Piratage WhatsApp Maroc : pourquoi des comptes piratés demandent de l’argent à leurs proches

Les lundi 1er et mardi 2 septembre 2026, une vague de comptes WhatsApp piratés a commencé à demander de l’argent à des contacts marocains. Si vous utilisez WhatsApp au Maroc, il y a de fortes chances que vous ayez déjà vu l’un de ces messages, ou que vous le voyiez bientôt. Ce piratage WhatsApp Maroc en cours se propage dans des discussions ordinaires, pas depuis des numéros inconnus, et c’est justement pour cela que ça marche.

Le scénario est toujours le même, rédigé en darija : un « problème de virement » ou une « limite quotidienne atteinte », demandant au contact d’envoyer 4 800 dirhams (certains témoignages parlent de 2 850 dirhams), avec la promesse d’un remboursement « demain matin ». L’argent n’est même pas destiné à l’ami : il part vers les coordonnées bancaires d’un tiers indiquées dans le message.

Personne n’a percé le chiffrement de WhatsApp, personne n’a piraté ses serveurs. L’attaquant a simplement emprunté un vrai compte, avec une autorisation obtenue sous un faux prétexte, ce qui explique pourquoi le message vient vraiment du compte de l’ami, et pourquoi ça fonctionne si bien.

Pourquoi ce piratage WhatsApp Maroc fonctionne aussi bien en ce moment

Plusieurs propriétaires de comptes touchés par cette vague signalent que les messages de demande d’argent envoyés depuis leur compte n’apparaissent jamais dans leur propre historique de conversation. Ce détail est important : ce n’est pas la signature d’un logiciel malveillant installé sur le téléphone. C’est la signature d’une seconde session, séparée, connectée au même compte depuis un autre appareil.

Les médias marocains thevoice.ma et akhbarona ont tous deux couvert cette vague, en citant l’expert marocain en sécurité Tayeb El Hazaz, expliquant qu’aucune violation des serveurs de WhatsApp n’est nécessaire, et conseillant de vérifier immédiatement les appareils connectés.

Pour être précis sur ce qui est confirmé : au 2 septembre 2026, aucune déclaration officielle de la DGSN, de la CNDP ou de la DGSSI n’a été faite au sujet de cette vague précise. Ce que l’on sait provient de témoignages d’utilisateurs et de la couverture de la presse marocaine, pas d’une déclaration confirmée par une autorité, et cet article en tient compte.

Comment fonctionne l’arnaque au code de jumelage

Le mécanisme est une technique que les chercheurs appellent GhostPairing, documentée par Gen Digital, chercheurs Luis Corrons et Martin Chlumecký, le 15 décembre 2025, observée d’abord en Tchéquie. Elle a refait surface en août 2026 sous la forme d’un piège « votez pour mon ami » dans un concours, rapportée par Malwarebytes et par Infosecurity Magazine. Voici l’enchaînement :

1. Un lien arrive d’un contact déjà piraté : une prétendue photo de vous, ou un vote pour l’enfant, le chien ou l’école de danse de quelqu’un.
2. Le lien ouvre une fausse page imitant une visionneuse de photos façon Facebook ou un site de vote. Parmi les domaines observés : photobox[.]life, postsphoto[.]life, yourphoto[.]life et fotoface[.]top ; certaines variantes se cachent même derrière le vrai domaine wa.me.
3. La page demande votre numéro de téléphone, « pour voir la photo » ou « confirmer votre vote ».
4. En coulisses, le serveur de l’attaquant transmet ce numéro à la fonctionnalité légitime de WhatsApp qui permet de « lier un appareil avec le numéro de téléphone ».
5. WhatsApp génère alors un vrai code de jumelage à 8 chiffres, destiné uniquement au propriétaire du compte.
6. La fausse page vous affiche ce code et vous demande de le saisir dans WhatsApp « pour confirmer ».
7. Vous le faites vous-même, et le navigateur de l’attaquant devient instantanément un appareil connecté de confiance sur votre compte.

À partir de là, l’attaquant peut lire vos conversations synchronisées, recevoir vos nouveaux messages en temps réel, et écrire à vos contacts en se faisant passer pour vous, puisque WhatsApp autorise jusqu’à quatre appareils connectés. Aucun mot de passe n’est volé, pas d’échange de SIM, aucune faille exploitée, et le chiffrement reste intact. Comme le résume Gen Digital : « tout se passe à l’intérieur des limites des fonctionnalités que WhatsApp a lui-même conçues. »

Il n’y a ni e-mail de réinitialisation, ni alerte de connexion échouée : le téléphone de la victime fonctionne normalement, si bien que ce piratage WhatsApp au Maroc peut passer inaperçu pendant des jours. Il se propage aussi par de vraies relations d’amitié plutôt que par du spam, ce qui le rend crédible.

L’ancienne méthode : le vol du code à 6 chiffres

Une méthode plus ancienne circule encore : un attaquant commence à enregistrer WhatsApp sur votre numéro, vous recevez le vrai code SMS à 6 chiffres de WhatsApp, et un « ami » déjà piraté vous demande de lui transférer ce code, prétendument reçu « par erreur ».

Si vous le lui donnez, il enregistre votre compte sur son propre appareil et vous en exclut. Contrairement à la méthode du code de jumelage, celle-ci se remarque immédiatement, puisque vous perdez l’accès à votre compte. Un code PIN de vérification en deux étapes bloque cette méthode à elle seule.

Ce que ce piratage WhatsApp n’est pas

Malgré une théorie qui circule dans les médias marocains, rien ne prouve qu’une mise à jour récente de WhatsApp soit en cause, puisqu’aucune faille n’est exploitée ici.

La seule vraie faille récente, CVE-2025-55177 (un défaut d’autorisation dans la synchronisation des appareils connectés sur WhatsApp pour iOS et macOS, combinée à la faille CVE-2025-43300 d’Apple), était un bug zero-click déjà corrigé, utilisé contre des journalistes et défenseurs des droits humains, pas dans une campagne massive de demande d’argent. Elle a été corrigée dans WhatsApp pour iOS 2.25.21.73 et WhatsApp pour Mac 2.25.21.78. Le chiffrement de WhatsApp n’a jamais été mis en défaut dans cette affaire.

Le Maroc n’est pas la seule cible

Tout cela n’a pas commencé au Maroc : l’infrastructure de GhostPairing est indépendante de la langue, née en Tchéquie fin 2025 ; la vague « votez pour mon ami » d’août 2026 a touché plusieurs pays, dont le Liban, avec sa propre vague de vol de comptes WhatsApp le même mois.

L’idée de base, un contact de confiance qui demande de l’argent en urgence, est ancienne et répandue partout dans le monde. En Australie, l’arnaque « Hi Mum » a coûté aux victimes plus de 7 millions de dollars australiens dès sa première année, avec 1 150 victimes et 2,6 millions perdus sur les sept premiers mois de 2022, selon l’ACCC.

Au Royaume-Uni, Action Fraud a recensé 1 235 signalements et plus de 1,5 million de livres de pertes entre février et juin 2022, avec une hausse de 2 000% signalée par Lloyds Banking Group sur un an. Des variantes plus récentes ajoutent des messages vocaux clonés par IA, si bien qu’entendre « sa voix » n’est plus une preuve.

Ce qui est propre au Maroc dans cette affaire, c’est l’emballage : le style darija, les montants en dirhams, les circuits locaux de transfert et de retrait en espèces, et un large volume de données personnelles marocaines déjà divulguées, ce qui facilite le ciblage.

Hespress a rapporté en avril 2026 exactement ce type de fuite de données personnelles alimentant une vague plus large de fraude en ligne au Maroc, un phénomène que SecureWeb a également traité dans son article sur une autre fuite de données au Maroc.

Le chiffre que tout utilisateur marocain de WhatsApp devrait connaître

Voici le fait le plus utile de toute cette affaire, tiré d’un recensement des utilisateurs de WhatsApp par l’Université de Vienne et SBA Research (arXiv 2511.20252, présenté au NDSS 2026). Le Maroc se classe 23e mondial avec 32 954 817 comptes WhatsApp actifs, soit environ 87,8 comptes pour 100 habitants : 89% sous Android, 11% sous iOS, et 54,4% avec une photo de profil publiquement visible, une matière première utile pour des attaquants qui construisent leurs pièges.

Le chiffre qui transforme un conseil vague en règle vérifiable : seulement 5,6% des comptes WhatsApp marocains utilisent un appareil connecté, quel qu’il soit. Autrement dit, environ 94 utilisateurs marocains sur 100 devraient voir une liste totalement vide sous Paramètres, puis Appareils connectés. Pour presque tout le monde au Maroc, la moindre entrée dans cette liste est suspecte par défaut.

La même étude montre que Meta a corrigé une faille de limitation de débit après signalement, et qu’environ la moitié des numéros issus de la fuite Facebook de 2021 restent actifs sur WhatsApp.

Que faire dès maintenant

1. Ouvrez Paramètres, puis Appareils connectés. Déconnectez tout appareil inconnu. Retenez la règle des 5,6% : pour la plupart des utilisateurs marocains, cette liste doit être vide.
2. Activez la vérification en deux étapes (Paramètres, Compte, Vérification en deux étapes) : un code PIN à 6 chiffres, plus une adresse e-mail de récupération.
3. Ne partagez jamais un code. Le code SMS à 6 chiffres et le code de jumelage à 8 chiffres vous sont réservés ; personne, pas même WhatsApp, ne vous les demandera.
4. Ne saisissez jamais votre numéro sur une page ouverte depuis un lien WhatsApp. Voir notre guide pour bloquer les pirates informatiques.
5. Vérifiez toute demande d’argent par la voix, en rappelant un numéro déjà connu, jamais celui du message. Posez une question à laquelle seul l’interlocuteur pourrait répondre ; le clonage vocal par IA rend la voix seule insuffisante.
6. Considérez « envoie l’argent à ce compte » comme un signal d’alarme en soi : un vrai ami ne fait jamais transiter un remboursement via un inconnu.
7. Si votre propre compte est piraté, réinstallez WhatsApp et réenregistrez votre numéro avec le code SMS ; cela déconnecte automatiquement l’attaquant. Prévenez ensuite vos contacts, puisque votre compte leur a écrit à votre insu.
8. Si vous avez déjà envoyé de l’argent, contactez votre banque : la rapidité compte. Méfiez-vous ensuite des appels prétendument bancaires, une technique décrite dans notre article sur le phishing au nom de Bank Al-Maghrib.
9. Signalez-le via e-Blagh, le portail de cybercriminalité de la DGSN en ligne depuis juin 2024, qui accepte les signalements 24h/24 et 7j/7, même anonymement, depuis le Maroc ou l’étranger.
10. Prévenez en priorité les membres de votre famille les moins à l’aise avec la technologie. Cette fraude transforme la confiance en argent, et les personnes âgées sont partout les plus touchées.

Rien de tout cela ne demande de compétence technique : un écran, un appel téléphonique. Les attaquants ne cassent rien du tout ; ils empruntent votre compte grâce à une autorisation obtenue sous un faux prétexte, et reprendre cette autorisation suffit à tout arrêter. Pour replacer cette vague dans son contexte, consultez notre panorama de la cybersécurité au Maroc.