Une fraude présentée comme une arnaque zéro clic sur WhatsApp inquiète depuis le début du mois d’octobre. Selon des informations relayées par CNews et Seneweb, des pirates viseraient des comptes associés à plusieurs appareils, notamment ceux d’anciens iPhone encore liés au profil.
La victime n’aurait pas besoin d’ouvrir un lien, de scanner un QR code ni de télécharger un fichier pour que ses données deviennent accessibles. Cette absence de geste visible distingue la méthode des escroqueries classiques par hameçonnage, où un message pousse d’abord l’utilisateur à agir.
Arnaque zéro clic sur WhatsApp : un accès sans lien suspect
Le terme « zéro clic » désigne généralement des attaques qui exploitent une faille de sécurité dans un logiciel ou le traitement automatique d’un contenu. Il ne prouve pas, à lui seul, que chaque cas décrit repose sur une vulnérabilité technique de WhatsApp ou d’Apple. Les éléments rapportés évoquent aussi la synchronisation des messages entre appareils liés et un accès par WhatsApp Web. Cette nuance compte : le piratage d’un compte par appareil secondaire et l’exploitation d’un logiciel espion sont des mécanismes différents, même s’ils peuvent mener au vol de données.
Dans le scénario signalé, un ancien téléphone Apple ou un appareil inutilisé pourrait rester associé au compte sans que son propriétaire y pense. Un accès lié à ce profil donnerait alors aux escrocs la possibilité de lire des échanges ou d’envoyer des messages sous l’identité de la victime. Les conversations peuvent contenir des noms, des numéros, des codes reçus par SMS ou des détails utiles à une fraude. La cybersécurité ne concerne donc pas seulement le téléphone actif : chaque appareil connecté élargit la surface d’exposition.
Synchronisation WhatsApp et messages frauduleux : le mode opératoire
La synchronisation facilite l’accès aux conversations depuis plusieurs appareils, mais elle exige un suivi attentif des sessions actives. Dans les cas rapportés, les malfaiteurs auraient pris le contrôle de l’application par sa version Web après un accès à un appareil secondaire. Les détails techniques de chaque plainte ne sont pas publics dans les informations disponibles. Il faut donc distinguer le mécanisme signalé des conclusions qui nécessiteraient une expertise de chaque téléphone.
Un utilisateur peut vérifier les appareils associés depuis les paramètres de WhatsApp, dans la rubrique des appareils connectés. Toute session inconnue ou devenue inutile doit être fermée, surtout si elle correspond à un téléphone ancien, prêté ou perdu. Cette vérification ne corrige pas une éventuelle faille de sécurité, mais réduit les accès persistants au compte. Elle fait partie des gestes de protection des données qui s’intègrent facilement à une routine de sécurité mobile.
Une fois le compte accessible, le pirate peut écrire aux proches de la victime en usant de son identité. Les messages évoqués réclament un virement bancaire urgent ou un code de vérification. L’urgence pousse les destinataires à agir avant de vérifier la demande. Un proche peut alors envoyer de l’argent ou transmettre un code qui ouvre l’accès à un autre compte numérique.
La demande doit être confirmée par un autre canal, par exemple un appel au numéro déjà enregistré du proche. Il faut éviter d’utiliser le numéro ou les coordonnées fournis dans le message suspect. Un code de vérification reçu par SMS ne doit jamais être communiqué à une autre personne, même si son profil WhatsApp semble familier. Pour les équipes professionnelles, un second canal de validation pour les paiements réduit le risque d’une décision prise sous pression.
Une attaque zéro clic signifie-t-elle qu’aucune action ne peut protéger le compte ?
Non. Les mises à jour, la vérification des appareils liés et la fermeture des sessions inconnues réduisent les risques, même si elles ne corrigent pas toutes les failles possibles.
Que faire si un proche reçoit une demande d’argent depuis mon compte ?
Appelez-le par un numéro déjà connu, avertissez vos contacts par un autre canal, puis vérifiez les appareils associés à WhatsApp et suivez la procédure de récupération.
Faut-il transmettre un code WhatsApp à un contact de confiance ?
Non. Un code de vérification reste confidentiel. Ne le transmettez pas, même si la demande semble provenir d’un proche ou d’un service d’assistance.
