« Bonjour, ma nièce participe à un concours, pourrais-tu lui donner ton vote ? ». Vous pourriez recevoir ce message d'un ami, d'un collègue ou d'un membre de votre famille via WhatsApp.

Apparemment trivial, il constitue en fait l'élément déclencheur d'une escroquerie extrêmement efficace visant un seul objectif : compromettre votre compte. Kaspersky, l'éditeur spécialisé en cybersécurité, alerte concernant cette nouvelle vague de phishing qui cause de nombreux dégâts.

Comment opère cette escroquerie du « faux concours » ?

Le piège est mis en place en deux étapes. Tout d'abord, l'ingénierie sociale. Le message émane d'un contact fiable, dont le compte a sans doute déjà été compromis, ce qui engourdit toute suspicion. Le lien que vous avez reçu vous mène à un site de vote en ligne qui semble tout à fait authentique : images des candidats, affichage des votes, design élaboré... On fait tout pour instaurer un climat de confiance.



C'est en cliquant sur « Voter » que commence la deuxième étape, celle du phishing. Une page vous requiert de vous connecter « rapidement » par WhatsApp en fournissant votre numéro de téléphone. En secret, les hackers exploitent ce numéro pour initier une procédure de connexion à votre compte WhatsApp Web. Dans ce cas, l'outil produit un code spécifique de 8 chiffres, que les cybercriminels exposent immédiatement sur leur site frauduleux en vous incitant à le reproduire pour « confirmer votre vote ». En fait, vous leur confiez la clé de votre compte.

Quels sont les dangers une fois que le compte a été piraté ?

Dès que les hackers obtiennent ce code, ils ont la possibilité de se connecter à votre compte WhatsApp sur leur propre appareil via WhatsApp Web. Ils bénéficient donc d'un accès complet et peuvent :

  • Accéder à l'ensemble de vos discussions passées et à venir.
  • Consulter l'intégralité de vos contacts ainsi que les détails de votre profil.
  • Se faire passer pour vous afin d'envoyer des messages sous votre nom.
  • Diffuser la fraude en partageant le même lien trompeur à l'ensemble de votre liste de contacts.
  • Essayer de soutirer de l'argent à vos connaissances en se présentant comme vous.

Que faire pour se prémunir et que faire en cas de doute ?

Devant ce genre de fraude, il est essentiel de rester vigilant, mais certaines habitudes salutaires permettent de s'en protéger efficacement. La règle fondamentale est claire : évitez de cliquer sur un lien douteux, même s'il vient d'un contact fiable. En cas de réception d'une requête de cette nature, veuillez joindre votre contact par un autre canal (comme un coup de fil) pour confirmer qu'il est bien l'émetteur du message.

Il est primordial de ne jamais entrer un code reçu via WhatsApp sur une plateforme extérieure. Pour améliorer la protection de votre compte, veuillez activer l'authentification à deux facteurs (également connue sous le nom de double authentification) dans les configurations de l'application. Pour finir, n'oubliez pas de contrôler fréquemment la liste des « Appareils connectés » dans les paramètres de votre compte et déconnectez sans tarder toute session que vous ne reconnaissez pas.

Foire Aux Questions (FAQ)

Que dois-je faire si j'ai saisi le code sur le site frauduleux ?

Prenez des mesures sans délai. Pour déconnecter toutes les sessions actives que vous ne reconnaissez pas, ouvrez WhatsApp, accédez à « Paramètres » > « Appareils connectés ». Agissez rapidement avant que les pirates n'aient l'occasion de mettre en place des mesures pour vous entraver. Informez ensuite tous vos contacts que votre compte a été compromis.

Est-ce que le message provient vraiment de mon ami ?

Non. Le message est expédié depuis le compte de votre ami, mais c'est en fait les cybercriminels qui l'ont piraté. Votre ami est lui-même touché et son compte est exploité pour diffuser l'escroquerie de façon virale parmi tous ses contacts.

L'efficacité de la vérification en deux étapes est-elle réelle ?

Oui, c'est la protection la plus efficace contre ce genre de piratage. Outre le code envoyé par SMS, elle exigera également un code PIN de six chiffres, que vous êtes le seul à connaître, pour confirmer toute nouvelle connexion. En l'absence de ce code PIN, les cybercriminels ne pourront pas accéder à votre compte, même s'ils parviennent à vous faire confirmer la connexion par le biais de WhatsApp Web.