Arnaque WhatsApp : le faux vote de concours qui prend le contrôle du compte

Un message WhatsApp arrive d'un prénom déjà connu. Il demande une minute pour voter, souvent pour un enfant, dans un concours de danse ou d'école. Le lien ouvre un site d'apparence soignée. Ce site demande le numéro de téléphone, puis un code, ou bien un scan. Ce n'est pas un vote. C'est une prise de contrôle du compte WhatsApp, documentée en octobre 2026 par l'Office fédéral de la cybersécurité suisse, l'OFCS, et par Safeonweb, le site de sensibilisation du gouvernement belge.

L'alerte de l'OFCS, publiée le 27 octobre 2026 pour la semaine 43, parle d'une nouvelle vague. Rien qu'en octobre 2026, l'office a reçu plus de 50 signalements de comptes WhatsApp volés ou piratés par ce procédé. La plupart des tentatives signalées ont abouti. Safeonweb, le 21 octobre 2026, écrit que l'arnaque circulait déjà dans les pays voisins et venait d'apparaître en Belgique. Les deux textes décrivent le même enchaînement. Aucun des deux n'est une statistique française.

Le message vient d'un contact déjà enregistré

L'attaque commence par un contact déjà présent dans le téléphone. Son compte a été pris avant. Le message profite donc de la confiance du fil de discussion : la photo, le prénom, l'historique des échanges. L'OFCS imprime un exemple, à lire comme un modèle, pas comme un fait divers identifié : « Salut ! Pourrais-tu s'il te plaît soutenir la fille de mon ami en votant pour elle ? Elle s'appelle Sophie. Les votes se terminent bientôt et ça te prendra moins d'une minute. »

L'urgence et le lien avec un enfant font le reste. Pour passer les filtres des messageries, les liens utilisent une multitude de domaines, c'est-à-dire d'adresses de sites, qui changent. L'OFCS ne publie pas une liste stable d'adresses à bloquer. Safeonweb précise que le message semble fiable précisément parce qu'il vient d'une personne connue, et que cette personne peut déjà ne plus tenir son compte.

L'OFCS indique que la méthode n'est pas nouvelle : une information avait déjà été publiée au printemps 2026. La hausse d'octobre montre, selon l'office, que le procédé s'est installé. Cette page du printemps n'est pas reprise ici.

Deux méthodes : le code à six chiffres, ou le carré à scanner

Le site imite un concours, scolaire ou de danse, selon l'OFCS. Deux techniques sont décrites.

La première passe par un code reçu par SMS. Un SMS est un texto. La page demande le numéro de portable, puis ce code. Il s'agit du code d'enregistrement officiel de WhatsApp, composé de six chiffres. Il sert normalement à prouver, auprès de WhatsApp, que la personne qui installe l'application possède bien ce numéro. Saisi sur la fausse page, il permet aux escrocs d'activer le compte sur leur propre appareil. Safeonweb formule la même étape autrement : après le numéro, un code de vérification est demandé pour être saisi dans WhatsApp, afin d'associer le compte à l'ordinateur des escrocs. Les deux descriptions se rejoignent sur le résultat. Le code qui arrive sur le téléphone n'est pas une confirmation de vote.

La seconde passe par un code QR, le carré à scanner avec l'appareil photo. Le site demande de l'ouvrir avec la fonction « Appareils connectés » de WhatsApp. Cette fonction sert en temps normal à ouvrir WhatsApp Web, la version de WhatsApp dans un navigateur, sur un ordinateur à soi. Le scan relie le compte au système des escrocs. L'OFCS souligne que la personne peut ne même pas remarquer que le compte est utilisé par quelqu'un d'autre : le téléphone continue d'afficher les conversations.

Ce que le compte pris permet

Quand l'attaque réussit, l'OFCS parle d'un contrôle total : historique des conversations, groupes, photos, informations échangées. Le même message de vote est ensuite envoyé à tout le carnet d'adresses. Chaque nouveau compte pris devient un expéditeur crédible. C'est ainsi que les deux alertes décrivent la propagation. Safeonweb ajoute que les escrocs peuvent modifier les paramètres du compte, pas seulement envoyer des messages.

Ouvrir la page sans rien saisir n'équivaut pas, selon Safeonweb, à un compte déjà compromis. Un compte compromis est un compte pris par quelqu'un d'autre. La consigne est de fermer le site et de ne communiquer aucune information. Le pas qui compte est le code, ou l'association d'un appareil.

Ce que les deux alertes demandent

L'OFCS demande de se méfier des invitations à voter ou à participer à un jeu-concours « via Messenger », même si l'expéditeur est connu. Le mot Messenger n'est pas défini sur la page, dont tout le récit porte sur WhatsApp. En cas de doute, le contact se vérifie par un autre canal, et il est possible de lui dire que des messages partent en son nom.

Le code à six chiffres ne se transmet pas, et ne se saisit pas sur un site inconnu. « Appareils connectés » ne sert qu'à relier un appareil à soi, par exemple son propre ordinateur. Un QR affiché par un site de vote ne se scanne pas.

La protection citée par l'OFCS est la vérification en deux étapes : Paramètres, puis Compte, puis Vérification en deux étapes. Un code PIN, c'est-à-dire un code secret choisi par la personne, est alors exigé pour une nouvelle connexion. Safeonweb donne la même consigne, sans réécrire le chemin de menus, et demande en Belgique de transférer le message suspect à suspect@safeonweb.be. Cette adresse est celle du dispositif belge. Elle ne remplace pas un signalement en France.

La page Cybermalveillance.gouv.fr/signalement oriente un signalement vers la plateforme compétente. Elle ne contient pas, dans ce qui a été lu pour cette rédaction, de fiche propre à cette vague de faux votes.

Si le compte est déjà pris

Les deux sites distinguent les gestes selon ce qui a été fait.

Après un scan, si l'application s'ouvre encore sur le téléphone : Paramètres, Appareils connectés, puis déconnexion des navigateurs et ordinateurs inconnus. L'OFCS écrit « Déconnexion ». Safeonweb dit de retirer tout appareil non reconnu.

Après un code SMS, si le téléphone a été déconnecté : se reconnecter avec le numéro. Un nouveau code à six chiffres arrive par SMS. L'OFCS écrit que les pirates sont déconnectés dès que ce nouveau code est saisi dans l'application. Exception : s'ils ont eu le temps de poser un PIN de vérification en deux étapes que la personne ne connaît pas, il faut attendre sept jours pour se reconnecter sans ce PIN. Pendant ce délai, précise l'OFCS, le compte est désactivé pour les escrocs.

Dans les deux cas, les contacts doivent être prévenus par un autre canal — appel, SMS, autre messagerie — que des liens peuvent partir du compte. Leur demander de les ignorer limite la suite des prises de contrôle.

Safeonweb ajoute : si le réenregistrement avec le numéro échoue, suivre la procédure de récupération de compte de WhatsApp. Le détail de cette procédure n'est pas recopié sur la page belge.

Ce que les alertes mesurent

Le faux concours ne demande pas, dans les alertes d'octobre, de carte bancaire. Il demande la preuve que le téléphone est bien celui de la personne, puis il s'en sert pour écrire à sa place. Reconnaître l'expéditeur ne suffit plus : l'expéditeur est un compte déjà pris.

Les chiffres solides, à cette date, sont suisses : plus de cinquante signalements en octobre 2026 à l'OFCS, la plupart aboutis. La Belgique décrit une arrivée récente, après les pays voisins, sans tableau de cas. Pour la France, cette rédaction n'a pas de communiqué équivalent à citer. La mécanique, elle, ne dépend pas du pays : un code WhatsApp ou un QR d'appareil connecté, demandé par une page de vote, n'a pas de motif légitime dans les textes de l'OFCS et de Safeonweb.