Alerte à l'arnaque sur WhatsApp : l'IA ne vérifie que les inconnus, pas vos contacts

Le 12 août, Meta a publié une présentation technique de « Scam Alert », une nouvelle fonctionnalité de WhatsApp. Celle-ci est conçue pour alerter les utilisateurs sur les messages frauduleux avant que quiconque ne se fasse piéger. Le processus de vérification s'effectue entièrement sur le téléphone de l'utilisateur.

Une fois activée, WhatsApp télécharge un petit modèle d'IA sur l'appareil. Ce modèle analyse les messages entrants et les compare aux schémas de fraudes signalées, c’est-à-dire aux fils de conversation et aux formulations typiques des escroqueries connues. Aucun contenu de message ne quitte le téléphone à cette fin. Le chiffrement de bout en bout, grâce auquel seuls l’expéditeur et le destinataire voient le texte en clair, reste intact.

Seul le destinataire voit l’avertissement

Si le modèle détecte une tentative probable d’escroquerie, une notification s’affiche directement dans la conversation. L’expéditeur n’en est pas informé. À partir de là, l’utilisateur peut bloquer l’expéditeur, le signaler ou simplement poursuivre la conversation. WhatsApp ne signale automatiquement rien à Meta. Cela ne se produit que si l’utilisateur appuie activement sur « Signaler ».

Seuls les messages provenant d’expéditeurs ne figurant pas dans le répertoire sont vérifiés

Il s’agit là d’une limite, clairement mentionnée dans la description fournie par Meta elle-même. Le modèle classe exclusivement les messages provenant d’expéditeurs qui ne figurent pas dans les contacts de l’utilisateur. Les messages provenant de personnes déjà présentes dans le répertoire ne sont pas vérifiés.

Cela signifie que, paradoxalement, l’arnaque la plus efficace n’est pas détectée. Si le compte WhatsApp d’un ami ou d’un proche est piraté, le message frauduleux provient d’un compte réel et familier. « Alerte à l’arnaque » reste silencieuse dans de tels cas. Le cas d’une fausse application piratant des comptes WhatsApp a démontré comment un tel piratage fonctionne. Même l’appel choquant avec une voix clonée contourne ce contrôle, car il ne passe pas du tout par WhatsApp.

Marquez-le comme fiable une seule fois, et vous ne verrez plus jamais d’avertissement

Si vous estimez qu’un avertissement est erroné, vous pouvez marquer la conversation comme fiable. L’avertissement disparaît alors définitivement pour ce contact. C’est pratique, mais c’est aussi le point faible : c’est exactement le genre de décision que l’on prend sous la pression lorsqu’un escroc habile a déjà établi une conversation. Toute personne qui marque la conversation de cette manière peut également soumettre volontairement les cinq derniers messages reçus à WhatsApp.

Conçu pour garantir la vérifiabilité

En matière de transparence, Meta va plus loin que d’habitude. Chaque version du modèle est enregistrée dans un registre public, accompagnée de sa somme de contrôle, avant son déploiement. La signature provient de Cloudflare ; Meta ne dispose pas de la clé nécessaire à cet effet. Les poids du modèle sont publiés afin que les chercheurs puissent vérifier si le modèle détecte réellement uniquement les escroqueries. Les utilisateurs peuvent eux-mêmes consulter un journal sous « Compte » > « Demander des informations » > « Activité des alertes d’escroquerie », indiquant quels messages ont été vérifiés et quelle version du modèle était en cours d’exécution à ce moment-là.

Les statistiques relatives à la fréquence des alertes émises et à la manière dont les utilisateurs y ont réagi sont traitées dans des environnements informatiques isolés. Avant que Meta n’y ait accès, les données sont agrégées et anonymisées afin qu’aucune conclusion ne puisse être tirée concernant des utilisateurs individuels.

Ce service n’est pas encore disponible

« Scam Alert » fonctionne actuellement dans le cadre d’une version bêta limitée, parallèlement au programme de prime aux bogues de Meta. L’entreprise n’a pas annoncé de date pour le lancement complet ni les pays dans lesquels cette fonctionnalité sera disponible. Aucune déclaration n’a été faite concernant l’Allemagne à ce jour. D’ici là, l’ancienne règle s’applique : si vous recevez une demande d’argent ou un numéro de téléphone prétendument nouveau, contactez la personne en question par un autre moyen, de préférence en appelant l’ancien numéro. Si vous souhaitez savoir à quelle vitesse un compte peut être piraté, même sans mot de passe, consultez le rapport sur le cookie de session volé.