Depuis août 2026, les polices allemande et suisse mettent en garde contre une arnaque WhatsApp qui ne vient pas d’inconnus. Elle vient de personnes que vous connaissez, et part de leurs vrais comptes. À elle seule, la police de Zwickau a compté douze cas entre la mi-août et la fin septembre.
L’arnaque vise les particuliers. Le schéma qui la sous-tend est pourtant le même que celui qui a coûté cette année des dizaines de millions d’euros à une grande banque européenne. Les deux affaires montrent la même chose : un nom familier à l’écran ne prouve rien.
Comment fonctionne l’arnaque
- Un message arrive d’un vrai contact : merci de voter pour Klara, la fille d’un ami, dans un concours de photo ou de danse. D’autres variantes parlent d’un sondage sportif ou d’un jeune talent.
- Le lien ouvre une page de vote convaincante. Pour voter, vous saisissez votre numéro de téléphone et confirmez une connexion WhatsApp, avec un code ou en scannant un QR code.
- En réalité, vous venez de confirmer l’association de l’appareil de l’attaquant à votre compte WhatsApp. Les chercheurs en sécurité parlent de « ghost pairing ».
- Vous ne remarquez rien. Votre WhatsApp fonctionne comme avant. L’attaquant lit vos conversations et écrit en votre nom.
- Votre compte envoie désormais le message sur Klara à vos contacts. Certains reçoivent aussi une fausse urgence, avec une demande d’argent.
Chaque victime devient l’expéditeur de confiance de la vague suivante. C’est pour cela que l’arnaque se propage si vite.
Pourquoi les conseils habituels échouent
Pendant des années, le conseil standard était de vérifier l’expéditeur. Numéro inconnu, photo de profil étrange, orthographe bizarre : prudence.
Ici, l’expéditeur passe tous les contrôles. Le compte est authentique, tout comme la photo de profil et l’historique des conversations, qui remonte à des années. Seule la personne qui tape ne l’est pas. Aucun contrôle portant sur le compte lui-même ne peut détecter cette attaque.
Comment vous protéger
- Ne saisissez jamais un code WhatsApp et ne scannez jamais un QR code parce qu’un site web vous le demande. Les codes d’association servent uniquement à connecter vos propres appareils, par exemple votre ordinateur portable.
- Vérifiez dès aujourd’hui vos appareils connectés. Dans WhatsApp, ouvrez Réglages → Appareils connectés et déconnectez tout appareil que vous ne reconnaissez pas.
- Vérifiez les demandes inhabituelles sur un second canal. Si un contact vous demande de l’argent, un vote ou un code, appelez-le au numéro que vous avez déjà.
- Convenez d’un mot de code avec votre famille. L’IA permet aujourd’hui de cloner une voix ; un appel téléphonique ne suffit donc plus comme preuve.
Le même schéma dans une banque : Fideuram
Le problème ne touche pas que les particuliers. Le 23 février 2026, le président de Fideuram, la banque privée d’Intesa Sanpaolo, a reçu un message WhatsApp qui semblait venir de Carlo Messina, directeur général du groupe. Il demandait des virements urgents et confidentiels pour une acquisition à l’étranger.
Puis un avocat que le président connaissait personnellement a appelé. La voix sonnait juste, mais elle avait été clonée par IA, et le vrai avocat n’y était pour rien. Des documents falsifiés sont arrivés, dont une procuration portant la signature apparente de Messina. Environ 95 millions d’euros ont quitté la banque. Quelque 53 millions d’euros ont été récupérés et, selon Reuters, environ 36 millions d’euros manquent toujours.
Un détail diffère de l’arnaque Klara. Le faux Messina écrivait depuis un numéro inconnu et le justifiait par la confidentialité de l’opération. Les auteurs de l’arnaque Klara n’ont même pas besoin de cette excuse : ils écrivent depuis le vrai compte.
Dans les deux cas, le nom, la voix et les documents semblaient authentiques, et aucun d’eux ne prouvait qui se trouvait vraiment à l’autre bout.
Là où Trusted Codes intervient
Trusted Codes n’empêche ni la prise de contrôle d’un compte, ni le clonage d’une voix. Il rend les deux inutiles pour la fraude qui suit.
Les collègues et partenaires commerciaux connectés dans Trusted Codes voient dans l’application un mot de code partagé, composé de trois mots. Il change à intervalle fixe ; avec les offres Business, c’est vous qui choisissez cet intervalle, de six heures à 30 jours. Le secret qui le produit est conservé dans le stockage protégé de l’appareil : le trousseau (Keychain) sur iOS, le Keystore sur Android.
Lorsqu’une demande inhabituelle arrive, sur WhatsApp, par téléphone ou par e-mail, vous demandez le mot de code du moment. L’attaquant a peut-être un nouveau numéro, une voix clonée, voire le vrai compte WhatsApp de votre collègue. Ce qu’il n’a pas, ce sont les appareils de votre collègue, et sans eux, pas de mot de code.
C’est le mot de code familial, adapté à l’entreprise :
- Il change régulièrement : un mot surpris ou hameçonné hier ne vaut plus rien aujourd’hui.
- Il fonctionne sur tous les canaux, e-mail compris. Avec les offres Business, vous pouvez aussi sceller un message, et le destinataire peut le comparer à l’original signé.
- Il laisse une trace. Avec les offres Business, les administrateurs voient dans le journal de vérification qui a vérifié qui, et quand. Les mots eux-mêmes ne sont jamais enregistrés.
Dans l’affaire Fideuram, une seule question aurait suffi : « Quel est notre mot de code ? » Ni le faux directeur général ni l’avocat cloné n’auraient pu y répondre.
Que faire maintenant
Vérifiez aujourd’hui vos appareils connectés dans WhatsApp. Et avant que la prochaine demande « urgente » n’arrive à votre service financier, décidez comment vous la vérifierez : une fois l’argent parti, il est trop tard pour y réfléchir.
Sources
- Polizeidirektion Zwickau, avertissement du 24 septembre 2026 (via verbraucherschutzforum.berlin)
- Kantonspolizei Zürich, cybercrimepolice.ch (via Beobachter)
- Reuters, 25 septembre 2026 : AI messaging scam costs Italy's top bank Intesa millions (via Cybernews)
- Sky TG24, 25 septembre 2026 : Truffa a Fideuram