se signalent gratuitement au 33700.
La friction, dernier rempart de la confiance numérique
Il existe une lecture confortable de ces arnaques : la victime aurait manqué de vigilance. Elle est techniquement exacte et socialement insuffisante. Ces escroqueries prospèrent parce qu’elles exploitent des mécanismes cognitifs universels, et parce que les interfaces mobiles ont été pensées pour fluidifier chaque interaction, rarement pour inviter au doute.
Les plateformes commencent à réintroduire de la friction : alertes sur les liaisons d’appareil, avertissements lors du partage d’écran et, depuis l’été 2026, le test sur WhatsApp d’une alerte anti-arnaque optionnelle, fondée sur un modèle d’apprentissage automatique exécuté sur le téléphone pour signaler les messages suspects d’inconnus. Ces garde-fous resteront imparfaits. L’arnaque au faux support n’a pas besoin de vos mots de passe : elle a besoin de votre confiance. Quelques secondes de doute suffisent souvent à la lui refuser.
