Comptes WhatsApp piratés via de faux concours : ce que doivent faire les PME

« Salut, vote pour la fille de mon ami, elle s'appelle Sofia, ça prend moins d'une minute. » Un message de ce type, envoyé par un contact du carnet d'adresses, est le début d'une arnaque décrite par l'Office fédéral de la cybersécurité (OFCS) dans sa rétrospective de la semaine 43, publiée le 27 octobre 2026. Rien qu'en octobre, l'OFCS a reçu plus de 50 signalements de comptes WhatsApp volés ou manipulés de cette manière, souvent avec succès.

La méthode n'est pas nouvelle : l'OFCS l'avait déjà décrite dans sa rétrospective de la semaine 21 en mai 2026. La hausse actuelle des cas montre qu'elle fonctionne. Pour les PME tessinoises, qui utilisent souvent WhatsApp avec leurs clients, leurs fournisseurs et leurs équipes sur le terrain, le problème n'est pas seulement privé.

Comment fonctionne l'arnaque

Le message provient toujours d'un contact connu dont le compte a déjà été compromis. Le lien mène à un site contrefait de manière professionnelle, qui met en scène un concours scolaire ou de danse. Pour contourner les filtres de sécurité, les escrocs utilisent de nombreux domaines différents qui changent sans cesse. Pour le prétendu vote, il existe deux variantes.

Le code SMS

Le site demande le numéro de portable, puis le code reçu par SMS. Il s'agit en réalité du code officiel d'enregistrement WhatsApp à six chiffres. En le saisissant, la victime permet aux escrocs d'activer le compte sur un autre téléphone.

Le code QR

Le site peut aussi afficher un code QR à scanner avec la fonction « Appareils connectés » de WhatsApp. C'est une fonction légitime, celle de WhatsApp Web : le scan relie le compte au système des criminels. Selon l'OFCS, dans certains cas la victime ne remarque même pas que son compte est compromis.

Les conséquences : réaction en chaîne et accès aux données

Une fois aux commandes, les escrocs peuvent lire l'historique des discussions, les groupes, les photos partagées et les informations confidentielles, et envoient le même message à tous les contacts de la victime. Cette réaction en chaîne explique la diffusion actuelle.

Pour une entreprise, les conséquences vont plus loin que pour un particulier :

• un numéro utilisé avec les clients devient un canal crédible pour d'autres arnaques, par exemple des demandes de paiement ou de données au nom de l'entreprise ;
• les discussions contiennent souvent des données personnelles de clients et de collaborateurs, des documents, des photos de travaux et des adresses ;
• si un téléphone de service est partagé ou n'est pas attribué à une personne précise, le piratage peut passer inaperçu longtemps.

Si l'accès à ces discussions entraîne vraisemblablement un risque élevé pour les personnes concernées, la loi sur la protection des données (LPD, art. 24) prévoit que le responsable du traitement annonce dans les meilleurs délais la violation de la sécurité des données au Préposé fédéral à la protection des données et à la transparence (PFPDT).

Que régler aujourd'hui sur les téléphones professionnels

Les recommandations de l'OFCS s'appliquent à chaque téléphone avec WhatsApp ou WhatsApp Business utilisé pour le travail :

• Activer la vérification en deux étapes avec un code PIN personnel : Paramètres > Compte > Vérification en deux étapes. Selon l'OFCS, cette mesure simple rend le piratage beaucoup plus difficile. La procédure est aussi décrite dans le pôle d'assistance WhatsApp.
• Ne jamais communiquer le code WhatsApp à six chiffres à des tiers et ne jamais le saisir sur un site web.
• N'utiliser « Appareils connectés » que pour ses propres appareils de confiance, par exemple l'ordinateur portable professionnel, et ne pas scanner de codes QR provenant de sites inconnus. Il vaut la peine de contrôler régulièrement la liste des appareils connectés.
• Se méfier des demandes de vote ou de concours par messagerie, même de la part d'expéditeurs connus, et vérifier par un autre canal, par exemple un appel.

Sur le plan organisationnel, une PME devrait aussi savoir quels numéros professionnels utilisent WhatsApp, qui est responsable de chaque téléphone, où le PIN est consigné et qui informe clients et collaborateurs si un compte est compromis. Ce sont les mêmes lacunes organisationnelles que celles relevées par l'étude « PME Cybersécurité 2026 ». Pour les autres accès de l'entreprise, la classification de l'OFCS présentée dans notre article sur les cinq niveaux d'authentification s'applique.

Si le compte a déjà été piraté

• Avertir immédiatement ses contacts par un autre canal et leur demander de ne pas cliquer sur les liens reçus en son nom.
• Variante QR : si l'on a encore accès à l'application, aller dans Paramètres > Appareils connectés, toucher les entrées inconnues et choisir « Se déconnecter ».
• Variante SMS : si l'on a été déconnecté, se réenregistrer avec son propre numéro ; avec le nouveau code SMS à six chiffres, les escrocs sont déconnectés. S'ils ont entre-temps activé leur propre PIN de vérification en deux étapes, il faut attendre sept jours avant de pouvoir se connecter sans ce PIN ; pendant cette période, le compte est aussi bloqué pour eux. WhatsApp décrit la procédure sur sa page consacrée à la récupération d'un compte compromis.
• Évaluer quelles données de clients ou de collaborateurs se trouvaient dans les discussions et si une annonce au PFPDT est nécessaire.

Notre approche

ElaraTeq Sagl développe et exploite des sites et des applications pour des PME et des organismes publics au Tessin et aide à mettre de l'ordre dans les accès de l'entreprise : inventaire des comptes, authentification multifacteur, règles internes sur les données et les outils, comme décrit aussi dans notre article sur l'IA au travail. Pour une vérification, vous pouvez nous contacter.

Sources

• OFCS, Semaine 43 : Des escrocs piratent à nouveau des comptes WhatsApp via des messages concernant de faux concours, 27 octobre 2026
• OFCS, Rétrospective de la semaine 21 sur les comptes WhatsApp piratés via de faux concours, 26 mai 2026
• Fedlex, Loi fédérale sur la protection des données (LPD), RS 235.1, art. 24
• Pôle d'assistance WhatsApp : Gérer les paramètres de la vérification en deux étapes ; À propos des appareils connectés ; Récupérer un compte compromis