Arnaque au vote WhatsApp : deux ruses, deux sorties
L'Office fédéral de la cybersécurité signale plus de 50 annonces en octobre. Pourquoi un expéditeur familier ne protège pas et pourquoi le type d'accès détermine la réaction.
La demande paraît anodine : une personne de sa propre liste de contacts a besoin d'une voix pour un concours. Derrière, il peut toutefois y avoir une attaque contre le compte WhatsApp. Le 27 octobre 2026, l'Office fédéral de la cybersécurité (OFCS) met en garde contre une nouvelle vague de tels messages. Selon ses propres indications, il a reçu plus de 50 signalements de ce procédé au cours du mois en cours.
Ce chiffre décrit les annonces adressées à l'office fédéral, et non l'ensemble des attaques en Suisse. On ne peut en tirer ni taux de réussite ni somme totale représentative des dommages. Ce qui est confirmé, c'est la mécanique observée : les auteurs exploitent la confiance entre connaissances et amènent les destinataires à activer eux-mêmes des fonctions de sécurité au profit d'un accès étranger.
Le contact familier peut déjà être sous contrôle
Selon l'OFCS, les messages d'appât proviennent de comptes déjà compromis. Ils renvoient à un prétendu concours scolaire ou de danse et créent une pression temporelle. Le nom inscrit dans le répertoire ne prouve donc pas que c'est bien la personne connue qui écrit. Une demande formulée avec amabilité n'est pas non plus une garantie technique de sécurité.
Le lien mène à une page de vote falsifiée. Là, les voies d'attaque divergent. Dans la première variante, on doit saisir son numéro de téléphone puis un code SMS. Il s'agit en réalité du code d'inscription à six chiffres de WhatsApp. Il ne confirme aucun vote de concours, mais peut permettre l'installation du compte sur un autre appareil.
Dans la seconde variante, il faut scanner un code QR avec la fonction « Appareils connectés » de WhatsApp. Cette fonction est légitime, par exemple pour l'utiliser sur son propre ordinateur. Sur la page frauduleuse, elle relie toutefois le compte à un appareil des attaquants. Le téléphone personnel peut continuer à fonctionner normalement. L'absence de perte de compte ne constitue donc pas un feu vert.
Tout accès ne dévoile pas l'ensemble des anciennes discussions
La distinction porte aussi sur les conséquences. L'OFCS met en garde de manière générale contre l'accès aux messages et aux médias. WhatsApp précise en revanche qu'une simple nouvelle inscription sur un nouvel appareil ne rend pas automatiquement lisibles les conversations antérieures : les messages sont enregistrés sur l'appareil précédent. Cette précision sur la réinscription ne vaut pas feu vert pour un appareil lié en plus.
Affirmer de façon générale que tout code SMS volé ouvre forcément l'intégralité de l'historique des discussions serait donc excessif. L'usurpation d'identité reste en revanche pertinente : d'autres contacts peuvent être sollicités sous le nom familier. On ne peut pas établir, à partir de la seule description de l'arnaque, quelles données ont été accessibles dans un cas précis.
Il n'est donc pas question d'une faille de chiffrement démontrée, mais d'un détournement des fonctions d'inscription et de liaison. C'est important pour la classification : une conversation techniquement chiffrée ne protège pas contre le fait de laisser entrer le mauvais participant dans son propre compte. L'avertissement fédéral ne prouve pas non plus que tous les messages contenant un lien de concours soient frauduleux.
Que faire en cas de soupçon
Qui peut encore ouvrir l'application devrait vérifier les appareils connectés sous « Appareils connectés » et déconnecter les entrées inconnues. C'est précisément ce pas que recommande l'OFCS pour la variante QR. Ce qui compte, c'est la liaison réellement existante — pas seulement la suppression du message frauduleux ou de la fenêtre de navigateur ouverte.
Après une réinscription étrangère, la procédure officielle de récupération passe par son propre numéro de téléphone et un nouveau code d'inscription dans l'application WhatsApp. Selon l'exploitant, les autres appareils connectés sont déconnectés après la nouvelle inscription effectuée avec ce code. Un code PIN inconnu de la vérification en deux étapes peut néanmoins déclencher un délai d'attente de sept jours. C'est justement dans ce cas qu'il ne faut pas transmettre le code reçu à de prétendus aidants.
En parallèle, il faut avertir ses contacts par téléphone, SMS ou un autre canal indépendant. Une question posée dans la discussion peut-être reprise ne confirme pas de manière fiable l'identité de l'expéditeur. À titre préventif, la Confédération recommande la vérification en deux étapes. Elle complète la protection ; elle ne transforme pas pour autant en acte sûr une liaison volontairement approuvée avec un appareil étranger.
Pour les utilisatrices et utilisateurs suisses, la limite décisive ne passe donc pas entre noms connus et inconnus, mais entre un message et l'autorisation qu'il exige. Une voix pour un concours n'a besoin ni d'un code d'inscription WhatsApp ni d'une liaison avec son propre compte. Qui respecte cette limite interrompt la chaîne avant que ses propres contacts ne deviennent à leur tour des cibles.
Sources
- OFCS : rétrospective hebdomadaire 43, nouvelle vague de faux votes WhatsApp, 27 octobre 2026
- WhatsApp : récupération d'un compte compromis
- WhatsApp : inscription et vérification en deux étapes
- OFCS : avertissement antérieur contre l'arnaque au vote, 26 mai 2026
- Image de titre : microsiervos, WhatsApp, Wikimedia Commons
- Licence de l'image de titre : CC BY 2.0
- Image de l'article : Helar Lukats, Whatsapp texting, Wikimedia Commons
- Licence de l'image de l'article : CC BY-SA 4.0
