Le Matin : Depuis quelques jours, de nombreux témoignages de piratage de comptes WhatsApp, notamment WhatsApp Business, circulent sur les réseaux sociaux. Assiste-t-on à une vague coordonnée de cyberattaques ou à plusieurs campagnes de fraude utilisant des méthodes similaires ?
Pr Youssef Bentaleb : Il faut être prudent avec le mot «vague coordonnée». À ce stade, ce que nous observons au CMRPI ressemble davantage à plusieurs campagnes de fraude qui utilisent les mêmes recettes qu’à une seule attaque pilotée par un groupe unique. Ces méthodes circulent, elles se vendent même sous forme de «kits» prêts à l’emploi sur certains canaux. Résultat : des escrocs différents, parfois sans grandes compétences techniques, reproduisent le même scénario au même moment. Le mécanisme est de même très viral par nature. Un compte piraté sert immédiatement à piéger les contacts de la victime, qui, à leur tour, se font pirater, et ainsi de suite. C’est un effet boule de neige, ce qui donne l’impression d’une attaque massive et simultanée. Enfin, il y a un élément positif : les gens parlent davantage. Les victimes n’ont plus honte de témoigner, elles alertent leur entourage sur les réseaux sociaux. Cette prise de parole amplifie la visibilité du phénomène, mais elle joue tout autant un rôle de sensibilisation et de prévention précieux.
Comment les cybercriminels parviennent-ils concrètement à prendre le contrôle de ces comptes ? Quels sont les pièges les plus fréquemment utilisés et les signes qui doivent alerter les utilisateurs avant qu’il ne soit trop tard ?Dans la majorité des cas, il n’y a pas de «faille» magique dans WhatsApp. Le maillon faible, c’est toujours l’humain. Les pirates ne cassent pas la porte, ils se font remettre la clé. Et cette clé, c’est le code de vérification à six chiffres reçu par SMS. Le scénario le plus répandu est, par la même occasion, le plus simple. Le pirate installe WhatsApp sur son propre téléphone et saisit votre numéro, comme s’il voulait activer votre compte chez lui. WhatsApp vous envoie alors, à vous, un code de vérification par SMS. Au même moment, vous recevez un message d’un proche, un ami, un cousin, un collègue, qui vous écrit : «Salut, je t’ai envoyé un code par erreur, tu peux me le renvoyer ?». Vous faites confiance, puisque c’est son nom et sa photo, et vous transmettez le code. En réalité, ce proche a lui-même déjà été piraté, et le code que vous venez d’envoyer est celui qui permet au fraudeur d’ouvrir votre compte sur son appareil et de vous en exclure. D’autres pièges reposent sur la même logique : un faux message du support WhatsApp ou de Meta qui menace de suspendre votre compte, surtout s’il est professionnel, si vous ne «confirmez» pas vos informations ; un faux concours, un vote pour un proche ou un cadeau à réclamer, qui vous fait saisir votre numéro puis le code sur une page piégée ; de faux livreurs, de fausses administrations ou de fausses offres d’emploi qui renvoient vers des liens frauduleux ; ou encore l’appel d’un soi-disant technicien ou opérateur qui vous demande de lui dicter le code. Certains escrocs détournent aussi la fonction «Appareils connectés» en vous faisant scanner un QR code, ce qui leur ouvre une session WhatsApp Web à distance, sans même avoir besoin du code SMS. Les signaux d’alerte sont assez simples à retenir : quelqu’un vous demande un code que vous n’avez pas sollicité ; on vous presse, on vous met sous pression ; vous recevez un SMS de vérification WhatsApp alors que vous n’avez rien demandé ; ou encore vous découvrez dans «Appareils connectés» une session que vous ne connaissez pas. Un code reçu par SMS ne se partage jamais, avec personne, même pas avec un proche.
Pourquoi les comptes WhatsApp Business semblent-ils particulièrement ciblés ? Quels risques leur piratage représente-t-il pour les professionnels, les commerçants et les influenceurs, mais aussi pour leurs clients et leurs contacts ?Tout simplement parce qu’un compte Business vaut beaucoup plus cher aux yeux d’un fraudeur. Il contient des centaines, parfois des milliers de clients qui font confiance au commerçant, qui ont l’habitude de lui payer des commandes à distance. C’est un terrain idéal pour l’arnaque : le client ne se méfie pas quand «son» vendeur lui demande un virement ou un acompte. Au Maroc, une grande partie du petit commerce en ligne, de la restauration, de l’artisanat et du travail des influenceurs passe désormais par WhatsApp. Pour beaucoup, c’est la vitrine, la caisse et le service client en même temps. Ces comptes sont souvent gérés par des personnes très occupées, qui répondent vite, sans toujours prendre le temps de vérifier. Les risques sont multiples :
• Pour le professionnel : perte d’activité, atteinte grave à la réputation, perte de l’historique des commandes, parfois chantage pour récupérer le compte.
• Pour les influenceurs : usurpation de leur image pour lancer de fausses promotions ou de faux placements d’argent.
• Pour les clients et contacts : arnaques financières, vol de données personnelles et propagation du piratage à leurs propres comptes.
Une fois le compte piraté, comment les fraudeurs l’exploitent-ils généralement ? Peuvent-ils notamment usurper l’identité de la victime pour réclamer de l’argent à ses contacts ou accéder à des informations personnelles et professionnelles ?Effectivement, et c’est précisément l’objectif. Le compte piraté devient un outil de manipulation. Le fraudeur se fait passer pour la victime, avec sa photo, son nom, ses groupes, et il exploite la confiance qui existe déjà. Le schéma classique, c’est la demande d’argent urgente : «Je suis bloqué, j’ai un problème, envoie-moi 2.000 dirhams, je te rembourse ce soir». Pour un compte Business, ce sera plutôt une fausse promotion, un acompte à verser sur un «nouveau RIB» ou un paiement par recharge ou transfert d’argent. De surcroît, le fraudeur utilise le compte pour pirater les contacts en leur demandant leur code, ce qui alimente la chaîne. Et selon les réglages de la victime, il peut accéder aux conversations, aux photos, aux documents échangés, voire à des pièces d’identité ou à des données de clients. Ces informations peuvent ensuite servir au chantage, à la revente ou à des arnaques plus ciblées. Il faut aussi savoir que, dans certains cas, le pirate active lui-même la vérification en deux étapes pour empêcher le propriétaire de récupérer son compte.
Lorsqu’une personne découvre que son compte a été piraté, quels sont les gestes à effectuer immédiatement pour tenter de le récupérer, limiter les dégâts et protéger ses contacts ? Quelles preuves doit-elle conserver et quels recours juridiques peut-elle engager au Maroc, notamment auprès des autorités compétentes ?Le premier conseil : agir vite, sans paniquer. Chaque heure compte.
Les gestes immédiats :• Réinstaller WhatsApp et se reconnecter avec son numéro : le code reçu par SMS permet en général de déconnecter le pirate.
• Prévenir immédiatement ses contacts par un autre canal : SMS, appel, statut sur Instagram ou Facebook. Le message est simple : «Mon WhatsApp a été piraté, n’envoyez ni argent ni code».
• Vérifier les «Appareils connectés» et déconnecter tout ce qui est inconnu, puis activer la vérification en deux étapes.
• Contacter son opérateur si l’on soupçonne un détournement de la carte SIM.
Les preuves à conserver : captures d’écran des messages frauduleux et des demandes d’argent, numéros utilisés, dates et heures, liens reçus, éventuels échanges avec le support WhatsApp et témoignages des contacts sollicités. Il ne faut rien effacer, même si c’est tentant.
Sur le plan juridique, le Maroc dispose d’un cadre clair. L’accès frauduleux à un système informatique est puni par les articles 607-3 et suivants du Code pénal, issus de la Loi 07-03. L’escroquerie relève de l’article 540, et l’usurpation d’identité est également sanctionnée. La victime peut alors déposer plainte auprès du commissariat ou de la Gendarmerie Royale, qui disposent de services spécialisés en cybercriminalité, ou saisir directement le procureur du Roi par une plainte écrite. La victime peut également utiliser la plateforme de signalement en ligne de la Direction générale de la Sûreté nationale (DGSN), e-Blagh. Je conseille toujours de porter plainte, même pour de petits montants. Ces plaintes permettent de recouper les dossiers et de remonter les réseaux.
Que peuvent faire les personnes qui ont envoyé de l’argent à un fraudeur en pensant communiquer avec le véritable titulaire du compte ? Quels recours existent pour tenter de bloquer ou de récupérer les sommes transférées et engager la responsabilité des auteurs, lorsque ceux-ci peuvent être identifiés ?Il faut d’abord rappeler aux victimes qu’elles ne sont pas naïves : elles ont été prises au piège d’une manipulation bien rodée. Ensuite, la rapidité de réaction est déterminante. Il est essentiel de contacter immédiatement sa banque, dans les minutes ou les heures qui suivent, afin de demander le blocage ou le rappel du virement. Si les fonds n’ont pas encore été retirés, il est parfois possible de les geler. La même démarche doit être effectuée auprès de l’agence de transfert d’argent ou du service de paiement mobile utilisé, en fournissant la référence de l’opération. Il est également important de conserver tous les éléments susceptibles de faciliter l’enquête, notamment le reçu de transaction, le RIB ou le numéro du bénéficiaire, ainsi que les échanges avec les escrocs. Enfin, la victime doit déposer plainte pour escroquerie en joignant ces preuves. Les opérations bancaires et les transferts d’argent laissent des traces qui peuvent permettre, dans le cadre d’une réquisition judiciaire, d’identifier le bénéficiaire des fonds. Si les auteurs sont identifiés, la victime peut se constituer partie civile pour obtenir la restitution des sommes et des dommages-intérêts. Il faut être réaliste : la récupération n’est pas toujours garantie, surtout quand l’argent est rapidement fractionné ou transféré à l’étranger. Mais plus la réaction est rapide, plus les chances sont réelles. Et les «mules», ces personnes qui prêtent leur compte bancaire aux escrocs, engagent-elles aussi leur responsabilité pénale ?
Enfin, quelles mesures de sécurité les utilisateurs doivent-ils adopter pour prévenir ce type d’attaque ? La vérification en deux étapes est-elle suffisante et quelles erreurs faut-il absolument éviter pour ne pas se faire piéger ?La vérification en deux étapes est indispensable, mais elle ne suffit pas à elle seule. Elle ajoute un code PIN personnel qui bloque la majorité des prises de contrôle. Mais si quelqu’un parvient à vous faire donner ce PIN ou à vous faire scanner un QR code, la protection tombe. La vraie sécurité, c’est la combinaison de bons réglages et de bons réflexes.
Les bons réglages :• Activer la vérification en deux étapes et y associer une adresse e-mail de récupération.
• Contrôler régulièrement les «Appareils connectés».
• Limiter la visibilité de sa photo de profil et de ses informations aux seuls contacts, et restreindre qui peut vous ajouter aux groupes.
• Protéger sa carte SIM par un code PIN et maintenir l’application et le téléphone à jour.
• Pour les professionnels : réserver un téléphone au compte Business, limiter les personnes qui y ont accès et prévoir un canal de secours pour prévenir les clients.
Les erreurs à ne jamais commettre :• Communiquer un code reçu par SMS, quel que soit l’interlocuteur. WhatsApp ne vous le demandera jamais.
• Cliquer sur un lien de vote, de cadeau ou de «vérification de compte» reçu par message.
• Scanner un QR code envoyé par un inconnu.
• Envoyer de l’argent sur simple message, sans appeler la personne de vive voix pour vérifier.
Un appel de trente secondes évite la plupart des arnaques. Mon message de fond est simple : la cybersécurité n’est pas qu’une affaire de technologie, c’est d’abord une affaire de vigilance au quotidien. Prendre dix secondes pour douter, c’est souvent ce qui fait toute la différence. n