- Le message vient d'un proche dont le compte WhatsApp a déjà été piraté.
- Le faux site de vote sert à relier le compte de la victime à l'appareil des escrocs.
- La validation en deux étapes et la liste des appareils connectés limitent fortement le risque.
Le message arrive un soir, d'une amie ou d'un cousin. « Tu peux voter pour la fille de mes amis ? Elle participe à un concours de danse. » Un lien suit, un clic suffit, et le geste semble anodin. Pourtant, cette demande sympathique est l'une des arnaques les plus répandues sur WhatsApp. Signalée dès septembre 2025 par l'éditeur de sécurité Kaspersky, elle connaît un nouveau regain en octobre 2026. Son but n'est pas de récolter des votes, mais de prendre le contrôle du compte de celui qui clique.
Comment fonctionne l'arnaque au faux vote ?
Le scénario change de décor selon les vagues : concours de danse, spectacle de ballet, élection du plus beau chien ou fête d'école. Le principe, lui, reste identique. Tout repose sur la confiance accordée à un ami ou un parent, et sur une procédure de connexion détournée.
Un message envoyé par un proche
Le lien ne vient presque jamais d'un inconnu. Il est expédié depuis le compte d'un ami ou d'un membre de la famille, déjà tombé dans le piège. Les escrocs utilisent ce compte volé pour écrire à tout le carnet d'adresses, avec un ton familier et une petite touche d'urgence : le vote se termine ce soir, chaque voix est précieuse.
Cette mécanique explique l'efficacité de l'arnaque. Rares sont ceux qui se méfient d'un visage familier, surtout pour une demande aussi banale qu'un vote.
Le piège du code de connexion
Le lien mène vers une fausse page de concours, souvent soignée. Pour voter, la victime doit saisir son numéro de téléphone, puis suivre une procédure qui ressemble à une simple vérification. Selon Malwarebytes, l'opération consiste en réalité à associer le compte WhatsApp de la victime à un appareil contrôlé par les escrocs.
Dans certaines versions, la page demande d'ouvrir WhatsApp et de taper une suite de chiffres dans la rubrique des appareils connectés. Dans d'autres, elle réclame le code reçu par SMS. Dans les 2 cas, l'utilisateur ouvre lui-même la porte de son compte, sans le savoir.
Que risquent les victimes ?
Relié à l'appareil des pirates, le profil leur donne accès aux conversations, aux groupes et à la liste des contacts. Le préjudice ne s'arrête pas à la victime. Ses proches deviennent à leur tour des cibles, avec un message qui porte un nom en qui ils ont confiance.
Des demandes d'argent au nom de la victime
Les escrocs commencent par renvoyer le faux concours à tous les contacts, pour piéger de nouveaux comptes. Ils peuvent aussi se faire passer pour le titulaire et réclamer de l'argent : un virement urgent, une facture à régler, un téléphone perdu. Certains tentent d'obtenir des codes bancaires ou des informations personnelles.
Comme la demande semble venir d'un fils, d'une mère ou d'une amie proche, beaucoup de destinataires paient sans vérifier. Les groupes de discussion amplifient le phénomène, puisqu'un seul message y touche des dizaines de personnes à la fois.
Un piratage qui passe inaperçu
Le plus inquiétant tient à la discrétion de l'attaque. Quand un appareil est simplement ajouté au compte, la victime continue d'utiliser WhatsApp normalement. Aucun courriel de réinitialisation n'arrive, et l'application n'affiche pas d'alerte d'échec de connexion. L'intrus peut ainsi lire les échanges pendant des jours, tant que personne ne le déconnecte. Dans la version où le numéro est enregistré sur le téléphone des escrocs, la victime se retrouve au contraire éjectée d'un coup. Un message indiquant que la ligne n'est plus active sur cet appareil constitue alors le signal d'alerte.
Comment se protéger et réagir ?
Quelques réglages, faits une fois pour toutes, réduisent nettement le risque. Le premier réflexe reste pourtant humain : face à une demande de vote ou d'aide inattendue, il vaut mieux appeler la personne, ou lui écrire par un autre moyen, avant de cliquer.
Les réglages à activer dès maintenant
La validation en deux étapes ajoute un code personnel à 6 chiffres, demandé lors de toute nouvelle inscription du numéro sur un téléphone. Elle se règle dans les paramètres du compte, rubrique sécurité. Un pirate qui obtient le code SMS se heurte alors à ce second verrou. Les mêmes précautions valent pour d'autres messageries, comme Telegram ou Signal, qui proposent elles aussi une protection supplémentaire par mot de passe ou par code.
Il est aussi utile d'ouvrir régulièrement la liste des appareils connectés. Un ordinateur ou une tablette inconnus se déconnectent d'un simple geste. Enfin, aucun code WhatsApp ne doit être transmis à un tiers, ni tapé sur une page ouverte depuis un lien reçu.
Que faire en cas de piratage ?
Si l'intrus s'est greffé sur le compte comme second écran, il suffit de le retirer depuis la liste des appareils connectés, puis de changer ses réglages de sécurité. S'il a enregistré la ligne sur son propre téléphone, la victime doit relancer l'application et valider à nouveau son numéro grâce au SMS de confirmation. Si les pirates ont activé leur propre code à 6 chiffres, un délai de 7 jours peut s'imposer avant de récupérer l'accès.
Dans tous les cas, mieux vaut prévenir rapidement ses contacts par un autre canal, comme le recommande Cybermalveillance.gouv.fr. Les captures d'écran sont aussi à conserver. En cas de perte d'argent, il faut alerter sa banque sans délai, puis déposer plainte en ligne sur la plateforme Thésée du ministère de l'Intérieur.