Le message arrive sur WhatsApp, et il vient de quelqu'un que vous connaissez. Une cousine, un ancien collègue, une amie du club. Il vous demande un petit service : voter pour la fille de ses amis, en finale d'un concours de danse. Ou pour un étudiant qui vise une bourse. Il ne manque « que quelques voix ».
Le 26 octobre, la Gendarmerie nationale a donné l'alerte sur cette arnaque. Le lendemain, Cybermalveillance.gouv.fr publiait un bulletin de vigilance : la campagne se propage par effet boule de neige, car chaque compte volé sert à piéger les contacts suivants.
Comment fonctionne le faux vote
Le lien mène à une page de concours soignée : une école de ballet, des photos, un compteur de votes très serré entre les finalistes. Pour « valider votre vote », la page vous demande votre numéro de téléphone.
Elle affiche ensuite un code, et vous explique précisément où le saisir : dans WhatsApp, menu « Appareils connectés », option de connexion avec le numéro de téléphone.
C'est là que tout se joue. Ce code n'a aucun rapport avec un vote. C'est celui que WhatsApp utilise pour ajouter un nouvel appareil à votre compte, exactement comme lorsque vous ouvrez WhatsApp sur un ordinateur. En le saisissant, vous reliez vous-même le téléphone de l'escroc à votre compte.
Ce que l'escroc fait ensuite
Une fois connecté, il voit ce que vous voyez : vos conversations, vos photos, vos groupes. Cybermalveillance.gouv.fr décrit la suite :
- il envoie le même faux vote à tous vos contacts, en votre nom, pour voler leurs comptes à leur tour ;
- il demande de l'argent à vos proches, au prétexte d'une urgence ;
- il peut vous faire chanter avec vos photos ou vos échanges privés ;
- il peut vous bloquer l'accès à votre compte et réclamer une rançon pour vous le rendre.
Pourquoi on se fait avoir
Trois raisons, et aucune n'est de la naïveté.
Le message vient d'un vrai proche. Ce n'est pas une imitation : c'est son vrai compte, simplement passé entre de mauvaises mains. Sa photo, son nom, son historique de conversation avec vous, tout est authentique.
Le service demandé est anodin. Voter ne coûte rien, et refuser paraîtrait mesquin. Personne ne se méfie d'un clic gratuit pour aider un enfant.
La procédure ressemble à une vraie vérification. Saisir son numéro, recevoir un code : c'est ce que font des dizaines de services légitimes. L'arnaque n'exploite aucune faille de WhatsApp. Elle détourne une fonction normale, et c'est vous qu'elle charge d'appuyer sur le bouton.
Le réflexe qui désamorce tout
Un vote en ligne ne demande jamais votre numéro, et encore moins un code à saisir dans WhatsApp. Si une page vous le demande, fermez-la.
Et si un proche vous envoie ce genre de lien, ne lui répondez pas sur WhatsApp pour vérifier : si son compte est piraté, c'est l'escroc qui lira votre question et vous répondra « oui, c'est bien moi ». Appelez-le, ou écrivez-lui par SMS. Vous lui rendrez service, car il ne sait probablement pas encore que son compte est volé.
Vérifiez votre compte en deux minutes
Même si vous pensez ne pas être concerné, faites ce contrôle aujourd'hui :
- Ouvrez WhatsApp, puis Appareils connectés (dans les réglages ou le menu à trois points, selon votre téléphone).
- Regardez la liste. Vous devez reconnaître chaque appareil : votre ordinateur, votre tablette.
- Un appareil inconnu ? Touchez-le, puis Se déconnecter.
Que faire si vous êtes tombé dans le piège
- Déconnectez immédiatement l'appareil inconnu depuis « Appareils connectés ». Supprimer l'application ne suffit pas : l'accès de l'escroc continuerait de fonctionner.
- Prévenez vos contacts par un autre moyen que WhatsApp (SMS, appel, autre messagerie), puisque l'escroc lit tout ce qui y passe.
- Vérifiez vos réglages : numéro de téléphone, vérification en deux étapes, adresse email de récupération, comptes Instagram ou Facebook liés.
- Si vous avez perdu l'accès à votre compte, suivez la procédure de récupération officielle de WhatsApp, et faites un diagnostic sur Cybermalveillance.gouv.fr.
Ça arrive à des personnes prudentes et bien informées : le piège est conçu pour ressembler à un geste banal. Ce qui compte, c'est d'agir vite.
Le mot de l'ingénieur
Cette arnaque illustre une règle qui vaut bien au-delà de WhatsApp : un code qu'on vous demande de saisir ou de recopier ouvre toujours une porte. Code SMS de votre banque, code de connexion, code d'appareil : avant de le saisir, demandez-vous ce qu'il ouvre. Si la réponse n'est pas « exactement l'action que je suis en train de faire moi-même », arrêtez-vous.
Pour vous entraîner à repérer ces pièges en situation, faites notre test anti-arnaque : 1 minute, sans compte.