WhatsApp : le chiffrement protège également l'appareil d'un inconnu

Ouvrez les paramètres WhatsApp sur votre téléphone et appuyez sur « Appareils associés ». Tout en bas, juste en dessous de la liste, se trouve une ligne précédée d’un petit cadenas. « Vos messages personnels sont chiffrés de bout en bout sur tous vos appareils. » Cette phrase est correcte. Elle se trouve simplement à un endroit mal choisi, car elle vous rassure précisément là où un problème pourrait se poser.

Les appareils associés ne compromettent pas le chiffrement, ils y participent pleinement. Le centre d’aide l’explique clairement : « Vos messages personnels, vos fichiers multimédias et vos appels sont chiffrés de bout en bout. Chaque appareil associé se connecte à WhatsApp de manière indépendante, en garantissant le même niveau de confidentialité et de sécurité attendu grâce au chiffrement de bout en bout. » Une personne qui associe un appareil à votre compte ne se tient pas à l’extérieur pour écouter vos conversations. Elle se trouve à l’intérieur.

Quatre appareils, un code à usage unique, quatorze jours

Vous pouvez connecter jusqu’à quatre appareils à votre compte simultanément. Cela peut se faire à l’aide d’un code QR ou, depuis quelque temps déjà, simplement à l’aide de votre numéro de téléphone. WhatsApp précise : « Vous pouvez associer un appareil à l’aide du numéro de téléphone de votre compte principal et d’un code à usage unique. » Votre téléphone principal n’a pas besoin de rester connecté par la suite.

Il reste une échéance, qui figure également dans le centre d’aide. « Vous devrez vous connecter à WhatsApp sur votre téléphone principal tous les 14 jours pour que les appareils associés restent connectés à votre compte WhatsApp. » Cette règle semble être une mesure de protection. Elle ne s’applique qu’aux appareils que personne n’utilise plus. Toute personne qui ouvre WhatsApp quotidiennement, ce qui est le cas de la plupart des utilisateurs, maintient ainsi en activité tous les appareils associés, y compris celui d’un inconnu.

Cette technique s’appelle le « ghost pairing »

En janvier 2026, le BSI a mis en garde contre une méthode de hameçonnage qui exploite précisément cette fonctionnalité. Le déroulement de l’opération est banal et efficace précisément pour cette raison. Le message vous parvient, souvent depuis le compte déjà piraté d’une connaissance ou au nom d’une plateforme sociale, et vous redirige vers une fausse page. On vous y demande de confirmer votre identité ou votre numéro de téléphone.

Le BSI décrit la suite des événements comme suit : les pirates transmettent le numéro à WhatsApp et l’utilisent pour lancer la fonction « Associer un appareil à un numéro de téléphone ». WhatsApp génère un code d’appairage à huit chiffres, que les criminels vous demandent ensuite de leur communiquer. Une demande d’appairage s’affiche alors dans l’application, et les victimes sont censées la confirmer elles-mêmes.

C’est là que réside la différence par rapport à tout ce que les utilisateurs ont appris au sujet des piratages de compte. Si quelqu’un réenregistre votre numéro, vous êtes déconnecté et vous vous en rendez compte immédiatement. L’appairage d’un appareil n’est pas une inscription, c’est pourquoi rien de tout cela ne se produit. Vous restez connecté, vos discussions se poursuivent, votre téléphone fonctionne normalement. Le BSI expose les conséquences avec lucidité et précise que l’attaque passe souvent inaperçue pendant longtemps, car une fonctionnalité légitime de l’application est détournée et WhatsApp continue de fonctionner comme d’habitude.

WhatsApp a lancé des avertissements depuis mars, mais pas systématiquement

Meta a depuis apporté un complément d’information et annoncé un avertissement concernant l’association d’appareils le 11 mars 2026. Selon ses propres termes, WhatsApp alertera désormais les utilisateurs « lorsque des signaux comportementaux suggèrent qu’une demande d’association pourrait être suspecte » et indiquera d’où provient cette demande.

Cette seule phrase comporte deux limites. L’avertissement repose sur des signaux comportementaux et qualifie une demande de potentiellement suspecte. Il ne s’agit en aucun cas d’une notification systématique à chaque association d’appareils, mais d’une détection de risque qui peut s’avérer erronée. Meta ne donne aucun détail concernant les régions, les plateformes ou le calendrier dans cette annonce, et la publication est parue dans la rubrique dédiée à l'Inde, accompagnée de chiffres provenant de ce pays. Il est impossible de savoir de l’extérieur si l’avertissement s’affiche sur un compte européen.

La vérification rapide qui fonctionne à tous les coups

Quoi qu’il en soit, il existe une méthode qui fonctionne à tout moment et ne prend que deux minutes. Dans les paramètres de WhatsApp, sous « Appareils associés », vous trouverez la section « État des appareils » et, à l’intérieur, tous les appareils actuellement associés à votre compte. Un simple clic ouvre la vue détaillée indiquant le nom de l’appareil, la plateforme et la mention « Synchronisation terminée » pour l’historique des discussions. En bas se trouve un bouton rouge « Se déconnecter », et en dessous, une ligne indiquant que WhatsApp tient compte de ce cas : « Si vous ne reconnaissez pas cet appareil ou si vous ne pouvez plus y accéder, vous devez vous déconnecter de celui-ci. »

Il manque toutefois un détail, et c’est le plus important. WhatsApp indique uniquement si un appareil est actif à l’instant présent ou à quel moment il a été utilisé pour la dernière fois. La date à laquelle il a été associé n’apparaît nulle part. Une entrée que vous ne pouvez pas localiser ne peut pas non plus être datée, et vous ne saurez jamais depuis combien de temps quelqu’un lit vos messages. En cas de doute, déconnectez-vous de cet appareil, puis vérifiez votre authentification en deux étapes.

Celle-ci a été renforcée le 25 août 2026. Le code PIN à six chiffres est devenu un mot de passe complet, plus long, alphanumérique et autorisant des caractères spéciaux. De plus, vous pouvez configurer une clé d’accès, et depuis la mise à jour, même plusieurs d’entre elles. Aucune de ces mesures n’empêche l’appairage fantôme, car dans ce cas, c’est vous-même qui le confirmez. Toutes deux compliquent considérablement la tâche des pirates qui cherchent à transformer un accès détourné en un accès durable.

Ce qu'il faut retenir

Un code d'appairage, c'est comme une clé que vous jetez par la fenêtre. Personne d'autre que vous n'en a besoin, et aucun site web sérieux ne vous le demandera. Toute personne qui vous pousse à utiliser un code QR ou à saisir huit chiffres en a après votre compte. Le reste relève de la routine : ouvrez de temps à autre la liste des appareils, déconnectez les connexions que vous ne reconnaissez pas et lisez la phrase rassurante qui figure en dessous pour ce qu’elle est : une déclaration concernant le chiffrement et non sur l’identité de la personne qui lit vos données.