Arnaques par WhatsApp, SMS et e-mail : les reconnaître et que faire

Une arnaque par message réunit presque toujours trois éléments : la pression, une demande d'argent ou de code, et un interlocuteur impossible à vérifier. Si un message se dit urgent, vient d'un nouveau numéro attribué à un proche ou réclame un virement, un code à six chiffres ou un clic sur un lien, arrêtez-vous et vérifiez par un autre moyen, en appelant le numéro que vous avez déjà enregistré. Si vous avez déjà payé ou donné le code, prévenez votre banque immédiatement, récupérez votre compte WhatsApp avec votre numéro, avertissez vos contacts et portez plainte.

Comment reconnaître une arnaque par message

Des organismes de plusieurs continents, comme la Febraban, la fédération des banques brésiliennes, et l'INCIBE, l'institut national de cybersécurité espagnol, décrivent les mêmes signaux d'alerte :

• Urgence ou menace : votre compte va être bloqué, le colis va être renvoyé, votre proche doit payer une facture tout de suite. La précipitation sert à vous empêcher de réfléchir.
• Une demande d'argent inattendue, presque toujours par un paiement instantané difficile à annuler, comme Pix au Brésil ou Bizum en Espagne.
• Une demande de code : le code de vérification WhatsApp, un code reçu par SMS ou un mot de passe. Selon la Febraban, une banque sérieuse ne demande pas de mot de passe par téléphone, SMS, WhatsApp ou réseaux sociaux.
• Un numéro inconnu qui prétend appartenir à un proche, avec l'histoire d'un téléphone cassé, volé ou remplacé.
• Un lien pour mettre à jour vos données, payer des frais ou débloquer quelque chose, parfois avec des fautes d'orthographe ou une adresse qui ressemble à la vraie.
• Une demande de secret : n'en parle à personne, règle ça seulement avec moi.

Les arnaques WhatsApp les plus courantes

Le faux proche, souvent appelé arnaque coucou maman : quelqu'un écrit depuis un numéro inconnu, parfois avec votre photo ou celle d'un proche copiée sur les réseaux sociaux, en disant avoir changé de téléphone après un vol ou une perte. La demande de virement urgent arrive vite. L'INCIBE décrit la même tactique en Espagne, avec des SMS commençant par hola mamá qui déplacent la conversation sur WhatsApp et se terminent par une demande de paiement Bizum ou de virement.

Le vol de compte avec le code à six chiffres : l'escroc se fait passer pour un employé d'une boutique, d'une banque ou d'un site où vous avez un compte et annonce qu'il va vous envoyer un code de confirmation ou promotionnel. Ce code est celui que WhatsApp envoie par SMS quand quelqu'un essaie d'enregistrer votre numéro sur un autre téléphone : le transmettre revient à livrer le compte. L'escroc écrit ensuite à vos contacts en se faisant passer pour vous et demande de l'argent. Selon les pages d'aide de WhatsApp, il ne peut pas lire vos anciennes conversations, stockées sur votre appareil, mais il peut parler en votre nom.

Faux SMS (smishing) : faux colis et fausse banque

Selon l'INCIBE, le SMS paraît souvent plus fiable que l'e-mail. Les modèles les plus vus sont le colis bloqué faute de numéro de rue ou pour des frais impayés, l'alerte de connexion depuis un nouvel appareil, la carte bloquée et le paiement suspect à confirmer. Tous contiennent un lien vers une fausse page qui imite celle de l'entreprise, ou vers une application malveillante. Et le nom de l'expéditeur peut être usurpé pour ressembler à celui de votre vraie banque.

Faux e-mails (phishing) : factures et compte bloqué

Par e-mail, les appâts sont une facture que vous ne reconnaissez pas, un avis de compte bloqué, un gain ou un remboursement d'impôts. Avant de cliquer, passez en revue quelques points de la liste anti-phishing de la Febraban :

• L'adresse de l'expéditeur est-elle vraiment celle de l'entreprise, ou seulement le nom affiché ?
• Y a-t-il des fautes, un logo mal reproduit ou une mise en page étrange ?
• Le message demande-t-il des données personnelles, un mot de passe ou un numéro de carte ?
• Le lien mène-t-il ailleurs que sur le site officiel, ou la pièce jointe est-elle d'un type inhabituel ?

En cas de doute, ouvrez l'application officielle ou tapez vous-même l'adresse du site et vérifiez si la facture existe vraiment.

Comment éviter les arnaques sur WhatsApp et par message

1. Activez la vérification en deux étapes

   Dans WhatsApp, allez dans Paramètres, Compte puis Vérification en deux étapes. Une fois activée, celui qui obtient votre code à six chiffres a encore besoin d'une seconde preuve. Les pages d'aide indiquent que l'ancien code PIN à six chiffres devient un mot de passe d'au moins 8 caractères, avec au moins une lettre et un chiffre. Ajoutez aussi une adresse e-mail pour pouvoir récupérer le compte.

2. Ne partagez jamais le code

   WhatsApp précise que le code de vérification ne doit être communiqué à personne, pas même à vos amis ou à votre famille. Si vous recevez un code que vous n'avez pas demandé, quelqu'un essaie d'enregistrer votre numéro : ignorez-le.

3. Vérifiez par un autre canal

   Une demande d'argent ne compte qu'après un appel au numéro déjà enregistré dans vos contacts, jamais à celui qui vous a écrit. L'INCIBE conseille de convenir d'un mot secret en famille pour ces situations.

4. Ne cliquez pas : allez à la source

   Livraison, banque ou boutique : ouvrez l'application ou tapez l'adresse du site officiel. Installez les applications uniquement depuis la boutique officielle de votre téléphone.

5. Cachez ce qu'utilisent les escrocs

   Rendez votre photo de profil visible uniquement par vos contacts et activez, dans les paramètres de confidentialité de WhatsApp, l'option qui met en sourdine les appels de numéros inconnus.

Je me suis fait arnaquer : que faire, étape par étape

1. Prévenez votre banque tout de suite

   Si vous avez envoyé de l'argent, contactez votre banque par l'application ou par téléphone et demandez le blocage et le remboursement. Plus vous agissez tôt, plus il y a de chances que l'argent soit encore sur le compte qui l'a reçu.

2. Récupérez votre compte WhatsApp

   Sur le téléphone qui contient votre carte SIM, ouvrez WhatsApp et réenregistrez votre numéro avec le code à six chiffres reçu par SMS ou par appel. Cela déconnecte l'escroc et tous les appareils associés. S'il a activé la vérification en deux étapes, WhatsApp indique d'attendre sept jours et de réessayer.

3. Prévenez vos contacts et vos groupes

   Dites par un autre canal que quelqu'un utilise votre nom. WhatsApp recommande d'essayer de récupérer le compte avant de le signaler, car un signalement peut entraîner le bannissement du compte lui-même.

4. Gardez les preuves

   Faites des captures d'écran, notez les numéros utilisés et le compte qui a reçu l'argent, et conservez le justificatif de paiement.

5. Portez plainte

   Déposez plainte auprès de la police avec vos preuves. En Espagne, la Guardia Civil accepte les plaintes en ligne pour les escroqueries sur internet ; au Brésil, la police civile de chaque État a un commissariat en ligne.

6. Changez vos mots de passe

   Si vous avez saisi un mot de passe sur un faux site, changez-le et activez la vérification en deux étapes.

Payé par virement instantané ? Comment tenter de récupérer l'argent

Les paiements instantanés sont difficiles à annuler, alors la rapidité compte avant tout. En Espagne, l'INCIBE conseille de contacter la banque au plus vite avec une copie de la plainte pour tenter d'annuler l'opération, puis de saisir la Banque d'Espagne si cela ne suffit pas. Au Brésil, Pix dispose de son propre outil, le Mécanisme spécial de restitution (MED) de la Banque centrale, qui s'applique même quand la victime a autorisé le virement après avoir été trompée et peut être demandé jusqu'à 80 jours après le paiement, depuis l'application ou le service client de la banque. Dans les deux cas, le remboursement dépend de la présence de l'argent sur le compte qui l'a reçu.

Comment signaler une arnaque sur WhatsApp

Dans la discussion avec l'escroc, ouvrez le menu des options et utilisez Bloquer et Signaler. La personne signalée n'est pas avertie, et WhatsApp reçoit jusqu'à cinq des derniers messages de cette discussion pour les examiner. Si l'escroc utilise d'autres numéros, il faut bloquer et signaler chacun d'eux. Le signalement dans l'application ne remplace pas une plainte.

Où trouver de l'aide et porter plainte

• Espagne : la ligne d'aide en cybersécurité de l'INCIBE répond gratuitement au 017, tous les jours de 8 h à 23 h, ainsi que sur WhatsApp (900 116 117) et Telegram (@INCIBE017). La plainte se dépose auprès de la police ; la Guardia Civil accepte en ligne les plaintes pour escroqueries et débits frauduleux commis par voie électronique, avec signature électronique.
• Brésil : plainte (boletim de ocorrência) au commissariat ou au commissariat en ligne de la police civile de l'État ; la banque, pour le MED de Pix ; et une réclamation auprès de la Banque centrale si la banque ne règle pas le problème.
• Ailleurs : si un délit a été commis ou si vous ne vous sentez pas en sécurité, WhatsApp conseille de contacter la police ou les autorités locales.