Arnaque WhatsApp « Votez pour Eliska » : comment le piège prend votre compte
Un contact vous écrit sur WhatsApp pour vous demander de voter pour une fillette dans un concours. Le message est anodin, le ton est amical, mais le lien qui l'accompagne ne mène à aucun vote : il sert à rattacher votre compte à l'appareil d'un escroc. Voici comment fonctionne cette arnaque en circulation en octobre 2026 et comment s'en protéger.
Le message prend plusieurs formes. Dans sa version la plus répandue, il commence par « Salut, pourrais-tu voter pour Eliska ? ». D'autres variantes remplacent le prénom par Sophie, ou parlent de « la fille de mes amis ». Selon les versions, la petite participerait à un concours de danse, d'art ou à un concours organisé par son école.
Cette arnaque a été relayée par de nombreux médias, parmi lesquels franceinfo, Clubic, Malwarebytes et Kaspersky. Un député MoDem a même reconnu avoir été piégé, selon une enquête de franceinfo du 22 octobre 2026, reprise par plusieurs médias. Personne n'est donc à l'abri, y compris les personnes habituées au numérique.
Un faux vote qui ne vole pas votre mot de passe
Le point qui surprend le plus est le suivant : les escrocs ne cherchent pas à récupérer votre mot de passe. Malwarebytes, dans son analyse d'août 2026, le dit sans détour : « ces escrocs ne cherchent pas à voler votre mot de passe ». Le lien mène à une fausse page, qui n'est pas une vraie page de vote, et dont l'objectif est tout autre.
Le message provient souvent d'un contact dont le compte est déjà compromis. C'est ce qui rend le piège efficace : on reçoit la demande d'une personne que l'on connaît, avec son nom et sa photo habituels. La confiance joue à plein, et l'on clique sans se poser de question.
Sur la fausse page, la victime est invitée à se connecter ou à vérifier son identité. Elle peut aussi être guidée à travers des étapes qui ressemblent à celles de WhatsApp Web. Dans une autre variante, la page demande de saisir son numéro de téléphone, puis de recopier un code reçu sur WhatsApp.
Cette dernière action est le cœur de l'arnaque. Selon Malwarebytes, « cette action lie votre compte WhatsApp à un appareil contrôlé par l'attaquant ». Elle passe par une fonction tout à fait légitime de l'application, celle des « Appareils connectés ». L'escroc n'a donc rien à pirater au sens classique : c'est la victime qui, sans le savoir, ouvre la porte.
Il existe une autre variante, plus directe. Le message demande d'ouvrir WhatsApp, d'aller dans les appareils connectés et de saisir un code fourni par l'escroc. Là encore, le geste demandé revient à associer un appareil étranger à votre compte.
Une fois la liaison faite, l'attaquant peut lire vos conversations. Il peut aussi envoyer des messages en votre nom, y compris retransmettre l'arnaque à vos propres contacts. Il peut enfin demander de l'argent ou des informations sensibles à vos proches, qui croiront s'adresser à vous.
Autre difficulté : il n'y a pas d'alerte de mot de passe volé. L'appareil de l'attaquant apparaît simplement comme une session supplémentaire. La prise de contrôle peut donc passer inaperçue pendant un certain temps, ce qui laisse à l'escroc le loisir d'agir.
Plusieurs indices permettent de repérer la manœuvre. Le premier est une demande inattendue de « voter » ou de « soutenir » quelqu'un, même si elle vient d'un contact connu. Un message de ce type, sans contexte, mérite déjà de la prudence.
Le deuxième est le ton : informel, pressant, qui incite à agir vite sans réfléchir. Le troisième est le contenu du lien. Si une page vous demande de vérifier, de connecter ou de lier votre compte WhatsApp, ce n'est pas un vote. Il en va de même si on vous demande de scanner un QR code ou de connecter un appareil que vous n'avez pas lancé vous-même.
Le bon réflexe consiste à contacter directement l'expéditeur par un autre canal avant de cliquer. Un appel téléphonique ou un SMS suffit à savoir si la personne a réellement envoyé ce message. Si le site réclame un code WhatsApp ou l'association d'un appareil, il faut interrompre la procédure immédiatement.
La consigne de Malwarebytes est claire : « Ne suivez jamais les instructions pour connecter des appareils » que vous n'avez pas initiés vous-même. Si vous n'avez pas lancé vous-même la démarche, la réponse est non, quel que soit l'expéditeur apparent.
Que faire si vous avez été piégé
Si vous pensez être tombé dans le piège, Malwarebytes recommande d'agir sans attendre. Il faut d'abord se déconnecter immédiatement de tous les appareils connectés. Ensuite, allez dans Paramètres, puis Appareils connectés, et retirez tout appareil inconnu de la liste.
Prévenez également vos contacts. Puisque l'escroc peut écrire à votre place, vos proches doivent savoir que les messages reçus de votre part peuvent ne pas être de vous, notamment s'ils contiennent un lien ou une demande d'argent.
Si vous avez perdu l'accès à votre compte, les sources consultées ne détaillent pas la procédure de récupération. Une piste simple peut être tentée : réinstaller l'application et se réenregistrer avec son numéro pour essayer de reprendre la main, puis retirer les appareils inconnus. Ce point ne vient pas des sources consultées. Le support WhatsApp reste le recours en cas de difficulté.
Pour limiter les risques à l'avenir, les sources recommandent d'activer la validation en deux étapes, protégée par un code PIN. Les sources citées ne détaillent pas la manipulation. Voici la marche habituelle, dont la formulation exacte des menus peut varier selon la version de l'application : Paramètres, puis Compte, puis Validation en deux étapes, puis Activer.
Vous choisissez ensuite un code PIN à six chiffres. Vous pouvez, si vous le souhaitez, ajouter une adresse e-mail de récupération. Gardez ce code pour vous : il ne doit jamais être communiqué à un contact, même familier.
Pour les familles dispersées entre plusieurs pays, ce rappel a une résonance particulière. WhatsApp est un outil de contact familial au quotidien, et un compte piraté sert précisément à solliciter de l'argent aux proches. Le même réflexe vaut donc pour les messages de proches à l'étranger : en cas de demande inhabituelle, un appel direct permet de vérifier avant de cliquer ou d'envoyer quoi que ce soit.
En résumé, un message qui demande de voter, de soutenir ou de connecter un appareil doit éveiller la méfiance, même quand il vient d'un visage familier. Vérifier par un autre canal, ne jamais saisir de code WhatsApp sur un site, contrôler régulièrement la liste des appareils connectés et activer la validation en deux étapes : ces gestes simples suffisent à fermer la porte à ce type d'escroquerie.
Pour le détail technique de cette variante, voir la couverture d'Infosecurity Magazine. Si votre compte a été utilisé, nos guides Usurpation d'identité : que faire, dans quel ordre et l’article sur les fuites de données aident à réagir.
