« Je t'ai envoyé un code par erreur » : comment on vole votre WhatsApp

Vous recevez un SMS avec un code à six chiffres que vous n'avez pas demandé et, presque en même temps, un message d'un ami, de quelqu'un du groupe des parents d'élèves ou d'un « technicien WhatsApp » : « Désolé, je t'ai envoyé un code par erreur, tu peux me le renvoyer ? ». Cela ressemble à un petit service sans importance, mais ce code est la clé de votre compte. Si vous l'envoyez, quelqu'un d'autre enregistrera votre numéro WhatsApp ou Telegram sur son propre téléphone, vous perdrez l'accès et le fraudeur commencera à écrire à tous vos contacts en se faisant passer pour vous. La règle est simple et ne souffre aucune exception : un code de vérification ne se partage jamais, avec personne.

Comment fonctionne le vol de compte ?

WhatsApp et Telegram identifient votre compte grâce à votre numéro de téléphone. Quand quelqu'un installe l'application sur un nouveau téléphone et saisit un numéro, le service envoie un code par SMS (ou par appel, ou dans l'application elle-même) au téléphone du titulaire pour vérifier qu'il lui appartient. Le fraudeur a besoin exactement de ce que vous venez de recevoir.

Le scénario suit généralement ces étapes :

1. Le fraudeur saisit votre numéro sur son téléphone et lance l'inscription. Vous recevez le SMS officiel avec le code.
2. Il vous écrit pour le demander. Souvent depuis le compte d'un vrai contact déjà piraté, c'est pourquoi le message vient de quelqu'un de confiance. D'autres fois, il se présente comme le support de WhatsApp, l'organisateur d'un jeu-concours ou d'un vote, ou quelqu'un qui « s'est trompé de numéro ».
3. Il met la pression. « C'est urgent », « mon compte va être bloqué », « ça prend une seconde ».
4. Si vous envoyez le code, le compte passe sur son téléphone. Votre WhatsApp se déconnecte, et il active souvent sa propre vérification en deux étapes pour que vous ne puissiez pas le récupérer facilement.
5. Il utilise votre identité. Il écrit à vos contacts et à vos groupes pour demander de l'argent en urgence, un virement ou un paiement instantané (en Espagne, souvent via Bizum, le service de paiement mobile) ou, encore une fois, « le code que je t'ai envoyé par erreur ». Ainsi la chaîne continue.

Quels sont les signaux d'alerte ?

• Vous recevez un code que vous n'avez pas demandé. C'est le signe le plus clair : quelqu'un essaie d'entrer dans votre compte.
• Le SMS dit littéralement de ne pas le partager. Les messages officiels de WhatsApp, Telegram, de votre banque et de presque tous les services le précisent.
• On vous le demande par message, même un ami. Personne ne peut vous « envoyer par erreur » un code de son propre compte : les codes arrivent toujours au numéro en cours d'enregistrement.
• Le « support technique » vous écrit. WhatsApp et Telegram ne vous demanderont jamais un code par message, par SMS ou par téléphone.
• Il y a urgence ou une excuse bizarre : un concours, un vote, un compte qui « va être bloqué ».

Que faire tout de suite si on me le demande ?

1. Ne transférez pas le code et ne le dictez pas au téléphone. Pas même une partie.
2. Vérifiez par un autre canal. Si le message vient d'un contact, appelez-le à son numéro habituel ou demandez-lui en personne. Son compte a très probablement déjà été piraté ; prévenez-le.
3. Activez dès maintenant la vérification en deux étapes (voir plus bas). Avec elle, même si quelqu'un obtient un code, il lui faudra aussi un code PIN que vous seul connaissez.
4. Bloquez et signalez la conversation depuis l'application. Si le message venait d'un numéro inconnu, vous pouvez aussi le signaler dans l'annuaire des numéros spam.
5. Prévenez les autres : si le compte d'un ami est usurpé, dites-le dans votre groupe commun pour que personne d'autre ne tombe dans le piège.

Comment activer la vérification en deux étapes ?

C'est la mesure la plus efficace contre cette fraude, et elle s'active en une minute :

• WhatsApp : Paramètres Compte Vérification en deux étapes Activer. Choisissez un code PIN à six chiffres que vous n'utilisez nulle part ailleurs et ajoutez une adresse e-mail pour pouvoir le réinitialiser en cas d'oubli.
• Telegram : Paramètres Confidentialité et sécurité Validation en deux étapes. Créez un mot de passe et ajoutez un e-mail de récupération.

Ne partagez pas non plus ce PIN ni ce mot de passe. Les menus peuvent varier légèrement selon la version de l'application, mais l'option porte toujours ce nom. Profitez-en pour vérifier les appareils connectés (WhatsApp : Paramètres Appareils connectés ; Telegram : Paramètres Appareils) et fermer toute session que vous ne reconnaissez pas.

Et si j'ai déjà envoyé le code ?

Agissez vite. Plus tôt vous réagissez, plus il est facile de récupérer le compte :

1. Réenregistrez votre numéro sur votre téléphone. Ouvrez WhatsApp, saisissez votre numéro et validez-le avec le nouveau code reçu par SMS. Ce faisant, la session du fraudeur est fermée.
2. Si l'application demande un PIN que vous ne connaissez pas, c'est que le fraudeur a activé sa propre vérification en deux étapes. Il ne pourra pas vous empêcher indéfiniment de récupérer le compte : après un délai d'attente de plusieurs jours, WhatsApp permet de le réenregistrer sans ce PIN. En attendant, écrivez au support depuis l'application (Paramètres Aide) en expliquant que votre compte a été volé.
3. Sur Telegram, connectez-vous avec votre numéro, allez dans Paramètres Appareils et touchez « Fermer toutes les autres sessions ». Activez ensuite votre mot de passe de validation en deux étapes.
4. Prévenez vos contacts par un autre moyen (SMS, appel, réseaux sociaux ou via des proches) : « On m'a volé mon WhatsApp, ignorez tout message de ma part demandant de l'argent ou des codes ».
5. Si le code venait de votre banque ou d'une application de paiement, appelez immédiatement le numéro officiel de votre banque (celui au dos de votre carte ou sur son site) pour bloquer les opérations.
6. Conservez des preuves : captures d'écran des messages, numéro qui vous a contacté et heure.

Où porter plainte et à qui demander de l'aide ?

• Police : en Espagne, la Policía Nacional (091) ou la Guardia Civil (062) ; ailleurs, la police ou la gendarmerie de votre pays. Portez plainte avec les captures d'écran, surtout si votre identité a été usurpée ou si quelqu'un a perdu de l'argent. Avoir envoyé le code ne fait pas de vous un coupable : vous êtes victime d'une tromperie.
• Assistance en cybersécurité : en Espagne, la ligne 017 de l'INCIBE est gratuite et confidentielle ; elle vous guide pas à pas pour récupérer le compte et sécuriser vos appareils, et l'Office de sécurité de l'internaute (OSI) de l'INCIBE publie des guides pour configurer WhatsApp et Telegram en toute sécurité. Ailleurs, adressez-vous à l'agence nationale de cybersécurité ou au service officiel d'assistance aux victimes de cybermalveillance.
• 112 : uniquement en cas d'urgence ou de menace immédiate (112 est le numéro d'urgence européen ; ailleurs, utilisez le numéro d'urgence local).

Si l'un de vos contacts a reçu une demande d'argent en votre nom, lisez aussi comment fonctionne l'arnaque de l'enfant en difficulté sur WhatsApp : c'est la suite habituelle de ce vol.

Questions fréquentes

J'ai reçu un code que je n'ai pas demandé, mais je ne l'ai donné à personne. Suis-je en danger ? Non. Sans le code, ils ne peuvent pas entrer. Cela signifie que quelqu'un a essayé votre numéro ; ignorez le SMS, ne répondez à personne qui vous le demande et activez la vérification en deux étapes.

C'est un vrai ami qui me l'a demandé, comment serait-ce une arnaque ? Parce que la personne qui écrit n'est probablement pas votre ami, mais celle qui lui a volé son compte. Appelez-le avant de faire quoi que ce soit.

Peuvent-ils lire mes anciennes conversations ? En général, l'enregistrement du compte sur un nouveau téléphone ne télécharge pas vos anciennes discussions s'ils n'ont pas accès à votre sauvegarde. En revanche, ils peuvent écrire en votre nom et voir les nouveaux messages qui arrivent tant qu'ils contrôlent le compte.

Est-ce utile de changer de numéro ? Ce n'est pas nécessaire. Il suffit de récupérer le compte et d'activer la vérification en deux étapes.

En résumé

Un code reçu par SMS vous appartient, à vous et à personne d'autre : ni aux amis, ni au « support technique », ni aux concours. Si on vous le demande, ne l'envoyez pas, vérifiez par un autre canal et activez la vérification en deux étapes. Si vous l'avez déjà envoyé, réenregistrez votre numéro, prévenez vos contacts et portez plainte. Et si la tentative venait d'un numéro inconnu, signalez-le dans l'annuaire des numéros spam de NoCall pour que d'autres le reconnaissent à temps.