Arnaque au code de vérification WhatsApp : comment la reconnaître et éviter le piratage de son compte

Le message arrive d'un numéro enregistré dans les contacts, parfois même d'un proche avec qui l'échange est habituel : « Je me suis trompé de numéro en créant mon compte, tu peux me renvoyer le code que tu viens de recevoir par SMS ? ». Le ton est confiant, l'urgence légère, la demande banale en apparence. C'est pourtant l'un des scénarios de piratage de compte WhatsApp les plus répandus, et l'un des plus difficiles à repérer, car il n'exploite aucune faille technique : il exploite la confiance.

Comment fonctionne concrètement l'arnaque au code de vérification

WhatsApp associe un compte à un numéro de téléphone. Pour activer ce compte sur un nouvel appareil, ou pour le voler, il suffit de saisir ce numéro dans l'application, ce qui déclenche l'envoi automatique d'un code à 6 chiffres par SMS au titulaire réel du numéro. Ce code sert uniquement à prouver que la personne qui tente l'activation possède bien le téléphone associé.

Le pirate connaît le numéro de la victime, souvent trouvé dans un annuaire de contacts déjà compromis, et lance une tentative d'activation sur son propre appareil. Le vrai titulaire du numéro reçoit alors le code par SMS. Le pirate, se faisant passer pour un proche ou un contact connu via un compte WhatsApp déjà détourné, envoie ensuite un message demandant de lui transmettre « par erreur » ce code. Si la victime s'exécute, le pirate finalise l'activation et prend le contrôle intégral du compte visé, avec son historique et ses contacts.

Pourquoi cette arnaque est si efficace

Contrairement à un phishing classique venant d'un expéditeur inconnu, cette arnaque part très souvent d'un contact déjà piraté : un ami, un collègue ou un membre de la famille dont le compte a été détourné selon exactement le même mécanisme quelques heures ou quelques jours plus tôt. Le message arrive donc dans un fil de discussion existant, avec la photo de profil et le nom habituels, ce qui désactive presque instinctivement la méfiance. La technique s'apparente à une prise de contrôle en cascade : chaque compte piraté sert de rampe de lancement pour piéger le cercle de contacts suivant.

Ce mécanisme rappelle une autre technique de détournement de numéro largement documentée, le SIM swap, qui consiste à transférer frauduleusement une ligne téléphonique vers une nouvelle carte SIM : dans les deux cas, l'enjeu final est le même, intercepter un code de vérification envoyé par SMS pour prendre le contrôle d'un compte lié au numéro.

6 chiffres suffisent à transférer intégralement un compte WhatsApp vers un nouvel appareil, sans mot de passe ni autre vérification par défaut

Les signaux qui doivent alerter

Certains éléments reviennent presque systématiquement dans ce type de message et méritent une vigilance immédiate, même, et surtout, lorsqu'ils viennent d'un contact connu.

• Une demande de transfert d'un code reçu par SMS, quelle que soit la justification donnée (erreur de numéro, changement de téléphone, vérification pour un tiers).
• Un ton légèrement pressant ou une histoire qui invite à agir vite, sans laisser le temps de vérifier.
• Un message qui ne correspond pas au style habituel du contact, ou qui arrive à un moment inhabituel (tôt le matin, en pleine nuit).
• L'absence de réponse cohérente si on pose une question de vérification simple (« on s'est vus quand pour la dernière fois ? »).

Les réflexes à adopter avant de répondre

1. Ne transmettez jamais un code de vérification reçu par SMS, quel que soit le prétexte invoqué et quelle que soit la personne qui le demande.
2. Appelez le contact directement, par téléphone ou via un autre canal que WhatsApp, pour vérifier si la demande vient réellement de lui.
3. Vérifiez la cohérence du message : une erreur de numéro plausible ne justifie jamais d'avoir besoin du code d'un tiers, puisque WhatsApp envoie ce code uniquement au numéro concerné.
4. Signalez le contact dans l'application si le compte semble compromis, pour alerter WhatsApp et limiter la propagation de l'arnaque.
5. Prévenez le proche concerné par un autre moyen que WhatsApp, afin qu'il puisse sécuriser son compte au plus vite si celui-ci est effectivement piraté.

Que faire si le compte a déjà été détourné

Si le code a déjà été transmis par erreur et que le compte semble avoir basculé sur un autre appareil, messages qui ne partent plus, application qui se déconnecte seule, la priorité est de réagir dans les toutes premières minutes. WhatsApp propose de renvoyer un nouveau code de vérification sur le même numéro : en le saisissant à nouveau sur son propre appareil, il est généralement possible de reprendre la main sur le compte, l'ancienne session étant alors automatiquement déconnectée.

Si cette reprise en main échoue, WhatsApp permet de signaler un cas de piratage directement depuis l'application ou via son formulaire d'assistance en ligne, en précisant le numéro concerné. En parallèle, il reste indispensable d'avertir ses contacts par un autre canal, SMS classique, appel, autre réseau social, pour les alerter qu'un message venant de ce compte ne doit pas être pris en compte tant que la situation n'est pas résolue. Cette réactivité rejoint les bons réflexes détaillés dans notre guide pour repérer et éviter une arnaque en ligne, applicables bien au-delà du seul cas WhatsApp.

La meilleure protection contre cette arnaque ne demande aucune compétence technique : un seul réflexe, ne jamais transmettre un code reçu par SMS, suffit à la neutraliser entièrement.

Se protéger durablement avec la validation en deux étapes

Au-delà du réflexe ponctuel, WhatsApp propose une protection structurelle : la validation en deux étapes, activable dans les paramètres de compte de l'application. Une fois activée, elle exige un code PIN personnel à 6 chiffres, défini par l'utilisateur, en plus du code SMS à chaque nouvelle activation du compte sur un appareil. Concrètement, même si un code SMS est transmis par erreur à un pirate, celui-ci ne pourra pas finaliser l'activation sans connaître également ce PIN, qui n'est jamais envoyé par SMS et reste connu du seul titulaire du compte.

Cette double barrière est particulièrement recommandée pour les comptes utilisés à des fins professionnelles ou associatifs, où le carnet de contacts étendu démultiplie l'impact d'un piratage en cascade. Le réglage se trouve dans Paramètres > Compte > Validation en deux étapes et ne prend que quelques secondes à activer.