Le téléphone est devenu la clé de tout, du compte en banque à la messagerie familiale. Les escrocs l’ont compris avant la plupart des utilisateurs. En 2025, l’hameçonnage a représenté près d’un tiers des demandes d’assistance reçues par Cybermalveillance.gouv.fr, en hausse de 71 % sur un an. Le piratage de compte arrive en deuxième position.
Tour d’horizon des trois techniques qui dominent l’année, de ce qu’elles exploitent dans nos appareils et des réglages qui les désamorcent.
Le SMS de livraison, porte d’entrée de tout le reste
Tout commence presque toujours par un message anodin : un colis qui « ne rentrait pas dans la boîte aux lettres », des frais de douane de 1,99 € à régler avant demain, un créneau de livraison à confirmer. Le lien mène vers une copie fidèle du site d’un transporteur, où l’on saisit un numéro de carte pour une somme dérisoire. La somme n’est pas le but. La carte, elle, est revendue ou abonnée à un service caché. Les coordonnées récoltées servent quelques jours plus tard à un « conseiller bancaire » qui rappelle pour « sécuriser le compte ».
La technique a évolué, comme le détaille la fiche de Cybermalveillance.gouv.fr sur l’hameçonnage à la livraison de colis, mise à jour en août 2026. Les campagnes passent de plus en plus par iMessage et par le RCS, les messageries enrichies d’Apple et d’Android, pour contourner les filtres anti-spam des opérateurs : des chercheurs en sécurité ont documenté en 2024 et 2025 des infrastructures de phishing, comme celle baptisée Darcula, dont les liens restent inactifs tant que la victime n’a pas répondu au premier message. Depuis 2025, les faux livreurs envoient aussi la photo d’un carton où le nom du destinataire est imprimé sur l’étiquette, image générée en série, parfois accompagnée d’un message vocal à la voix de synthèse. La règle que rappellent La Poste comme Mondial Relay n’a pourtant pas bougé : aucun transporteur ne réclame de paiement par SMS.
Le code à six chiffres, ou comment un compte WhatsApp change de mains
Un compte WhatsApp n’a pas de mot de passe au sens classique. Il appartient à celui qui saisit le code à six chiffres que l’application envoie par SMS au numéro de téléphone. C’est ce que les escrocs font taper à leurs victimes, par un détour devenu un classique de 2026 : un contact dont le compte vient d’être volé écrit « je t’ai envoyé un code par erreur, tu peux me le renvoyer ? ». Au même moment, l’escroc a saisi le numéro de la victime sur son propre appareil. Le code renvoyé, le compte bascule. Le carnet d’adresses entier reçoit à son tour une demande d’argent ou le même message piège. WhatsApp l’écrit dans son aide en ligne : ce code ne se partage avec personne, pas même avec ses proches.
Reconstitution du scénario : un contact déjà piraté réclame le code que WhatsApp vient d’envoyer par SMS.
Deux variantes plus discrètes
La première ne déconnecte personne : un faux concours, « vote pour ma nièce », conduit la victime sur une page qui imite WhatsApp et lui fait saisir, dans l’écran « Appareils connectés » de son téléphone, le code à huit caractères qui sert normalement à relier un ordinateur. L’escroc dispose alors d’une session parallèle, lit les conversations et écrit au nom de la victime jusqu’à ce que l’appareil soit retiré de la liste. L’Office fédéral suisse de la cybersécurité l’a signalée en mai 2026. La seconde passe par l’appel vidéo : un interlocuteur demande de partager son écran « pour régler un problème », déclenche l’inscription du numéro et lit le code de vérification qui s’affiche en notification. La police espagnole l’a décrite en septembre 2025.
Les failles logicielles, plus rares mais réelles
L’été 2026 a rappelé l’importance des mises à jour : des iPhone restés sous iOS 16 ont été visés par un enchaînement de deux vulnérabilités exploitables sans aucun clic, documenté en Italie puis en Espagne. Apple et WhatsApp ont corrigé, avec iOS 16.7.12 et WhatsApp 2.25.21.73. Un appareil à jour n’était pas concerné.
Pourquoi ça marche : l’urgence, pas la technique ?
Aucune de ces attaques n’exploite une prouesse informatique. Elles exploitent une émotion, l’urgence, puis un réflexe, celui de rendre service. L’Observatoire de la sécurité des moyens de paiement, rattaché à la Banque de France, a chiffré en septembre 2026 ce que représente désormais cette fraude « par manipulation », celle où la victime effectue elle-même l’opération : 516 millions d’euros en 2025, en hausse de 34 % en un an, soit 41,6 % de toute la fraude aux moyens de paiement en France. C’est aussi la fraude la moins bien remboursée, puisqu’un virement que l’on a ordonné soi-même est juridiquement une opération autorisée.
Une évolution réglementaire mérite d’être connue : depuis le 9 octobre 2025, toute banque de la zone euro doit, avant d’exécuter un virement, comparer le nom du bénéficiaire saisi avec le titulaire réel de l’IBAN et afficher le résultat. Un message « non-concordance » au moment de virer de l’argent à « son fils » ou à « un ami » est, le plus souvent, l’arnaque qui s’affiche à l’écran.
Les réglages qui coupent court
Activer la vérification en deux étapes de WhatsApp, dans Paramètres puis Compte, avec une adresse e-mail de secours. Sans elle, une victime dont le compte a été volé attend sept jours avant de pouvoir le récupérer.
Ne jamais transmettre trois codes : le code à six chiffres reçu par SMS, le code à huit caractères de connexion d’un appareil et son propre code de vérification en deux étapes.
Ouvrir « Appareils connectés » une fois par mois et déconnecter tout ce que l’on ne reconnaît pas.
Laisser actives les notifications de sécurité, mettre à jour le système et l’application. N’installer aucune version « améliorée » de WhatsApp hors des boutiques officielles.
Filtrer les expéditeurs inconnus dans les réglages de Messages, sur iPhone comme sur Android.
Pour les gestes à faire dans l’heure qui suit un clic malheureux, selon ce que l’on a saisi ou installé, le média Du Bon Sens a publié une page de référence, vérifiée sur les consignes officielles et mise à jour.
La meilleure protection reste une habitude : un code reçu ne se donne à personne, une urgence qui interdit de raccrocher ou de rappeler est une arnaque. Un lien reçu ne décide de rien. Ce sont trois phrases à retenir, pas trois logiciels à installer.
Nous utilisons des cookies pour vous garantir la meilleure expérience sur notre site web. Si vous continuez à utiliser ce site, nous supposerons que vous en êtes satisfait.
