La plupart d'entre nous avons un déclencheur mental pour « mon compte a été piraté » : un e-mail de réinitialisation de mot de passe que nous n'avons pas demandé, un SMS concernant une connexion depuis une ville inconnue, un compte soudainement bloqué. Ce déclencheur avait du sens lorsque la principale menace consistait à deviner ou à forcer votre mot de passe par force brute. Il ne sert quasiment à rien face aux méthodes d'accès observées dans les incidents récents, qui sont conçues spécifiquement pour ne pas l'activer.

Deux exemples survenus ces dernières semaines illustrent ce schéma. Malwarebytes a documenté une arnaque WhatsApp (publiée le 3 août 2026) dans laquelle les victimes sont guidées à travers ce qui ressemble à une « configuration de WhatsApp Web » — parfois sur le vrai domaine wa.me — et finissent par saisir un code qui associe l'appareil de l'attaquant à leur compte. Aucun mot de passe n'est saisi nulle part, donc aucun e-mail de réinitialisation de mot de passe n'est déclenché et aucune alerte de connexion échouée ne se déclenche. L'appareil de l'attaquant devient simplement une entrée discrète supplémentaire dans la liste des appareils liés au compte, avec un accès complet en lecture et en envoi, qu'il utilise ensuite pour mener la même arnaque auprès des contacts de la victime. Par ailleurs, Microsoft a mis en garde contre une campagne qu'elle appelle « CaptiveCrunch », qui intercepte les voyageurs sur les portails captifs Wi-Fi d'hôtels et de conférences, les redirigeant vers de fausses pages de connexion qui récupèrent non seulement les mots de passe, mais aussi les codes d'appareil et les jetons OAuth — des identifiants qui donnent accès sans jamais générer le type de notification de « nouvelle connexion » qu'un changement de mot de passe déclencherait.

Le point commun : les deux attaques visent les mécanismes de session et d'autorisation — appareils liés, autorisations OAuth, codes d'appareil — plutôt que le mot de passe lui-même. Le système d'alerte intégré à votre compte a été conçu pour surveiller la porte d'entrée. Ces méthodes passent par une porte dérobée qu'il ne surveille pas.

Que faire concrètement

Vous ne pouvez pas attendre une notification qui ne viendra jamais. Considérez plutôt la vérification de vos propres appareils liés et applications autorisées comme une routine que vous effectuez vous-même, de la même manière que vous vérifieriez les piles d'un détecteur de fumée. Voici une démarche concrète, dans l'ordre :

1. Vérifiez les appareils liés/actifs sur les applications de messagerie

  • WhatsApp : Paramètres → Appareils liés. Pour tout appareil que vous ne reconnaissez pas, appuyez dessus et sélectionnez « Se déconnecter ».
  • Telegram : Paramètres → Appareils. Même principe : mettez fin à toute session qui ne correspond pas à un appareil que vous avez physiquement entre les mains en ce moment.
  • Signal : Paramètres → Appareils liés, même vérification.

2. Vérifiez les sessions actives et l'accès des applications tierces sur vos comptes principaux

  • Google : myaccount.google.com/security → « Vos appareils » et « Applications tierces ayant accès au compte ». Révoquez tout ce qui vous semble inconnu, et portez une attention particulière aux applications auxquelles vous avez accordé un accès il y a des mois ou des années et que vous avez oubliées — une autorisation ancienne est tout aussi exploitable par un attaquant qu'une nouvelle.
  • Microsoft : account.microsoft.com/security → « Activité de connexion » et « Autorisations des applications ».
  • Apple ID : Réglages → [votre nom] → vérifiez la liste des appareils en bas de la page.
  • Facebook/Instagram : Paramètres → « Où vous êtes connecté » / « Sessions actives », ainsi que « Applications et sites web » pour les accès tiers connectés.

3. Méfiez-vous de tout processus qui vous demande de saisir un code plutôt qu'un mot de passe

Les processus légitimes de « liaison d'un appareil » utilisent bel et bien des codes — ce n'est pas en soi un signal d'alerte. Ce qui doit vous arrêter, c'est l'élément déclencheur : si une invite de saisie de code apparaît à la suite d'un message d'un contact (« votez pour moi », « regarde ça »), d'un portail captif Wi-Fi public, ou de tout lien que vous n'avez pas initié vous-même, considérez-la comme hostile jusqu'à preuve du contraire. Fermez-la et accédez directement à l'application ou au compte plutôt que de poursuivre à partir du lien.

4. Vérifiez si votre adresse e-mail est apparue dans une fuite de données connue

Have I Been Pwned (haveibeenpwned.com), géré par le chercheur en sécurité Troy Hunt, est un service gratuit et bien établi permettant de vérifier si votre adresse e-mail apparaît dans des fuites de données connues — il est suffisamment crédible pour que des gouvernements nationaux l'utilisent pour leurs propres domaines (le centre national de cybersécurité du Népal est devenu le 47e gouvernement à l'adopter, selon des informations parues cette semaine). Il ne détectera pas une compromission par appareil lié, mais c'est une vérification rapide et gratuite qui vaut la peine d'être effectuée sur vos adresses e-mail principales, et c'est la bonne première étape si vous suspectez un problème de compte sans savoir par où commencer.

5. Sur les réseaux non fiables — Wi-Fi d'hôtel, de conférence, d'aéroport — évitez de vous connecter à quoi que ce soit de sensible via la page du portail captif elle-même

Si la page de connexion au Wi-Fi d'un hôtel ou d'un lieu vous demande une mise à jour logicielle, affiche une boîte de dialogue de « vérification de sécurité », ou une connexion Microsoft/Google avant de vous accorder l'accès à Internet, soyez méfiant — connectez-vous d'abord, puis effectuez vos véritables connexions via la connexion cellulaire de votre téléphone ou un VPN plutôt que via la page que le réseau vous propose.

Programmez-le dans votre agenda

Un seul passage de nettoyage résout le problème d'aujourd'hui, mais pas celui du prochain trimestre. Choisissez un rappel récurrent — un rythme trimestriel est raisonnable, ou associez-le à quelque chose que vous faites déjà régulièrement, comme un changement de saison ou une facture récurrente — et parcourez les étapes 1 et 2 ci-dessus pour vos deux ou trois comptes les plus importants : votre e-mail principal, l'application de messagerie que vous utilisez le plus, et tout compte lié à vos finances. Cela prend moins de quinze minutes une fois que vous savez où se trouvent les menus, et c'est le seul moyen fiable de détecter un accès spécifiquement conçu pour ne pas vous alerter.