Quand le message d’un ami cache un piège
Un proche vous écrit sur WhatsApp : il a un petit service urgent à vous demander, ou un lien à vous montrer. Rien d’inhabituel… et c’est précisément sur cette confiance que misent les escrocs. Deux variantes de la même arnaque circulent en ce moment. Elles ont déjà piégé un député français, et visent surtout les milieux politiques et médiatiques, mais n’importe qui peut être touché.
Le principe : un vrai ami, un compte déjà piraté
Dans les deux cas, le message vient du compte d’une personne que vous connaissez vraiment. Son compte a été piraté avant le vôtre, et le pirate s’en sert comme relais pour gagner votre confiance. Ensuite, c’est votre compte qui devient le relais pour piéger vos propres contacts. C’est une chaîne qui se transmet de proche en proche.
Variante 1 : « Peux-tu me transmettre le code que tu viens de recevoir ? »
Le message est simple et amical : « Salut, j’ai fait une erreur, tu peux me rendre un service ? » Puis vient la demande : un code à 6 chiffres que vous venez de recevoir par SMS.
Ce code, c’est en réalité votre code de vérification WhatsApp. Pensez-y comme à la clé de votre porte d’entrée numérique : celui qui l’obtient peut prendre le contrôle de votre compte, vous en déconnecter et se faire passer pour vous.
La règle d’or : personne n’a jamais de raison légitime de vous demander un code reçu par SMS. Ce code ne doit jamais quitter votre écran.
Variante 2 : « Vote pour la fille d’un ami ! »
Le message est chaleureux et personnel : un ami vous demande de cliquer sur un lien pour soutenir la fille d’un proche dans un concours de danse. Le lien semble anodin. Il déclenche en réalité ce qu’on appelle un « appareillage fantôme ».
WhatsApp permet normalement de connecter son compte à plusieurs appareils : téléphone, tablette, ordinateur. C’est cette fonction très pratique que les pirates détournent. Le pirate associe discrètement son propre appareil à votre compte : il peut alors lire vos messages, voir vos contacts et écrire à votre place, sans vous avoir pris votre téléphone.
Zone technique — pour les curieux et les passionnés
🤓 Pour aller plus loin : le maillon faible n’est pas le code, c’est l’humain
Ces deux attaques ne cassent aucun chiffrementProcédé qui « brouille » le contenu d'un fichier ou d'un disque entier : sans le bon mot de passe ou la bonne clé, il est illisible. Si l'on vous vole un disque chiffré, le voleur ne peut rien en lire. Revers de la médai.... Le protocole Signal, utilisé par WhatsApp depuis 2016, est l’un des plus robustes qui soient. Le problème est dans l’interface et dans la confiance : un code transmis ou un appareil associé suffisent. On parle d’ingénierie sociale, couplée à l’usage d’une fonction légitime du fabricant. Pas besoin de faille exotique ni de logiciel malveillant.
Kevin Mitnick, l’un des hackers les plus célèbres des années 90, répétait que le maillon faible d’un système n’est jamais le code, mais l’humain. Il s’introduisait dans des systèmes non pas en cassant des algorithmes, mais en appelant les gens et en leur parlant gentiment. Dans WarGames (1983), la vraie vulnérabilité était déjà celle-là : on peut convaincre quelqu’un de donner lui-même les clés. Dans la variante du code, les escrocs peuvent même automatiser la demande avec ce qu’on appelle des « bots OTP » (One-Time Password).
Un détail utile : la vérification en deux étapes de WhatsApp (code PIN) protège bien contre la variante du code SMS, puisque le code seul ne suffit plus. Elle ne remplace pas la vérification de la liste de vos appareils connectés, car le lien piégé agit autrement.
Comment se protéger 💡
– Ne partagez jamais un code reçu par SMS, quelles que soient les circonstances ou la personne qui le demande.
– Ne cliquez pas sur un lien reçu sur WhatsApp sans vérifier : même venant d’un contact connu, appelez cette personne pour confirmer qu’elle vous l’a bien envoyé. Un coup de fil de 30 secondes peut tout changer, et un vrai ami comprendra toujours.
– Activez la vérification en deux étapes : Réglages › Compte › Vérification en deux étapes, créez un code PIN personnel.
– Vérifiez vos appareils connectés : Réglages › Appareils connectés. Si vous voyez un appareil inconnu, déconnectez-le immédiatement. Un coup d’œil de temps en temps, c’est comme vérifier qu’on n’a pas laissé une clé sous le paillasson.
– Méfiez-vous des demandes émotionnelles ou pressantes : aider un ami, soutenir un enfant, agir vite. Si un message vous presse d’agir sans réfléchir, c’est le moment de souffler.
– Si votre compte est piraté : prévenez vos proches par un autre moyen (SMS, appel) pour qu’ils ne tombent pas à leur tour dans le piège, signalez-le à WhatsApp, puis réinstallez l’application et réenregistrez votre numéro avec le nouveau code reçu par SMS : cela déconnecte l’intrus.
– Si un proche vous écrit ce genre de message : avertissez-le par un autre moyen que WhatsApp, son compte est probablement déjà piraté et il ne le sait peut-être pas.
La vigilance reste votre meilleure alliée
Nos téléphones sont devenus de véritables passeports numériques, et un instant de méfiance peut éviter bien des ennuis. La bonne nouvelle : une fois qu’on connaît le mécanisme, ces arnaques sont faciles à déjouer. En partageant ces réflexes autour de vous, vous devenez vous-même un maillon de protection pour vos proches. 🛡️
Et vous, avez-vous déjà reçu ce type de message suspect sur WhatsApp, ou connaissez-vous quelqu’un qui en a été victime ?
Sources : franceinfo, iPhon.fr
