Arnaque WhatsApp : les scénarios à connaître et la parade

WhatsApp n’est pas une application peu sûre. Ses messages sont chiffrés de bout en bout, et personne ne lit vos conversations en transit. Le problème est ailleurs : les escrocs n’attaquent pas le chiffrement, ils attaquent la confiance. Un message qui semble venir d’un enfant, d’un conseiller ou d’un ami suffit à faire faire à la victime ce qu’aucun logiciel malveillant n’obtiendrait.

Arnaque WhatsApp : pourquoi la messagerie attire les escrocs

Trois caractéristiques de la messagerie expliquent qu’elle soit devenue le terrain favori de l’ingénierie sociale.

La première tient à l’identité. Sur WhatsApp, un compte, c’est un numéro de téléphone. Il n’y a ni mot de passe à saisir ni adresse à vérifier : celui qui contrôle le numéro et reçoit le code d’activation contrôle le compte. Voler un compte revient donc à obtenir un code de six chiffres, rien de plus.

La deuxième tient au réseau. Un compte volé donne accès au carnet d’adresses et aux groupes de la victime. L’escroc n’écrit plus à des inconnus : il écrit, avec la photo et le nom d’une personne réelle, à des gens qui la connaissent. Le taux de réussite n’a rien à voir avec celui d’un mail de masse.

La troisième tient à l’usage. On lit un message WhatsApp en quelques secondes, souvent en faisant autre chose, et l’on répond vite. Les escroqueries jouent sur cette vitesse : urgence, émotion, demande simple. Le même piège envoyé par mail serait regardé à deux fois, avec les réflexes décrits dans notre guide pour reconnaître un mail de phishing.

Le chiffrement empêche aussi la plateforme de filtrer le contenu des messages. Elle ne repère que des comportements : comptes créés en série, envois massifs, signalements.

Les dix escroqueries qui circulent en 2026

Les scénarios changent de décor chaque année, rarement de mécanique. Voici ceux que l’on retrouve dans les signalements, avec la première phrase typique et ce que l’escroc cherche réellement à obtenir.

Dans huit cas sur dix, l’escroc demande une action que l’on peut refuser sans rien perdre : envoyer un code, cliquer, payer, partager son écran. C’est le moment de s’arrêter.

Le faux proche qui a changé de numéro

C’est l’arnaque la plus répandue auprès des parents et des grands-parents, et la plus simple. Un numéro inconnu écrit : « Coucou maman, j’ai perdu mon téléphone, voici mon nouveau numéro, enregistre-le. » Pas de prénom, pas de détail. La victime complète elle-même : « C’est toi, Julie ? » L’escroc n’a plus qu’à répondre oui.

Quelques messages plus tard vient la demande. Une facture à régler avant ce soir, un loyer, un achat bloqué parce que la nouvelle application bancaire n’est pas encore active. Le montant reste plausible, souvent entre 500 et 2 000 €. Le bénéficiaire du virement n’est jamais l’enfant : c’est « un ami », « le propriétaire », « le vendeur ».

Le signal qui ne trompe pas est le refus de parler. L’escroc invoque un micro cassé, une réunion, un lieu bruyant. Un vrai proche, lui, accepte un appel de dix secondes.

Comment un code à six chiffres suffit à voler un compte ?

Pour activer WhatsApp sur un téléphone, il faut saisir un code à six chiffres envoyé par SMS au numéro du compte. Ce code est la clé du compte. L’escroc lance donc une activation de VOTRE numéro sur SON téléphone, ce qui déclenche l’envoi du code… sur le vôtre. Il ne lui reste qu’à vous le faire répéter.

Les prétextes varient :

• un contact, dont le compte est déjà piraté, prétend vous avoir envoyé un code par erreur ;
• un faux organisateur de jeu ou de vote vous demande le code « pour valider votre participation » ;
• un faux agent du support affirme que le code sert à « sécuriser » votre compte.

Dès que le code est saisi ailleurs, votre application se déconnecte. L’escroc récupère votre nom, votre photo, vos groupes. S’il active à son tour la vérification en deux étapes avec un code PIN que vous ignorez, il vous empêche de reprendre la main pendant plusieurs jours. Pendant ce temps, il écrit à vos contacts avec votre identité : l’usurpation d’identité alimente la fraude suivante.

La protection est la même que pour tout compte en ligne : un second facteur que l’escroc ne peut pas vous soutirer par un simple message. Notre article sur la double authentification explique pourquoi un code PIN ou une application vaut mieux qu’un SMS seul.

Partage d’écran : la fraude du faux conseiller

Depuis que WhatsApp permet de partager son écran pendant un appel vidéo, une variante coûteuse s’est développée. Un faux conseiller bancaire, un faux agent de la plateforme de vente ou un faux technicien vous appelle, souvent après un premier contact par SMS. Il signale une opération frauduleuse et propose de vous « guider » pour l’annuler.

Pour cela, il demande d’activer le partage d’écran. À partir de ce moment, il voit tout ce qui s’affiche : les notifications, les codes reçus par SMS, l’application bancaire que vous ouvrez sur ses conseils. Il vous fait valider une opération présentée comme une annulation, qui est en réalité un virement ou l’ajout d’un nouveau téléphone de confiance. Certaines variantes demandent d’installer une application de prise en main à distance, ce qui donne à l’escroc le contrôle total de l’appareil.

La règle ne souffre aucune exception : aucune banque, aucun service public, aucune plateforme ne vous demande de partager votre écran. Raccrochez, puis rappelez votre banque au numéro inscrit au dos de votre carte. Si un doute subsiste sur un logiciel installé pendant l’appel, les vérifications utiles sont décrites dans notre article sur le téléphone espionné.

Faux emplois et groupes d’investissement

Les deux arnaques se ressemblent et s’enchaînent souvent. Tout commence par un message d’un numéro étranger, parfois au nom d’un cabinet de recrutement réel : un travail à domicile, quelques minutes par jour, rémunéré 50 à 200 € pour liker des vidéos ou noter des hôtels.

Les premières tâches sont vraiment payées, quelques euros, pour installer la confiance. Puis la victime rejoint un groupe où d’autres « employés » publient leurs gains. Arrive l’étape « premium » : pour débloquer des missions mieux payées, il faut déposer de l’argent. Les gains affichés grimpent sur une plateforme qui n’existe que pour ça, et le retrait devient impossible, sauf à payer des « frais » ou une « taxe ».

La version investissement suit le même schéma. Vous êtes ajouté à un groupe animé par un prétendu professeur, parfois sous le nom et la photo d’un économiste ou d’une personnalité connue. Les membres, complices ou faux comptes, postent des captures de résultats obtenus sur de fausses plateformes. On vous propose un premier placement modeste, puis plus important.

Trois signes doivent suffire : un rendement promis, un contact non sollicité, une plateforme inconnue des listes officielles. L’Autorité des marchés financiers publie la liste noire des sites non autorisés, et tout intermédiaire en investissement doit figurer dans les registres officiels.

Repérer un faux profil en trente secondes

Un faux compte laisse presque toujours des traces. Avant de répondre à un message inattendu, passez-le à ce crible :

1. L’indicatif. Un numéro en +44, +62 ou +234 qui se présente comme un proche ou une banque française doit alerter. Un numéro français ne prouve rien pour autant.
2. Le premier message. Pas de prénom, un « coucou » générique, ou au contraire une familiarité excessive pour un premier contact.
3. L’urgence. Une échéance « avant ce soir », une menace de blocage, une offre limitée.
4. Le refus de l’oral. Micro en panne, réunion, pas le temps : l’escroc évite la voix, qui trahirait l’usurpation.
5. La photo. Une recherche d’image inversée retrouve souvent la même photo sur d’autres profils.
6. Le canal de paiement. Virement vers un tiers, carte prépayée, cryptoactifs : trois moyens de paiement difficiles à contester.

Deux de ces signes réunis suffisent pour bloquer et signaler le compte depuis la conversation : WhatsApp reçoit alors les derniers messages et peut le fermer.

Cinq réglages qui ferment la porte

Ces réglages prennent cinq minutes et coupent la plupart des scénarios décrits plus haut. Les libellés peuvent varier légèrement selon la version.

Le premier est de loin le plus utile. Avec un code PIN, même un code d’activation soutiré ne suffit plus : l’escroc bute sur le second verrou. Choisissez un PIN différent du code de votre carte bancaire et de celui du téléphone, et rangez-le dans un gestionnaire de mots de passe.

Là où l’option est proposée, une clé d’accès remplace aussi la réception du code par SMS pour se reconnecter sur un nouveau téléphone. Le principe est expliqué dans notre article sur la clé d’accès sans mot de passe.

Que faire si vous êtes tombé dans le piège ?

Tout dépend de ce que l’escroc a obtenu. Dans les trois cas, agissez dans l’heure.

Vous avez donné votre code de vérification. Rouvrez WhatsApp et réactivez votre numéro : le code reçu par SMS déconnecte l’autre appareil. Activez aussitôt la vérification en deux étapes, puis prévenez vos contacts par un autre canal que le compte volé.

Vous avez partagé votre écran ou installé une application. Coupez l’appel, désinstallez l’application, mettez le téléphone en mode avion. Appelez votre banque depuis un autre appareil pour bloquer les opérations, puis changez les mots de passe de vos comptes sensibles depuis un appareil sain. La démarche par type de données exposées est détaillée dans notre guide sur les réflexes après une fuite de données.

Vous avez envoyé de l’argent. Contactez votre banque immédiatement pour demander un rappel du virement, et faites opposition si la carte a été communiquée. Pour une opération que vous n’avez pas autorisée, le Code monétaire et financier vous laisse 13 mois pour la contester, mais plus l’alerte est rapide, plus les chances de récupérer les fonds sont réelles. Un virement que vous avez validé vous-même est plus difficile à récupérer. D’où l’intérêt de réagir vite après un paiement douteux.

Dans tous les cas, portez plainte. La plateforme en ligne THESEE du ministère de l’Intérieur accepte les plaintes pour escroquerie sur internet, et le service 17Cyber oriente les victimes vers la bonne démarche. Conservez les captures d’écran des conversations, le numéro de l’escroc et les références des virements : sans eux, la plainte a peu de chances d’aboutir.

Récupérer un compte WhatsApp piraté

La récupération est presque toujours possible, parce que le compte reste attaché à votre numéro. Le délai dépend d’une seule chose : l’escroc a-t-il activé la vérification en deux étapes avant vous ?

1. Réactiver le numéro. Réinstallez ou rouvrez WhatsApp, saisissez votre numéro et le code reçu par SMS. Si l’escroc n’a pas posé de PIN, le compte revient en quelques minutes et son appareil est déconnecté.
2. Si un PIN inconnu est demandé. WhatsApp impose un délai de 7 jours avant de pouvoir réactiver le compte sans ce code. Pendant ce délai, l’escroc est lui aussi déconnecté dès que vous avez validé le code SMS.
3. Écrire au support. Un mail à support@whatsapp.com avec la mention « Téléphone perdu/volé : veuillez désactiver mon compte » et le numéro au format international (+33…) permet de demander la désactivation temporaire.
4. Prévenir vos contacts. Par SMS, appel ou un autre réseau : ne répondez à aucune demande d’argent venue de votre compte.
5. Verrouiller. Une fois le compte récupéré, activez la vérification en deux étapes avec une adresse mail de récupération, et contrôlez les appareils connectés.

Sans réactivation dans les 30 jours, un compte désactivé à la demande du titulaire est supprimé.

Ouvrez WhatsApp maintenant et activez la vérification en deux étapes avec une adresse de récupération : c’est deux minutes. Passez ensuite les groupes en « Mes contacts » et coupez les appels inconnus. Puis parlez de l’arnaque au faux enfant à vos parents, avec la question de famille à poser en cas de doute.

Yann Deverre

Douze ans de développement web, en agence puis chez un éditeur de logiciels, avant de passer à l'écriture. Il explique le numérique en partant du mécanisme, et teste avant d'affirmer.