Vague de piratages des comptes WhatsApp Business : voici ce qu’il faut faire

Les comptes WhatsApp Business sont devenus la cible privilégiée d'une vague d'attaques d'ingénierie sociale et de hameçonnage (phishing) particulièrement virulente ces derniers temps. Que vous soyez artisan, commerçant, indépendant ou PME, la perte du contrôle de votre ligne professionnelle peut paralyser votre activité en quelques minutes.

Pourquoi les comptes Business sont-ils ciblés ?

Contrairement à un compte personnel où le pirate cherche souvent à piéger l'entourage proche, un compte WhatsApp Business réunit plusieurs leviers critiques pour les cybercriminels. Ceux-ci visent d’abord l’accès direct à vos clients, l'usurpation d'identité permettant au pirate de contacter la base client pour envoyer de fausses factures, réclamer des acomptes ou diffuser des liens malveillants avec le capital confiance de votre marque.

Les cybercriminels sont également à la recherche de données sensibles comme les devis, les historiques de commandes, les informations bancaires ou les coordonnées de partenaires et le canal professionnel regorge de données exploitables.

Le piratage de compte peut par ailleurs aboutir au chantage et à la demande de rançon. Une fois le compte verrouillé avec leur propre code de sécurité, les pirates exigent parfois un paiement pour vous restituer l'accès.

Les 3 scénarios d'attaque les plus courants

Les cybercriminels s'appuient rarement sur des failles techniques complexes ; ils exploitent en priorité le manque de vigilance et l'urgence.

1. L'imposture "Support Meta / WhatsApp"

Vous recevez un message (ou un e-mail) prétendant provenir du service client officiel de Meta. Le prétexte ? Une "mise à jour obligatoire des conditions d'utilisation Business", un "signalement de violation de copyright" ou une "tentative de connexion suspecte". 

Pour éviter la suspension du compte, l'escroc vous invite à cliquer sur un lien externe ou à lui communiquer un code qu'il vient de déclencher sur votre téléphone.

2. Le piège du code de vérification SMS

Le pirate tente d'enregistrer votre numéro de téléphone sur son propre appareil. WhatsApp génère alors un SMS de vérification à 6 chiffres vers votre téléphone. 

Au même moment, vous recevez un message d'un contact partenaire dont le compte a déjà été piraté, ou d'un inconnu prétextant une erreur : "Désolé, je me suis trompé de numéro en demandant mon code, peux-tu me le renvoyer ?". Si vous partagez ce code, l'attaquant prend instantanément le contrôle de votre compte. 

3. La prise de contrôle via WhatsApp Web / QR Code

En envoyant un lien piégé ou en vous invitant à scanner un QR Code sur un faux site d'assistance ou de partenaire, le pirate établit une session WhatsApp Web à votre insu. Il peut alors suivre vos échanges en temps réel et interagir à votre place. 

Comment protéger votre compte dès aujourd'hui ?

Sécuriser votre compte WhatsApp Business ne prend que quelques minutes et permet de bloquer la quasi-totalité des tentatives de piratage.

1. Activez la vérification en deux étapes (2FA) 

C'est la protection la plus efficace. Elle associe un code PIN confidentiel à 6 chiffres à votre compte.

• Ouvrez WhatsApp Business et allez dans Paramètres (ou Réglages).
• Rendez-vous dans Compte > Vérification en deux étapes. 
• Appuyez sur Activer, choisissez un code PIN robuste et associez-y votre adresse e-mail professionnelle (utile en cas d'oubli).

Règle d'or : Ne communiquez jamais votre code de vérification SMS ni votre code PIN 2FA, même si la demande semble provenir d'un proche, d'un collègue ou du "support". 

2. Contrôlez régulièrement vos appareils connectés 

Si vous utilisez WhatsApp Web ou l'application PC/Mac, vérifiez fréquemment les sessions actives : 

• Dans WhatsApp, allez dans Paramètres > Appareils connectés.
• Examinez la liste. Si un navigateur ou une localisation vous parait suspecte, appuyez dessus puis sélectionnez Déconnexion. 

3. Verrouillez l'accès à l'application

Activez le verrouillage biométrique (Face ID, Touch ID ou empreinte digitale) dans Paramètres > Confidentialité > Verrouillage de l'application. Cela empêche quiconque ayant accès physique à votre téléphone déverrouillé d'ouvrir vos messages.

4. Restez vigilant face au sentiment d'urgence

Méfiez-vous de tout message exigeant une action immédiate, un paiement sous menace de suspension ou l'ouverture d'un lien externe. Meta ne vous demandera jamais votre code de confirmation par message direct sur l'application. 

Que faire si votre compte a déjà été compromis ?

Si vous ne pouvez plus accéder à votre compte ou si des messages non sollicités sont envoyés à vos clients :

1. Réinscrivez-vous immédiatement : Connectez-vous à WhatsApp Business avec votre numéro de téléphone et saisissez le code reçu par SMS. Cela déconnectera automatiquement l'appareil du pirate. 
2. Si l'attaquant a activé la vérification en deux étapes : Vous devrez patienter 7 jours pour réinitialiser le code PIN sans l'e-mail de secours. Durant cette période, l'attaquant sera toutefois déconnecté de votre session. 
3. Prévenez immédiatement vos clients et partenaires : Publiez un avertissement sur vos réseaux sociaux professionnels ou envoyez un e-mail à vos clients pour les avertir de ne pas répondre aux demandes de transfert ou de paiement venant de votre numéro.
4. Signalez l'incident : Informez le support officiel de WhatsApp via l'application ou l'adresse support@whatsapp.com en précisant qu'il s'agit d'un compte professionnel usurpé.