Arnaque « zéro clic » sur WhatsApp : la nouvelle menace invisible qui vide vos comptes

Une technique de piratage d'une redoutable efficacité touche actuellement les utilisateurs de smartphones anciens. Sans lien à cliquer, sans fichier à ouvrir, les cybercriminels prennent le contrôle de comptes WhatsApp et soutirent de l'argent aux proches des victimes. Décryptage d'une menace bien réelle et des moyens de s'en protéger.

Cet article va aussi vous intéresser : Facebook ne veut pas laisser de porte dérobée sur WhatsApp pour permettre l’analyse des messages chiffrés sur le téléphone

Qu'est-ce que l'attaque « zéro clic » ?

L'attaque « zéro clic » (ou zero-click) désigne une méthode d'intrusion informatique qui ne nécessite aucune action de la part de la victime. Contrairement aux arnaques classiques par hameçonnage (phishing), où l'utilisateur doit cliquer sur un lien malveillant, scanner un QR code ou télécharger une pièce jointe infectée, cette technique exploite directement des vulnérabilités logicielles pour prendre le contrôle de l'appareil.

Le principe est aussi simple qu'effrayant : la victime n'a rien à faire pour être piratée. Elle peut continuer à utiliser son téléphone normalement, sans se douter un seul instant que son compte WhatsApp est entre les mains de cybercriminels.

Cette méthode est rendue possible par l'exploitation de failles de sécurité présentes dans les versions obsolètes des systèmes d'exploitation et des applications. Les pirates n'ont besoin d'aucune interaction humaine : l'attaque se déroule en arrière-plan, à l'insu total de l'utilisateur.

Comment fonctionne concrètement cette arnaque ?

Une exploitation en chaîne de vulnérabilités

L'arnaque repose sur l'exploitation combinée de deux vulnérabilités critiques :

• Une faille dans les anciennes versions d'iOS (le système d'exploitation des iPhone). Cette vulnérabilité permet à un attaquant d'exécuter du code malveillant sur l'appareil.
• Une faille de sécurité dans l'application WhatsApp elle-même, qui permet de contourner les mécanismes d'authentification et de synchronisation des appareils liés.

Selon les recherches menées par la société italienne de forensique numérique Forenser, les incidents survenus en Italie en mai 2026 ont été liés à l'exploitation de deux vulnérabilités identifiées : CVE-2025-43300 (une vulnérabilité dans le framework ImageIO d'Apple) et CVE-2025-55177 (une vulnérabilité d'autorisation insuffisante dans les messages de synchronisation des appareils liés de WhatsApp).

Ces deux failles ont été corrigées par Apple et WhatsApp au cours de l'année 2025. Cependant, les appareils fonctionnant encore sous des versions vulnérables d'iOS 16 restent exposés.

Des modèles spécifiquement ciblés

Les recherches ont montré que les appareils concernés sont principalement des iPhone allant du modèle 8 au modèle 14, tous fonctionnant sous une version d'iOS 16. Les autorités espagnoles ont également identifié que les modèles les plus anciens, comme l'iPhone 8, l'iPhone 8 Plus et l'iPhone X (tous sortis en 2017), sont particulièrement vulnérables car ils ne reçoivent plus les mises à jour de sécurité les plus récentes.

Le mode opératoire des cybercriminels

Une fois l'accès au compte WhatsApp obtenu, les pirates déploient une stratégie d'usurpation d'identité redoutablement efficace :

1. Connexion via WhatsApp Web : les attaquants se connectent à la version web de WhatsApp en exploitant la synchronisation des appareils liés. Cette connexion se fait sans que la victime reçoive de notification.
2. Ciblage des proches : les cybercriminels parcourent les conversations récentes de la victime et identifient les contacts les plus proches (famille, amis intimes).
3. Demandes d'argent urgentes : les pirates envoient des messages frauduleux à ces contacts en se faisant passer pour la victime. Ils inventent des situations d'urgence : un colis à régler en urgence à la livraison, l'achat d'un nouveau téléphone après une prétendue casse, ou tout autre prétexte jouant sur l'émotion et le lien affectif.
4. Suppression des preuves : immédiatement après l'envoi, les pirates sélectionnent l'option « Supprimer pour moi ». Grâce à la synchronisation entre le téléphone de la victime et l'appareil des attaquants, les messages disparaissent instantanément de l'écran de la victime, mais restent visibles pour les destinataires.

Un butin potentiellement élevé

Les sommes demandées par les escrocs peuvent atteindre 1 000 euros par virement, selon les données de l'Institut national espagnol de cybersécurité (Incibe). Mais certaines sources évoquent des montants encore plus importants, dépassant parfois les 1 000 dollars.

D'où vient cette arnaque et où sévit-elle ?

Origines et propagation

Les premiers cas documentés de cette attaque ont été identifiés en Italie en mai 2026. La société Forenser a été la première à signaler ces incidents après que des utilisateurs ont découvert que des messages demandant des virements avaient été envoyés depuis leurs comptes à leurs contacts récents.

L'arnaque s'est ensuite propagée à l'Espagne, où l'Institut national de cybersécurité (Incibe) a lancé une alerte officielle. Une cinquantaine de plaintes ont été déposées dans la province de Huelva, dans le sud de l'Espagne.

Une menace internationale

Des cas ont également été signalés au Sri Lanka, où les autorités ont alerté sur des attaques ciblant les iPhone fonctionnant sous des versions d'iOS antérieures à iOS 16.7.12.

En France, bien que les cas documentés soient moins nombreux, la menace est prise très au sérieux par les autorités. La Police nationale italienne a émis une alerte officielle, recommandant aux utilisateurs de suivre une série de mesures préventives.

Pourquoi cette attaque est-elle si dangereuse ?

1. L'invisibilité totale pour la victime

Le caractère le plus inquiétant de cette arnaque est son invisibilité. La victime ne reçoit aucune notification, ne voit aucun message suspect, et son téléphone continue de fonctionner normalement. Elle peut utiliser WhatsApp comme d'habitude, discuter avec ses contacts, sans jamais se douter que son compte est compromis.

Cette invisibilité est renforcée par l'utilisation de la fonction « Supprimer pour moi ». Les messages frauduleux sont effacés du téléphone de la victime, mais les destinataires, eux, continuent de les voir. Cela signifie que la victime peut être la dernière personne à apprendre que son compte a été piraté.

2. Une confiance aveugle des proches

Les destinataires des messages frauduleux reçoivent ces demandes depuis le numéro et la conversation habituels de la personne qu'ils connaissent. Ils n'ont donc aucune raison de se méfier. Les pirates exploitent cette confiance naturelle entre proches pour inciter les victimes à effectuer des virements rapidement, sans vérification approfondie.

3. L'exploitation de l'urgence émotionnelle

Les messages frauduleux jouent sur les biais psychologiques : urgence, peur, empathie. En inventant des situations de détresse (colis bloqué, téléphone cassé), les pirates empêchent les destinataires de prendre le temps de réfléchir. Ils agissent dans l'instant, sous le coup de l'émotion, sans vérifier l'information par un autre canal.

4. Un préjudice financier et relationnel

Au-delà des pertes financières, cette arnaque peut causer des dommages relationnels importants. Les proches qui ont envoyé de l'argent se sentent trahis, tandis que la victime, dont le compte a été piraté, peut être tenue pour responsable par son entourage. La confiance mutuelle est ébranlée.

Comment se protéger efficacement ?

Mesures préventives essentielles

• Mettez à jour votre système d'exploitation et WhatsApp : c'est la mesure la plus importante. Assurez-vous que votre iPhone fonctionne au minimum sous iOS 16.7.12 et que WhatsApp est à jour. Les correctifs de sécurité publiés par Apple et Meta corrigent les vulnérabilités exploitées par les pirates.
• Vérifiez les appareils connectés : ouvrez WhatsApp, allez dans les paramètres, puis dans la section « Appareils connectés ». Si vous voyez un appareil que vous ne reconnaissez pas, déconnectez-le immédiatement. Les recherches ont montré que dans certains cas, les pirates n'apparaissaient pas dans cette section, mais il est essentiel de vérifier régulièrement.
• Activez la vérification en deux étapes : cette fonctionnalité ajoute un code PIN supplémentaire lors de l'enregistrement de votre numéro sur un nouvel appareil. Elle constitue une couche de sécurité importante contre l'usurpation de compte.
• Limitez le téléchargement automatique : désactivez le téléchargement automatique des médias et des pièces jointes dans WhatsApp. Cela réduit la surface d'attaque en cas d'envoi de fichiers malveillants.
• Protégez votre téléphone : utilisez un code, Touch ID ou Face ID pour verrouiller votre appareil. Cela complique l'accès physique non autorisé à vos données.

Que faire si vous êtes victime ?

Si vous suspectez que votre compte WhatsApp a été piraté :

• Déconnectez tous les appareils liés depuis les paramètres de WhatsApp.
• Prévenez immédiatement vos contacts pour qu'ils ne répondent pas aux demandes d'argent.
• Changez votre mot de passe et activez la vérification en deux étapes.
• Signalez l'incident aux autorités compétentes (en France, la plateforme cybermalveillance.gouv.fr ou le commissariat de police).
• Si de l'argent a été envoyé, contactez votre banque au plus vite pour tenter de bloquer le virement.

Les bons réflexes pour vos proches

Si vous recevez une demande d'argent inhabituelle via WhatsApp, même de la part d'un proche :

• Ne répondez pas immédiatement.
• Contactez la personne par un autre canal (appel téléphonique, SMS, autre messagerie) pour vérifier la demande.
• Ne transférez jamais d'argent sans confirmation directe de l'intéressé.
• Signalez le message comme spam ou arnaque dans WhatsApp.

L'IA et les outils de sécurité : des alliés limités

Le rôle des mises à jour

Les mises à jour logicielles sont votre première ligne de défense. Apple et Meta publient régulièrement des correctifs de sécurité qui corrigent les vulnérabilités dès qu'elles sont découvertes. Le problème est que de nombreux utilisateurs n'effectuent pas ces mises à jour, soit par manque de place, soit par négligence, soit parce que leur appareil n'est plus supporté.

Le Lockdown Mode d'Apple

Pour les utilisateurs les plus à risque (journalistes, militants, personnalités publiques), Apple propose un mode d'isolation (Lockdown Mode) qui renforce considérablement la sécurité de l'appareil en limitant certaines fonctionnalités. Ce mode peut être activé depuis les réglages de l'iPhone.

L'intelligence artificielle : une aide, pas une solution

L'IA peut aider à détecter certains schémas d'attaques, mais elle ne peut pas se substituer à une bonne hygiène numérique. Les pirates adaptent constamment leurs techniques, et les modèles d'IA ne sont pas entraînés sur les données illégales du dark web. La vigilance humaine reste indispensable.

Conclusion : ne soyez pas la prochaine victime

L'arnaque « zéro clic » sur WhatsApp représente une évolution inquiétante de la cybercriminalité. Elle démontre que les pirates n'ont plus besoin de la participation active des victimes pour réussir leurs attaques. La technologie est devenue suffisamment sophistiquée pour exploiter silencieusement les failles des appareils obsolètes.

Face à cette menace, la seule véritable protection réside dans la prévention : maintenir ses appareils à jour, activer les mesures de sécurité disponibles, et adopter une vigilance permanente face aux sollicitations inhabituelles, même lorsqu'elles semblent provenir de proches.

N'attendez pas d'être victime pour agir. Vérifiez dès maintenant la version de votre système d'exploitation et de votre application WhatsApp. Si votre appareil ne peut plus recevoir les mises à jour de sécurité, il est peut-être temps d'envisager son remplacement. La sécurité de vos données personnelles et de celles de vos proches en dépend.