WhatsApp : le « ghost pairing », l'arnaque qui détourne votre compte sans mot de passe

Depuis le début de l'année 2026, une arnaque visant WhatsApp se répand en Europe, et la France fait désormais partie des pays touchés. Les spécialistes la surnomment le « ghost pairing », que l'on peut traduire par « appairage fantôme ». Le principe inquiète : un escroc parvient à relier son propre téléphone à votre compte pour lire tout ce qui s'y passe, sans vous déconnecter et sans jamais connaître vos identifiants. Voici comment elle fonctionne et les gestes qui la bloquent.

Comment se déroule l'attaque

Tout commence souvent par un message d'un proche dont le compte a déjà été piraté. Le ton est banal : « Regarde cette photo de toi sur Facebook », avec un lien. En cliquant, vous arrivez sur une fausse page qui imite Facebook, un sondage ou une vérification d'identité. Elle réclame votre numéro de téléphone, puis le code que WhatsApp vient de vous envoyer par SMS, soi-disant pour afficher la photo.

Ce code n'a rien d'anodin : en le recopiant sur le faux site, vous autorisez sans le savoir le téléphone de l'escroc à rejoindre la liste des appareils reliés à votre compte. L'attaque détourne une fonction tout à fait légitime de l'application, celle qui permet d'utiliser WhatsApp sur plusieurs supports à la fois, comme un ordinateur ou une tablette.

Pourquoi on ne remarque rien

C'est là que le mot « fantôme » prend son sens. WhatsApp autorise jusqu'à quatre appareils connectés en même temps à votre téléphone principal. Votre application continue donc de fonctionner comme avant, sans déconnexion ni alerte visible. Pendant ce temps, l'intrus lit vos conversations en direct, voit vos photos et vos messages vocaux, et récupère votre liste de contacts. Il peut même écrire à vos proches en se faisant passer pour vous, pour leur réclamer de l'argent ou les piéger à leur tour.

Les réflexes qui protègent votre compte

Quelques habitudes suffisent à refermer la porte :

• Ne communiquez jamais un code reçu par SMS. WhatsApp ne vous le demande que dans l'application, jamais sur un site web ni par message. Si vous recevez un code que vous n'avez pas sollicité, ignorez-le.
• Passez en revue les appareils reliés à votre compte. Dans WhatsApp, ouvrez les Appareils connectés : chaque ordinateur ou tablette associé y figure, et un appareil inconnu se déconnecte en une touche.
• Activez la vérification en deux étapes. Dans Paramètres puis Compte, créez un code personnel à six chiffres. Il sera exigé pour enregistrer votre numéro sur un nouvel appareil, ce qui bloque la prise de contrôle même si un escroc met la main sur un code SMS.
• Méfiez-vous des liens, même venus d'un ami. Un message inattendu qui pousse à cliquer vite mérite un appel de vérification à son auteur, par un autre moyen.

Mettre en place la vérification en deux étapes et vérifier les appareils connectés prend quelques minutes. Si ces menus vous paraissent obscurs, c'est le genre de réglage que nous installons avec vous lors d'un passage à domicile en Seine-Maritime, crédit d'impôt de 50% compris.

Si vous pensez être déjà concerné

Au moindre doute, ouvrez les appareils connectés et déconnectez tout ce qui vous est inconnu, activez la vérification en deux étapes, puis prévenez vos contacts qu'un message suspect a pu partir en votre nom. Vous pouvez signaler l'escroquerie sur Cybermalveillance.gouv.fr et son assistant 17Cyber, qui orientent les victimes vers un professionnel référencé, ce que nous sommes. Reprendre la main sur ses comptes et s'assurer qu'aucun autre appareil ne subsiste réclame parfois un coup de main, et notre prise de rendez-vous en ligne répond exactement à ce besoin.

Le « ghost pairing » rappelle une règle valable pour toute la messagerie : un code de sécurité ne se partage avec personne, et un lien, même amical, se vérifie avant d'être ouvert. Avec ces deux réflexes, votre compte WhatsApp reste entre vos mains.

Sources : Journal du Geek, Whalebone Threat Intelligence, WhatsApp, Appareils connectés, WhatsApp, code non sollicité, Cybermalveillance.gouv.fr