Un message provenant d’un contact WhatsApp connu, une invitation à participer à un vote et une courte confirmation : dans certains cas, cela suffit pour permettre à des criminels de lire les messages WhatsApp d’une autre personne. Cette technique frauduleuse est appelée « Ghost Pairing » et exploite une fonctionnalité tout à fait normale de la messagerie.

Un vote anodin ?

À première vue, le message ne semble pas suspect : un contact connu demande de voter pour son favori dans le cadre d’un vote en ligne. Un lien mène vers un site Internet sur lequel il est censé être possible de participer au vote.

Mais ce prétendu vote est en réalité frauduleux. Derrière celui-ci se trouvent des criminels qui tentent d’obtenir l’accès au compte WhatsApp de la personne contactée.

Sur le site Internet, il peut par exemple être demandé d’indiquer son propre numéro de téléphone, puis de saisir un code dans WhatsApp ou de scanner un code QR.

Ce qui ressemble à une confirmation nécessaire pour participer au vote sert en réalité à tout autre chose : connecter un appareil tiers à son propre compte WhatsApp.

Comment fonctionne le Ghost Pairing ?

WhatsApp dispose de la fonctionnalité officielle « Appareils connectés ». Celle-ci permet d’utiliser WhatsApp non seulement sur un téléphone, mais aussi, par exemple, sur un ordinateur.

Les criminels détournent cette fonctionnalité en utilisant de faux votes ou de faux jeux-concours afin d’inciter les victimes à établir une telle connexion.

Pour cela, ils préparent une connexion WhatsApp sur leur propre appareil. La personne ciblée est ensuite invitée à scanner un code QR ou à saisir un code de connexion dans WhatsApp.

Si la connexion est confirmée, l’appareil tiers obtient alors accès au compte WhatsApp.

Les criminels n’ont donc pas besoin de voler un mot de passe ni d’exploiter une faille de sécurité technique. Ils amènent simplement la personne concernée à autoriser elle-même l’accès.

Pourquoi cet accès passe-t-il souvent inaperçu ?

Le caractère particulièrement trompeur du Ghost Pairing tient au fait que WhatsApp continue de fonctionner tout à fait normalement sur le téléphone de la victime.

Parallèlement, les criminels peuvent recevoir de nouveaux messages via l’appareil connecté, consulter certaines parties de l’historique des conversations et envoyer eux-mêmes des messages au nom de la personne concernée.

Ils peuvent ainsi, par exemple, demander de l’argent à des contacts ou diffuser d’autres liens vers de faux votes. Comme ces messages proviennent d’un véritable compte WhatsApp, ils paraissent particulièrement crédibles.

De cette manière, les tentatives de fraude peuvent se propager par l’intermédiaire de contacts existants.

Comment se protéger ?

• Se méfier des messages inhabituels : même les messages provenant d’amis ou de membres de la famille peuvent être frauduleux. En cas de doute, il convient de vérifier la demande par un autre moyen de communication.
• Ne pas connecter d’appareils inconnus : participer à un vote en ligne ou à un jeu-concours ne nécessite pas de connecter un appareil tiers à WhatsApp. Toute demande de ce type constitue un signal d’alerte clair.
• Vérifier les appareils connectés : dans WhatsApp, la rubrique « Appareils connectés » permet de contrôler tous les ordinateurs et autres appareils reliés au compte.
• Supprimer les appareils inconnus : si une connexion suspecte est détectée, il convient de la déconnecter immédiatement. Il est également recommandé d’avertir ses contacts par un autre moyen de communication.

Des informations sur la suppression des appareils connectés sont également disponibles dans le centre d’aide officiel de WhatsApp.

Les contacts connus ne constituent pas une garantie de sécurité

Le Ghost Pairing montre que les criminels n’ont pas nécessairement besoin de recourir à des attaques techniques complexes. Il leur suffit souvent de détourner des fonctionnalités existantes et d’exploiter la confiance entre les personnes.

Le principe est comparable aux attaques de phishing menées via des comptes de messagerie piratés : le message provient d’un véritable compte, mais pas nécessairement de la personne à laquelle ce compte appartient.

Le troisième volet de cette série montrera que ce type d’escroquerie n’est pas toujours le fait d’individus isolés. Il explique comment la cybercriminalité s’est transformée en une activité organisée.

Autres articles de cette série :

• Quand l’adresse e-mail est authentique – mais que le message reste une tentative de fraude
• (Article de la semaine prochaine) Le phishing comme modèle économique : comment les criminels gagnent de l’argent grâce aux données volées