En règle, mieux vaut privilégier Signal, mais que ceux et celles qui utilisent WhatsApp soient alerté.e.s contre la multiplication des attaques visant les comptes de cette messagerie. Les attaques combinent ciblage sophistiqué et ingénierie sociale (de manipulation, autrement dit) pour obtenir un accès non autorisé, puis déployer d’autres logiciels malveillants susceptibles de compromettre tout le smartphone. Le mode opératoire repose sur des vecteurs classiques : liens empoisonnés, QR codes falsifiés, applications piégées ou encore clones d’apps populaires. Et malgré cette montée en puissance technique, la première menace reste d’une simplicité déconcertante : le vol du code d’authentification envoyé par WhatsApp. C’est le scénario le plus courant. Un attaquant contacte sa victime, la convainc de partager le code à usage unique reçu par SMS, puis transfère le compte sur son propre appareil. Une fois l’opération réalisée, l’utilisateur légitime se retrouve éjecté et doit entamer un processus parfois long pour récupérer son compte. Bref: ne jamais partager votre code de connexion, même avec vos proches. L’entreprise n’a d’ailleurs aucun moyen de désactiver un compte sans pouvoir prouver que le numéro appartient bien à son propriétaire.

Face à ces menaces, l’entreprise invite à vérifier trois réglages essentiels dans Paramètres > Compte. D’abord, l’activation de la vérification en deux étapes. L’utilisateur définit un code PIN permanent, demandé lors de toute tentative de connexion. C’est la barrière la plus importante. L’ajout d’une adresse e-mail de récupération servira en cas de perte du PIN ou si le compte est détourné. Enfin, l’activation d’une passkey (ou clé de passe) : ce système d’authentification renforce encore la sécurité du compte en l’associant à un identifiant cryptographique, généralement une empreinte digitale ou le scan du visage. Au-delà des protections existantes, certains experts plaident pour une transformation plus profonde : associer l’authentification de WhatsApp non pas au numéro de téléphone, mais à la carte SIM physique présente dans l’appareil. Aujourd’hui, n’importe quel attaquant peut détourner un compte simplement en interceptant un code reçu par SMS. Lier l’application à la SIM empêcherait ce transfert silencieux : l’identifiant deviendrait indissociable du téléphone réel.