Un message pressé, un code à six chiffres
C’est l’arnaque WhatsApp du quotidien, celle qui vise le grand public. Elle se joue en deux temps. 1
D’abord, un code à six chiffres arrive par SMS. Juste après, un « contact » le réclame, souvent avec un prétexte d’urgence.
« Désolé, je t’ai envoyé par erreur mon code de sécurité à 6 chiffres. Peux-tu me le transférer s’il te plaît. C’est urgent ! » 1
Ce contact n’est pas qui il prétend être. Son propre compte est déjà volé. Derrière, des inconnus détiennent le numéro de la victime. Ils essaient d’installer WhatsApp sur un autre téléphone. Le code à six chiffres est justement celui qui autorise cette installation. 1
Si la victime transmet le code, les voleurs prennent le compte en entier. Ils en verrouillent le propriétaire. Puis ils se font passer pour lui auprès de ses contacts, avec la même ficelle. Un compte volé sert à en voler d’autres. 1
Pourquoi ce vol de compte n’est pas une attaque « zero-click »
On colle parfois à cette arnaque l’étiquette « zero-click ». C’est l’inverse. Elle a besoin d’un geste : transmettre le code. Sans ce geste, elle échoue. C’est de la manipulation, pas une faille technique. 1
Un vrai « zero-click » ne demande rien. Il se déclenche tout seul, quand le téléphone traite une donnée qui arrive : un appel, une image, un fichier. Le piège est caché dans le code qui lit cette donnée. 8
« Ils n’ont besoin de rien de votre part pour agir, ni clic ni erreur. Ils exploitent des failles inconnues. »
Une faille inconnue, c’est un trou de sécurité que l’éditeur n’a pas encore repéré ni réparé. Ce type d’attaque existe, et il est sérieux. En 2019, une faille de la fonction d’appel de WhatsApp a servi à espionner environ 1 400 personnes. Des journalistes, des diplomates, des défenseurs des droits. 10,11 En mai 2025, un jury américain a condamné NSO, l’éditeur du logiciel espion Pegasus, à payer WhatsApp. Une première. 4
Début 2025, un autre logiciel espion, Graphite, a visé des journalistes. Sur Android, un PDF glissé dans un groupe se traitait tout seul sur le téléphone. WhatsApp a prévenu 90 personnes dans plus de 20 pays. 5 Un laboratoire de recherche a confirmé que des journalistes européens avaient aussi été touchés sur iPhone, par un autre canal. 6
À l’été 2025, deux failles enchaînées, côté WhatsApp et côté Apple, ont encore permis une attaque sans clic. WhatsApp dit avoir prévenu moins de 200 personnes. L’éditeur du logiciel espion n’a pas été identifié. 3
En janvier 2026, des chercheurs ont décrit une nouvelle faille sur Android : un média envoyé dans un groupe pouvait se télécharger seul. Aucune victime réelle n’a été établie. C’est un risque documenté, pas une attaque prouvée, et le correctif est en cours. 7
Un point revient dans tous ces cas : les cibles sont rares et choisies. L’autorité cyber de l’État a recensé six vagues d’alertes entre mars 2025 et février 2026. Elles visaient des journalistes, des hauts fonctionnaires, des élus, des avocats, des dirigeants de secteurs sensibles. Ces campagnes visent l’iPhone en général, pas seulement WhatsApp. 8 Jamais la foule des utilisateurs. Environ 1 400 personnes en 2019, 90 début 2025, moins de 200 à l’été 2025.
La parade simple contre le vol de compte
Contre l’arnaque au code, la défense est courte et efficace. Elle tient parce que l’attaque a besoin de l’action de la victime.
Premier réflexe : activer la vérification en deux étapes dans WhatsApp. Elle ajoute un code personnel, un PIN à six chiffres, plus une adresse e-mail de secours. Même avec le numéro, un voleur ne connaît pas ce code. Sans e-mail de secours, un PIN oublié impose une attente de sept jours avant de pouvoir le remettre à zéro. 1
Deuxième réflexe : ne jamais transmettre un code reçu par SMS. À personne. Même à un proche qui dit que c’est urgent. Un code de connexion ne se partage pas. 1
Troisième réflexe : vérifier qui demande, sur un autre canal. Rappeler de vive voix. Poser une question dont seul le vrai proche a la réponse. 1,2
Si le compte est déjà pris, les réflexes officiels sont connus. Changer le mot de passe au plus vite. Activer la double authentification. Vérifier la liste des connexions et couper celles qu’on ne reconnaît pas. Si l’accès est bloqué, saisir le service concerné et porter plainte en ligne, via la plateforme THESEE du ministère de l’Intérieur. 2
Contre le vrai « zero-click », réduire la surface
Face à une attaque qui se déclenche seule, aucun geste ne ferme tout. Plusieurs réduisent les risques.
Tenir WhatsApp et le téléphone à jour. Un correctif referme une faille une fois qu’elle est connue, comme ceux de l’été 2025. La limite est claire : une faille inconnue n’est pas couverte tant qu’elle n’a pas été repérée. C’est quand même la mesure la plus utile. 3,8
Couper le téléchargement automatique des médias. Et restreindre qui peut ajouter un compte à un groupe, en passant le réglage de « tout le monde » à « mes contacts ». Ces deux gestes cassent le vecteur du fichier qui s’analyse seul. Ce sont les conseils des chercheurs qui ont trouvé la faille de janvier 2026. 7
Sur iPhone, il existe un mode Isolement. C’est une protection extrême, pensée pour les très rares profils exposés. Apple affirme ne connaître aucune attaque réussie contre un appareil qui l’a activé. C’est la parole du fabricant, pas une garantie. Et ce mode gêne l’usage courant : il bloque la plupart des pièces jointes, limite le web et les appels. 9
Redémarrer le téléphone régulièrement. Certains logiciels espions ne survivent pas à un redémarrage. 8
Dernier cas, rare : recevoir une alerte de menace d’Apple. Le réflexe officiel est de contacter aussitôt l’autorité cyber de l’État, de garder l’e-mail d’alerte, et de ne rien effacer ni réinitialiser, pour préserver les traces. 8
Ce qui protège le plus de monde
Reste une vérité qu’aucune astuce ne gomme. Contre une faille inconnue, exploitée par un État ou une entreprise déterminés, un utilisateur ordinaire ne peut pas se protéger à cent pour cent. Mais il n’en est presque jamais la cible. Apple le dit : la plupart des gens ne sont jamais visés par ce genre d’attaque. 9 Les chiffres le confirment : moins de 200 personnes pour la dernière campagne connue. 3
Le geste qui protège le plus de monde reste le plus banal. Activer la vérification en deux étapes. Ne jamais transférer un code. Deux minutes suffisent. Ce geste bloque l’attaque qui vise, elle, le grand nombre. 1