Arnaque au faux vote sur WhatsApp : l'alerte du 27 octobre, et comment protéger votre compte

Un message d'un proche vous demande de voter pour un concours, avec un lien ? Méfiance. Le 27 octobre 2026, Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes de cybermalveillance, a appelé à la vigilance face à une campagne d'hameçonnage aux faux votes sur WhatsApp, puis a mis son alerte à jour le 29 octobre. En suivant les étapes du faux site, la victime ajoute elle-même l'appareil de l'escroc à son compte. Et la diffusion s'intensifie par effet boule de neige : chaque compte piraté relaie l'arnaque vers de nouvelles victimes. Tous les utilisateurs de WhatsApp peuvent être visés, sur Android comme sur iPhone. Voici comment reconnaître le piège, les réglages qui protègent votre compte, vérifiés dans l'aide officielle de WhatsApp, et quoi faire, dans l'ordre, si c'est déjà arrivé.

Comment fonctionne le piège du faux vote

Cybermalveillance.gouv.fr le décrit en trois temps :

1. Le message : le plus souvent sur WhatsApp, il semble venir d'un de vos contacts, dont le compte a en réalité déjà été piraté. Il vous invite à soutenir une personne dans un vote en ligne : un concours, souvent de ballerines, ou une bourse d'études. Il circule aussi dans des groupes et des forums.
2. Le faux site de vote : pour « valider » votre vote, il vous demande le numéro de téléphone de votre compte WhatsApp.
3. Le code : cette étape génère un code qui autorise l'ajout d'un nouvel appareil à votre compte, et la page vous explique comment le saisir vous-même dans les paramètres de WhatsApp.

Ce code n'a rien à voir avec un vote : il sert à ajouter un appareil à votre compte. L'aide de WhatsApp décrit cette fonction, prévue pour utiliser WhatsApp sur un ordinateur : sur WhatsApp Web ou WhatsApp pour Windows, on saisit le numéro de téléphone du compte, et un code de 8 caractères s'affiche ; il faut ensuite le taper sur le téléphone, dans « Appareils connectés », « Connecter un appareil », puis « Connecter plutôt avec un numéro de téléphone ». Le faux site lance la première partie avec votre numéro ; vous faites la seconde en croyant voter.

Résultat : l'appareil de l'escroc devient un « appareil connecté » à votre compte. Votre téléphone lui envoie alors une copie de votre historique de messages le plus récent, précise WhatsApp, et cet appareil fonctionne même quand votre téléphone est éteint.

Ce que l'escroc fait ensuite de votre compte

Selon Cybermalveillance.gouv.fr, il peut alors :

• se faire passer pour vous et envoyer le faux vote à vos contacts ;
• demander de l'argent à vos proches, par exemple en inventant une urgence ;
• vous faire chanter avec ce que contient le compte : photos, vidéos, échanges sensibles ;
• vous bloquer l'accès à votre propre compte, voire exiger une rançon pour vous le rendre.

Reconnaître le piège avant de cliquer

• Un lien pour voter, de la part d'un proche : la demande d'appuyer sur un lien et la personne qui se fait passer pour quelqu'un que vous connaissez figurent parmi les signes d'un message suspect listés par WhatsApp.
• Un site qui demande votre numéro, puis un code : un vote n'a aucune raison de toucher à vos paramètres. Pour Cybermalveillance.gouv.fr, toute demande d'un tiers d'accéder aux paramètres d'un compte, ou de les modifier, est un signal d'alerte majeur.
• WhatsApp vous demande de « Saisir le code » ou de confirmer un nouvel appareil, alors que vous n'êtes pas en train de connecter votre propre ordinateur : c'est le piège. WhatsApp affiche le nom et la localisation de l'appareil ; s'il vous demande de confirmer un appareil que vous ne reconnaissez pas, appuyez sur « Ne pas connecter ».
• Aucun code, à personne : ni mot de passe ni code personnel, « même s'il s'agit d'un proche », insiste Cybermalveillance.gouv.fr. WhatsApp dit la même chose du code d'inscription à 6 chiffres reçu par SMS.
• Un doute ? Appelez le proche sur son numéro habituel, par un appel classique plutôt que par WhatsApp.

Les mêmes réflexes valent contre les faux SMS aux couleurs de l'État ou de La Poste.

Les réglages qui protègent votre compte

Sur Android, tout part de l'icône ⋮ (« Plus d'options », trois points verticaux). Sur iPhone, l'aide de WhatsApp passe, selon les pages, par l'onglet « Paramètres », par l'onglet « Vous » ou par votre photo de profil : partez de celui que vous voyez.

1. Vérifiez vos appareils connectés, régulièrement, comme le conseille WhatsApp : ⋮ puis « Appareils connectés » sur Android ; « Paramètres » (ou votre photo de profil) puis « Appareils connectés » sur iPhone. Un appareil inconnu ? Appuyez dessus, puis sur « Déconnexion » (Android) ou deux fois sur « Déconnecter » (iPhone).
2. Gardez les notifications de WhatsApp activées : d'après WhatsApp, elles vous permettent de repérer un appareil inconnu lié à votre compte et de le supprimer.
3. Activez la vérification en deux étapes, qui passe au mot de passe : WhatsApp remplace son code PIN à 6 chiffres par un mot de passe d'au moins 8 caractères, avec au moins une lettre et un chiffre. Sur Android : ⋮, « Paramètres », « Compte », « Vérification en deux étapes » ; sur iPhone : « Vous », « Compte », « Vérification en deux étapes ». Activez l'option, créez et confirmez un mot de passe fort, puis indiquez une adresse e-mail à laquelle vous avez accès. Vous avez déjà un code PIN ? WhatsApp permet de passer au mot de passe (« Compte », puis « Mot de passe »). Avec cette protection, toute réinscription de votre numéro sur WhatsApp demande une seconde vérification, en plus du code reçu par SMS.
4. Ajoutez une adresse e-mail : elle permet de récupérer votre compte sans SMS ni appel, indique WhatsApp. Dans la même rubrique « Compte » : « Adresse e-mail », « Ajouter une adresse e-mail », puis le code à six chiffres reçu sur cette adresse, et « Vérifier ». Choisissez une boîte mail bien protégée : WhatsApp peut y envoyer un code d'inscription.
5. Ne connectez votre compte qu'aux applications officielles (WhatsApp Web, WhatsApp pour Windows ou pour Mac) : les applications et sites non officiels peuvent le compromettre, prévient WhatsApp.

Pourquoi un code reçu par message ne suffit plus à protéger un compte : lisez notre article code de connexion par e-mail ou SMS, bientôt obsolète ?

C'est arrivé : agissez dans cet ordre

1. Gardez des preuves : captures d'écran du message, du faux site, de la liste des appareils connectés et des réglages modifiés, avant de supprimer quoi que ce soit, conseille Cybermalveillance.gouv.fr.
2. Déconnectez sans délai tout appareil inconnu, dans « Appareils connectés ».
3. Contrôlez vos paramètres : numéro de téléphone, adresse e-mail de récupération, vérification en deux étapes, mot de passe, liaison avec un compte Instagram ou Facebook, énumère Cybermalveillance.gouv.fr. Corrigez ce qui a changé.
4. Plus d'accès au compte ? Réinscrivez votre numéro : « Se reconnecter », « Continuer », votre numéro au format international complet si on vous le demande, « Suivant », « OK », puis le code à 6 chiffres reçu par SMS ou par appel. Il vous faut la carte SIM de votre numéro. Tous les appareils connectés sont alors déconnectés, et l'intrus avec eux. On vous demande un code PIN de vérification en deux étapes que vous ne connaissez pas ? Il se peut, dans de rares cas, que l'intrus l'ait activé : WhatsApp conseille d'attendre 7 jours, puis de réessayer.
5. Prévenez vos contacts, aussi par un autre moyen que WhatsApp (SMS, appel, e-mail) : l'escroc peut se faire passer pour vous dans les discussions et les groupes, prévient WhatsApp. Demandez-leur de ne pas cliquer, de ne rien payer et de ne transmettre aucun code.
6. Ne signalez pas votre propre compte avant de l'avoir récupéré : WhatsApp pourrait le bannir, et vous perdriez l'accès à votre compte ou à vos données.

Vous avez reçu le faux vote sans cliquer ? Prévenez la personne, de préférence autrement que par WhatsApp, et ne transférez pas le message.

Argent, chantage : ne payez pas, faites-vous aider

• Ne payez pas, ni rançon ni chantage. WhatsApp est gratuit, rappelle l'application : quelqu'un qui propose de débloquer votre compte contre un paiement cherche probablement vos informations financières ou personnelles. Face à un chantage aux photos ou vidéos intimes, Cybermalveillance.gouv.fr conseille de ne plus répondre, de bloquer le maître chanteur et de ne rien payer : les cybercriminels ne se contentent généralement pas d'un seul paiement.
• Un proche a déjà payé ? Après un virement, il alerte immédiatement sa banque pour tenter de le suspendre, ou pour demander le retour des fonds. S'il a donné des éléments de sa carte bancaire, il fait opposition sans attendre ; si sa carte, toujours en sa possession, a servi à des achats en ligne qu'il n'a pas faits, il le signale ensuite sur Perceval (démarche « Signaler une fraude à la carte bancaire » de Service-public).
• 17Cyber (17cyber.gouv.fr) : le service public d'assistance en ligne de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, gratuit, ouvert 24 h/24 et 7 j/7 : diagnostic, conseils et, si la menace le nécessite, tchat avec un policier ou un gendarme.
• La plainte : au commissariat, à la gendarmerie ou par écrit au procureur de la République, avec vos preuves. En ligne, la plateforme THESEE du ministère de l'Intérieur reçoit les plaintes des particuliers majeurs pour les escroqueries sur internet, dont le piratage de comptes de messagerie ; si vous avez payé, l'IBAN du compte qui a servi au paiement est obligatoire.
• Pour être accompagné : France Victimes, au 116 006 (gratuit, 7 jours sur 7, de 9 h à 19 h), et Info Escroqueries, au 0 805 805 817 (gratuit, du lundi au vendredi, de 9 h à 18 h 30).
• Pour signaler : l'adresse du faux site de vote à Phishing Initiative, qui la bloquera, et la demande d'argent sur Pharos (internet-signalement.gouv.fr), comme le recommande Cybermalveillance.gouv.fr.

Ce qu'il ne faut surtout pas faire

• Taper dans WhatsApp un code fourni par un site ou par quelqu'un, ou transmettre le code reçu par SMS, même à un proche, même « juste pour un vote ».
• Transférer le message pour rendre service : WhatsApp conseille de ne pas partager un message suspect.
• Répondre, négocier ou payer face à une demande d'argent ou à une menace.
• Compter sur un nouveau mot de passe pour chasser l'intrus : changer de mot de passe ne retire personne de votre compte, prévient WhatsApp.
• Signaler votre propre compte avant de l'avoir récupéré.
• Tout effacer dans la panique : sans captures d'écran, plus de preuves pour la plainte.

On s'en occupe avec vous

Nous venons chez vous, à Nancy et dans tout le Grand Nancy, pour sécuriser vos comptes et vos appareils avec vous : revue des appareils connectés à WhatsApp, vérification en deux étapes avec un vrai mot de passe, adresse e-mail de récupération, mots de passe de vos autres comptes, contrôle de l'ordinateur sur lequel vous utilisez WhatsApp. Et nous vous montrons où vérifier vous-même, à l'avenir, la liste de vos appareils connectés. C'est notre dépannage informatique à domicile : forfait S à 50 € net, jusqu'à une heure ; au-delà, forfait L à 95 € net. Si le piratage a eu des conséquences, argent perdu ou chantage, notre expertise informatique établit les faits dans un rapport technique qui peut appuyer votre plainte. Le diagnostic par téléphone est gratuit : appelez-nous au 06 69 61 02 73.

Sources : Cybermalveillance.gouv.fr, hameçonnage aux faux votes pour des concours sur WhatsApp (27 octobre 2026, mise à jour du 29 octobre 2026), piratage de compte, que faire ? (mise à jour du 22 octobre 2026), hameçonnage (mise à jour du 26 octobre 2026), escroquerie « Coucou maman/papa » (mise à jour du 15 septembre 2026), sextorsion (mise à jour du 31 mars 2025) et 17Cyber (mise à jour du 28 janvier 2026) ; WhatsApp, pages d'aide consultées le 3 novembre 2026 : récupérer un compte compromis, vérifier les appareils connectés, à propos des appareils connectés, connecter un appareil avec un numéro de téléphone, historique des messages sur les appareils connectés, à propos de la vérification en deux étapes, gérer la vérification en deux étapes, mot de passe oublié, inscription et vérification en deux étapes, numéro utilisé pour une inscription sur un nouvel appareil, conseils pour la sûreté des comptes, messages suspects et arnaques et bloquer et signaler une personne ; ministère de l'Intérieur, plainte en ligne THESEE (mise à jour du 14 octobre 2026) ; Service-public, signaler une fraude à la carte bancaire (Perceval) (vérifié le 14 octobre 2026).