WhatsApp : validation en deux étapes et sécurité du compte Business

Un matin, vos clients vous écrivent : « Vous nous demandez de l'argent en urgence depuis ce numéro, c'est vrai ? » Votre compte a peut-être été piraté. Quand le numéro professionnel est compromis, le problème ne se limite pas aux messages : la confiance des clients, les échanges de commandes, les groupes enregistrés et votre réputation sont en jeu. Heureusement, la plupart des méthodes d'attaque les plus courantes peuvent être déjouées par de bonnes habitudes. Cet article ne vise pas à éclairer les attaquants, mais à vous protéger : il explique comment activer la validation en deux étapes, comment reconnaître l'arnaque au code de vérification et dans quel ordre agir si le compte est piraté.

Qu'est-ce que la validation en deux étapes ?

Lorsque vous enregistrez votre numéro sur un nouvel appareil, WhatsApp vous envoie un code de six chiffres par SMS ou par appel. Ce code suffit à lui seul : si quelqu'un le découvre, il peut transférer votre compte sur son propre téléphone. La validation en deux étapes ajoute un second obstacle : lors de l'enregistrement, un code PIN de six chiffres que vous avez défini vous-même est également demandé. Un attaquant qui intercepte le SMS ne peut pas entrer sur votre compte tant qu'il ne connaît pas le PIN.

Cette fonction offre une protection, mais pas une garantie absolue. Choisir un PIN facile à deviner ou le communiquer à quelqu'un annule cette protection.

Comment l'activer ?

1. Dans WhatsApp, suivez le chemin Réglages > Compte > Validation en deux étapes. Le chemin est similaire dans l'application Business.
2. Touchez Activer.
3. Définissez un PIN à six chiffres. Évitez la date de naissance, les derniers chiffres du numéro de téléphone ou des suites comme 123456.
4. Confirmez le PIN.
5. Ajoutez une adresse e-mail de récupération. C'est à cette adresse que vous recevrez le lien de réinitialisation si vous oubliez le PIN ; elle doit être accessible.
6. Enregistrez et validez votre e-mail.

De temps en temps, WhatsApp vous demande si vous vous souvenez de votre PIN. Plutôt que de passer ces avertissements à la hâte, enregistrez le PIN dans un gestionnaire de mots de passe. Si vous oubliez le PIN sans adresse de récupération, la réinitialisation de votre compte peut prendre jusqu'à sept jours.

Comment fonctionne l'arnaque au code de vérification ?

L'escroc tente d'enregistrer votre numéro sur un autre téléphone ; WhatsApp envoie alors le code par SMS. Il tente ensuite de vous faire croire une histoire pour que vous lui communiquiez ce code. Pour la repérer, il suffit de connaître les prétextes les plus fréquents.

La règle est simple : ne partagez jamais avec qui que ce soit le code de six chiffres reçu de WhatsApp, même si la demande vient d'une personne que vous connaissez. Appelez cette personne par un autre moyen pour le vérifier.

Le code arrive alors que vous ne l'avez pas demandé

Si un SMS avec un code de vérification WhatsApp arrive sur votre téléphone, quelqu'un tente d'enregistrer votre numéro. Ne communiquez pas le code. Si la validation en deux étapes est activée, l'attaquant ne peut pas aller plus loin, puisqu'il ne connaît pas le PIN. Plusieurs codes reçus successivement sont un avertissement : vérifiez votre PIN.

Arnaque par appareil lié

Les escrocs ne se contentent pas du code : ils peuvent aussi utiliser le mécanisme des appareils liés. Ils vous demandent de scanner un code QR ou de saisir un code d'association qu'ils vous envoient, sous prétexte par exemple d'une « page de campagne » ou d'une « validation de paiement ». Si vous le faites, votre compte est relié à leur appareil et ils peuvent voir vos conversations.

• Ne scannez un code QR que dans une connexion que vous avez vous-même lancée : web.whatsapp.com ouvert sur votre ordinateur, ou votre propre panneau.
• Ne scannez jamais un code QR figurant sur une image que quelqu'un vous a envoyée.
• Ne faites pas confiance à une personne qui vous demande de saisir un « code d'association » sur votre téléphone.
• Vérifiez régulièrement la liste Appareils liés sur votre téléphone et retirez toute session que vous ne reconnaissez pas.

Pour bien utiliser le code QR, consultez le guide de connexion par code QR.

Mesures supplémentaires pour un compte professionnel

• Verrouillage de l'écran du téléphone : déverrouillez par empreinte, reconnaissance faciale ou PIN. Sur un téléphone professionnel utilisé par plusieurs personnes, ajoutez en plus un verrouillage de l'application WhatsApp.
• Carte SIM : demandez à votre opérateur une validation supplémentaire pour les demandes de copie de SIM et de portabilité du numéro. Ne laissez pas le code PIN de la ligne par défaut.
• Messagerie vocale : certaines attaques détournent vers la messagerie vocale le code de vérification envoyé par appel. Modifiez le code PIN de votre messagerie vocale.
• Application officielle : installez WhatsApp uniquement depuis les boutiques officielles. Les versions modifiées présentent à la fois un risque de restriction et une faille de sécurité.
• Organisation de l'équipe : notez par écrit qui utilise le compte. Supprimez le même jour l'accès d'un collaborateur qui quitte l'entreprise et changez le PIN si nécessaire.
• Liens suspects : ne cliquez pas sur les liens des messages du type « Votre compte va être fermé ».

Si votre compte a été piraté

1. Gardez votre calme et validez à nouveau votre numéro depuis votre propre téléphone. Installez WhatsApp, saisissez le numéro puis le code reçu. Cela déconnecte l'attaquant de la session.
2. Si l'application vous demande le PIN de validation en deux étapes, saisissez-le. Si l'attaquant a défini un PIN, suivez les démarches de réinitialisation proposées par l'application ; une attente de sept jours peut être nécessaire.
3. Activez immédiatement la validation en deux étapes ou renouvelez le PIN.
4. Retirez de la liste Appareils liés les sessions que vous ne reconnaissez pas.
5. Prévenez vos proches et vos clients par un autre canal : « Mon compte a été piraté, ne donnez suite à aucune demande d'argent ou de connexion venant de moi. »
6. Si nécessaire, contactez l'assistance WhatsApp depuis l'application ou la page d'aide et conservez les preuves.
7. Changez aussi les mots de passe des autres comptes présents sur votre téléphone.

Personne ne peut garantir que ces étapes permettront de récupérer le compte dans tous les cas, mais agir rapidement augmente nettement les chances de succès.

Notes pour les utilisateurs de WapFlow

Le compte que vous reliez à WapFlow apparaît comme une session dans la liste Appareils liés de votre téléphone. Veillez donc à ce qui suit :

• Ne reliez le compte que depuis votre propre panneau et à votre initiative. Pour la connexion, n'envoyez à personne l'image d'un code QR ni un code d'association.
• Choisissez pour votre compte du panneau un mot de passe fort, que vous n'utilisez nulle part ailleurs.
• Si vous donnez accès au panneau à votre équipe, définissez qui travaille avec quel compte. Pour l'organisation multi-comptes, consultez notre article sur la gestion multi-comptes.
• Si vous voyez dans la liste des appareils liés de votre téléphone une session que vous ne reconnaissez pas, retirez-la.

Pour la restriction du compte à cause de messages non sollicités, les causes et les démarches de recours sont détaillées dans notre article sur les raisons de restriction d'un compte.

Une règle en une phrase pour votre équipe

La formation à la sécurité ne demande pas de longues présentations. Apprendre une seule règle à vos collaborateurs empêche la plupart des attaques. Vous pouvez l'épingler dans le groupe de l'équipe :

Nous ne partageons jamais avec qui que ce soit le code de six chiffres reçu de WhatsApp, un code QR ou un code d'association. Si quelqu'un le demande, quel qu'il soit, nous en informons d'abord la direction.

Vérifiez également avec chaque nouveau collaborateur que la validation en deux étapes est activée, et, au moment de son départ, confirmez par écrit que les sessions sur son téléphone professionnel ont été fermées. Dans les petites entreprises, c'est généralement le patron qui s'en charge ; à mesure que l'équipe grandit, désigner une personne responsable évite le « personne n'a vérifié ».

Informez aussi vos clients. Ajouter à vos messages ou à la description de votre profil la mention « Nous ne vous demanderons jamais de code de vérification ni d'informations de paiement » les aide à reconnaître les escroqueries et préserve leur confiance face aux faux messages.

Liste de contrôle de sécurité

Questions fréquentes

J'ai oublié le PIN de validation en deux étapes, que faire ?

Si vous avez ajouté une adresse de récupération, vous pouvez recevoir un lien de réinitialisation. Sans e-mail, il est possible, après une période d'attente définie par WhatsApp, d'enregistrer le compte sans PIN.

Faut-il changer le PIN ?

Changez-le si vous pensez qu'il a pu être découvert par quelqu'un d'autre, ou lorsqu'un collaborateur quitte l'entreprise. Le changer régulièrement n'est pas obligatoire.

Comment savoir si quelqu'un lit mon compte ?

Vérifiez si la liste des appareils liés contient une session que vous ne reconnaissez pas, ou si vos messages apparaissent comme « lus » alors que vous ne les avez pas ouverts.

La validation en deux étapes est-elle distincte entre le compte Business et le compte ordinaire ?

Oui. Chaque application est rattachée à son propre numéro et le réglage doit être activé séparément. Si vous utilisez les deux applications, définissez un PIN pour chacune, et ne les rendez pas identiques.

La validation en deux étapes empêche-t-elle la restriction du compte ?

Non. La protection de la sécurité et le respect des conditions d'utilisation sont deux sujets distincts.

Une fois la sécurité renforcée, vous pouvez essayer WapFlow pour organiser vos échanges avec vos clients : en reliant votre compte uniquement depuis votre propre panneau, vous gérez vos contacts, vos campagnes et vos réponses automatiques en un seul endroit.