Compte WhatsApp ou Telegram piraté ? Comment le récupérer et le verrouiller

Que faire si votre compte WhatsApp est piraté ?

Le centre d’aide de WhatsApp indique une seule procédure de récupération pour un compte compromis, à condition que vous disposiez toujours de la carte SIM de votre numéro ^[1] :

1. Ouvrez WhatsApp et appuyez sur Se reconnecter, puis sur Continuer. Si on vous le demande, saisissez votre numéro de téléphone complet au format international ^[1].
2. Saisissez le code à 6 chiffres reçu par SMS ou par appel téléphonique. Lorsque vous vous réenregistrez avec ce code, tous les appareils connectés à votre compte sont automatiquement déconnectés ^[1].
3. Si l’on vous demande un code PIN de vérification en deux étapes que vous ne connaissez pas, l’intrus en a peut-être défini un. WhatsApp conseille d’attendre 7 jours avant de réessayer ; toute personne utilisant votre compte est quand même déconnectée dès que vous saisissez le code reçu par SMS ^[1].
4. Prévenez votre famille et vos amis, car l’intrus pourrait se faire passer pour vous dans les discussions et les groupes ^[1].
5. Une fois de retour dans votre compte, activez les fonctions de sécurité et vérifiez les appareils associés à votre compte ^[1].

Qu’est-ce qui ne fonctionne pas ?

Changer votre mot de passe ne chassera pas une autre personne de votre compte ; WhatsApp explique que les mots de passe et la vérification en deux étapes protègent un compte auquel vous avez encore accès, et que le réenregistrement avec le code à 6 chiffres est le seul moyen d’expulser un intrus ^[1]. WhatsApp prévient aussi que si vous signalez le compte compromis que vous essayez de récupérer, il risque d’être banni et vous pourriez en perdre l’accès ; il recommande donc de le récupérer d’abord ^[1].

L’intrus peut-il lire mes anciennes discussions ?

Selon WhatsApp, les messages sont chiffrés de bout en bout et stockés sur votre appareil, si bien qu’une personne qui réenregistre votre compte sur un nouvel appareil ne peut pas lire vos conversations passées ^[1]. Elle peut toutefois recevoir de nouveaux messages et écrire à vos contacts tant qu’elle contrôle le compte.

Comment les comptes WhatsApp et Telegram sont-ils piratés ?

Les méthodes de prise de contrôle décrites ci-dessous par les agences de lutte contre la fraude et les chercheurs en sécurité ne cassent pas le chiffrement. Elles amènent par la ruse le titulaire du compte, ou son opérateur mobile, à livrer le moyen de se connecter ^[7][8][9].

L’arnaque « je t’ai envoyé mon code par erreur »

Action Fraud, le centre national britannique de signalement des fraudes, a décrit le schéma en 2023 : un criminel prend d’abord le contrôle d’un compte WhatsApp qui vous compte parmi ses contacts, puis vous écrit en se faisant passer pour votre ami ^[7]. Au même moment, vous recevez un SMS de WhatsApp contenant un code à six chiffres, car le criminel tente de se connecter avec votre numéro ; il prétend vous avoir envoyé ce code par erreur et vous demande de le lui transmettre ^[7]. Une fois le code obtenu, il se connecte, vous bloque l’accès, puis répète la manœuvre auprès de vos contacts ^[7]. Action Fraud avait alors reçu plus de 60 signalements de cette arnaque ^[7].

Le SIM swap

Dans le SIM swap, des criminels persuadent ou soudoient un opérateur mobile pour qu’il transfère votre numéro sur une carte SIM qu’ils détiennent ; vos appels et SMS, y compris les codes à usage unique, arrivent alors sur leur appareil ^[9]. L’Internet Crime Complaint Center du FBI a reçu 1.611 plaintes pour SIM swap en 2021, pour des pertes ajustées de plus de 68 millions de dollars américains ^[9].

QR codes malveillants et appareils connectés

Les deux applications permettent d’utiliser votre compte sur des ordinateurs et d’autres appareils. En novembre 2024, Microsoft a observé un groupe lié à l’État russe, qu’il nomme Star Blizzard, envoyer à ses cibles par e-mail une invitation à rejoindre un groupe WhatsApp ; le QR code de la page d’accueil associait en réalité le compte de la victime à un appareil contrôlé par les attaquants, ce qui leur permettait de lire et d’exporter les messages via WhatsApp Web ^[8]. Microsoft a indiqué que la campagne était limitée et semblait avoir pris fin à la fin de novembre 2024 ^[8].

Autres voies

WhatsApp conseille de définir un mot de passe de messagerie vocale difficile à deviner afin que personne ne puisse accéder à votre messagerie, et de ne pas cliquer sur les liens d’e-mails non sollicités contenant un code d’enregistrement, ce qui peut signifier que quelqu’un tente d’enregistrer votre numéro ^[2]. Telegram recommande de traiter tout bot comme un inconnu et de ne jamais lui communiquer de mots de passe ni de codes Telegram ^[6].

Comment récupérer un compte Telegram piraté ?

Telegram indique que le numéro de téléphone est actuellement le seul moyen dont il dispose pour identifier un utilisateur : celui qui détient le numéro détient le compte, et Telegram ne peut pas vous aider si vous n’avez accès ni au numéro ni à Telegram sur l’un de vos appareils ^[6]. Ses conseils en cas de vol de téléphone constituent le meilleur guide pour toute prise de contrôle ^[6] :

1. Si vous êtes encore connecté sur un autre appareil : allez dans Paramètres, puis Confidentialité et sécurité, et activez la validation en 2 étapes, afin que le numéro de téléphone seul ne suffise plus pour se connecter ^[6].
2. Allez dans Paramètres, puis Appareils (ou Confidentialité et sécurité, puis Sessions actives), et mettez fin à la session que vous ne reconnaissez pas. Sans votre mot de passe, cet appareil ne pourra plus se reconnecter ^[6].
3. Si vous n’avez accès à aucun appareil : contactez votre opérateur téléphonique pour faire bloquer l’ancienne carte SIM et en obtenir une nouvelle avec votre numéro, puis connectez-vous et mettez fin aux sessions inconnues ^[6].

Si quelqu’un se fait passer pour vous sur Telegram, la FAQ indique de contacter @NoToScam ^[6]. Les codes de connexion de Telegram arrivent dans la discussion de service vérifiée nommée « Telegram » et ne doivent jamais être communiqués à personne, y compris à d’autres services ou applications ^[6].

Qu’est-ce qui est exposé sur Telegram ?

Telegram conserve les discussions cloud afin que vous puissiez y accéder depuis n’importe quel appareil, et elles se synchronisent instantanément sur chaque appareil où vous vous connectez ^[6]. Les discussions cloud utilisent un chiffrement serveur-client, tandis que les discussions secrètes ajoutent un chiffrement de bout en bout, ne font pas partie du cloud de Telegram et ne sont accessibles que sur leurs appareils d’origine ^[6]. Concrètement, une session ouverte par un intrus peut donc voir vos discussions cloud mais pas vos discussions secrètes, d’où l’importance de mettre rapidement fin aux sessions inconnues.

Quels réglages protègent les comptes WhatsApp et Telegram ?

Les deux applications proposent des couches de protection qui rendent un code ou un numéro de téléphone volé insuffisant à lui seul. WhatsApp souligne que ces fonctions ne valent que pour un compte auquel vous avez encore accès ; elles ne peuvent ni rétablir un accès perdu ni expulser quelqu’un qui est déjà entré ^[2].

• Vérification en deux étapes. Sur WhatsApp, allez dans Paramètres, Compte, Vérification en deux étapes, activez-la, créez un mot de passe robuste et ajoutez éventuellement une adresse e-mail ^[3]. WhatsApp indique qu’il remplace le code PIN à 6 chiffres de la vérification en deux étapes par un mot de passe ^[3]. Sur Telegram, la validation en 2 étapes se trouve dans Paramètres, Confidentialité et sécurité ; une fois activée, il faut à la fois un code SMS et un mot de passe pour se connecter ^[6].
• Adresse e-mail de récupération. WhatsApp indique qu’une adresse e-mail ajoutée lors de l’enregistrement permet de récupérer le compte sans SMS ni appel téléphonique ^[2]. Telegram permet de définir une adresse e-mail de récupération en cas d’oubli du mot de passe et conseille de protéger aussi ce compte de messagerie par un mot de passe robuste et la validation en 2 étapes ^[6].
• Passkeys. Une passkey est une méthode de connexion liée au verrouillage d’écran, à l’empreinte digitale ou au visage de votre appareil. WhatsApp associe votre compte au système de sécurité de votre appareil lorsque vous en configurez une ^[4]. Telegram affirme que les passkeys sont plus sûres que les codes SMS et peuvent être sauvegardées dans un gestionnaire de mots de passe comme le trousseau iCloud ou le Gestionnaire de mots de passe de Google ^[6].
• Verrouillage de l’application et des discussions. WhatsApp propose le verrouillage de l’application et le verrouillage des discussions ^[2] ; Telegram recommande un code d’accès pour verrouiller l’application ^[6].
• Options pour les personnes à risque. Les paramètres de compte stricts de WhatsApp appliquent ses contrôles de confidentialité et de sécurité les plus rigoureux et s’adressent aux personnes qui pensent pouvoir être ciblées ^[2]. Telegram recommande les discussions secrètes, dans des applications officielles ou open source vérifiables, aux personnes inquiètes pour leur sécurité personnelle ^[6].

Comment vérifier les appareils connectés et les sessions actives ?

Un appareil connecté ou une session que vous ne reconnaissez pas est un signe fréquent de prise de contrôle, et l’attaque par QR code décrite plus haut repose entièrement sur ce mécanisme ^[8].

• WhatsApp : ouvrez le menu, appuyez sur Appareils connectés pour passer en revue tous les appareils, puis appuyez sur un appareil et sur Se déconnecter pour le supprimer ^[2]. WhatsApp souligne l’importance de vérifier régulièrement les appareils connectés et précise que vous pouvez vous déconnecter de toutes les sessions WhatsApp Web depuis votre téléphone ^[5].
• WhatsApp Web : avant de scanner le QR code, vous pouvez décocher « Rester connecté sur ce navigateur » afin que la session prenne fin lorsque vous fermez l’onglet ou le navigateur ^[5].
• Telegram : Paramètres, puis Appareils (ou Confidentialité et sécurité, puis Sessions actives), affiche les sessions auxquelles vous pouvez mettre fin ^[6]. Les passkeys peuvent être consultées sous Paramètres, Confidentialité et sécurité, Passkeys, avec leur date de création et de dernière utilisation ^[6].

Ne scannez un QR code WhatsApp ou Telegram que depuis l’application ou le site officiel que vous avez ouvert vous-même. Un QR code envoyé par e-mail ou par message pour « rejoindre un groupe » mérite la même méfiance qu’un lien ; pour ce type d’e-mail, Microsoft conseille de contacter l’expéditeur présumé à une adresse connue et déjà utilisée ^[8].

WhatsApp ajoute qu’il ne peut pas vous dire qui a accédé à votre compte, ni quand ni d’où ^[5].

Pourquoi les passkeys et la vérification en deux étapes sont-elles recommandées ?

Un code envoyé par SMS prouve seulement que quelqu’un peut recevoir les SMS destinés à votre numéro. Si un criminel vous amène à le lui transmettre, ou fait transférer votre numéro sur sa carte SIM, le code fonctionne pour lui ^[7][9]. Un second secret ou une passkey liée à l’appareil l’en empêche.

Le FBI recommande une authentification multifacteur robuste, comme la biométrie, les jetons de sécurité physiques ou les applications d’authentification autonomes, et conseille de ne jamais communiquer les informations de votre compte mobile à des interlocuteurs qui vous demandent votre mot de passe ou votre code PIN ^[9]. Telegram indique que les codes SMS n’arrivent souvent pas et peuvent être interceptés ^[6].

En octobre 2026, le service britannique Report Fraud a lancé une campagne incitant le public à passer aux passkeys, après avoir indiqué que les sommes volées par le piratage de comptes de messagerie et de réseaux sociaux étaient passées de 1,2 million de livres sterling l’année précédente à 6,3 millions de livres sterling en 2025/26 ; les signalements de ce type de prise de contrôle de compte ont augmenté de 34 % ^[10]. Report Fraud a précisé que l’un des usages les plus courants des comptes piratés par les criminels consiste à se faire passer pour des proches et des amis ^[10].

Que doivent savoir les utilisateurs en Iran ?

L’accès aux deux applications en Iran a été façonné par les blocages gouvernementaux. Freedom House rapporte que Telegram a été filtré de façon permanente en avril 2018 et que WhatsApp et Instagram ont été bloqués en 2022 pendant les manifestations « Femme, Vie, Liberté » ^[11]. En décembre 2024, l’agence de presse officielle iranienne IRNA a annoncé qu’un vote avait été obtenu pour lever les restrictions visant WhatsApp et Google Play ^[12].

Freedom House note également que les versions iraniennes d’applications populaires, comme Bale, Rubika et Soroush, bénéficient d’un important soutien financier de l’État, et qu’un groupe de pirates lié au Corps des gardiens de la révolution islamique s’est fait passer en ligne pour des journalistes et des militants des droits humains afin d’attirer des opposants dans des opérations de phishing ^[11]. L’achat d’une carte SIM exige un enregistrement nominatif avec un passeport ou une pièce d’identité ^[11].

Voici les conseils pratiques qui découlent des recommandations des plateformes elles-mêmes : n’installez les applications qu’à partir de sources officielles, car Telegram recommande des applications officielles ou open source vérifiables pour les discussions sensibles ^[6] ; ne communiquez jamais un code de connexion, quel que soit le demandeur ^[2][6] ; et laissez la vérification en deux étapes activée, afin que le contrôle du numéro de téléphone ne suffise pas à s’emparer du compte ^[6].

Que ne peut pas réparer la récupération ?

La récupération vous rend le contrôle, mais elle a des limites qu’il vaut mieux connaître à l’avance :

• Un compte WhatsApp ne peut pas être récupéré sans une carte SIM associée au même numéro de téléphone ^[1].
• WhatsApp ne peut pas désactiver les comptes d’autres personnes, bloquer ou débloquer des contacts à votre place, ni vous dire qui a accédé à votre compte ^[1].
• Si vous passez à une nouvelle carte SIM tout en conservant l’ancien compte WhatsApp, vous devez utiliser la fonction de changement de numéro, faute de quoi vous pourriez perdre définitivement l’accès ^[1]. Telegram prévient de même que si le compte n’est pas lié à un numéro que vous contrôlez, vous risquez d’en perdre l’accès pour toujours ^[6].
• La récupération n’efface pas ce que l’intrus a déjà envoyé ; WhatsApp conseille de prévenir votre famille et vos amis, car l’intrus pourrait se faire passer pour vous dans les discussions et les groupes ^[1].

Si de l’argent a été dérobé ou demandé en votre nom, signalez-le à la police ou au service national de signalement des fraudes de votre pays ; au Royaume-Uni, il s’agit d’Action Fraud, qui conseille aussi d’appeler un ami ou un proche pour confirmer toute demande inhabituelle ^[7].