Le 23 octobre 2026, la requête « whatsapp » figure parmi les tendances en hausse sur Google France avec un volume de 20 000 recherches et plus, et les requêtes associées qui progressent le plus vite parlent d’elles-mêmes : « piratage whatsapp » en hausse de 400 %, « compte whatsapp piraté » en hausse de 400 %, « arnaque whatsapp » en hausse de 250 % et « whatsapp piraté que faire » en hausse de 250 %. Les internautes ne cherchent pas la dernière fonctionnalité de messagerie : ils cherchent comment réagir quand un compte est pris en main par un tiers. Pour une entreprise qui utilise WhatsApp Business comme canal de relation client, la question devient vite critique. Un compte professionnel piraté permet d’envoyer des messages frauduleux à des clients qui font confiance à l’enseigne, de collecter des données personnelles et de détourner des paiements. Le présent article décrit la méthode juridique applicable : reprendre l’accès au compte et sécuriser l’entreprise, puis faire sanctionner les faits et obtenir réparation. Les développements qui suivent sont de portée générale et ne visent aucune personne ni aucune entreprise déterminée.
I. Compte WhatsApp piraté : reprendre la main et sécuriser l’entreprise
A. Compte WhatsApp piraté : les réflexes pour récupérer l’accès au compte professionnel
Le piratage d’un compte WhatsApp suit le plus souvent le même scénario : un message ou un appel invite le titulaire à transmettre le code à six chiffres reçu par SMS, et ce code permet à un tiers d’enregistrer le numéro sur un autre appareil. L’entreprise s’en aperçoit quand les collaborateurs sont déconnectés, quand des messages qu’ils n’ont pas écrits apparaissent dans les conversations, ou quand des clients signalent des demandes inhabituelles. La première mesure consiste à tenter immédiatement le réenregistrement du numéro sur l’appareil légitime, car l’enregistrement nouveau déconnecte en principe la session frauduleuse. Lorsque l’auteur du piratage a activé une vérification en deux étapes avec un code PIN inconnu de l’entreprise, la réinitialisation suit la procédure prévue par l’application, avec l’adresse électronique de secours si elle a été renseignée.
Ensuite, l’entreprise vérifie les appareils liés : la fonction « appareils associés » affiche les sessions actives et permet de déconnecter celles qui ne correspondent à aucun poste de l’entreprise. La vérification en deux étapes doit être activée ou réinitialisée avec un code que seuls les responsables habilités connaissent, et l’adresse électronique associée doit être une adresse professionnelle contrôlée par la direction, jamais une adresse personnelle d’un salarié qui pourrait quitter l’entreprise. Chaque collaborateur qui utilisait le compte change ses mots de passe de messagerie, car la compromission du courrier électronique facilite la réinitialisation frauduleuse des comptes. Les journaux de connexion du standard, du routeur et des téléphones professionnels sont conservés : captures d’écran des messages suspects, numéros expéditeurs, heures d’envoi et relevés d’appels constituent les premières preuves.
Le fondement pénal de cette reprise en main se trouve dans le code pénal. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. » Un compte WhatsApp Business usurpé pour écrire à des clients entre dans cette définition, puisque le numéro professionnel et le nom de l’entreprise sont des données permettant d’identifier l’entreprise et que l’usage frauduleux trouble au moins la tranquillité des destinataires. Parallèlement, l’article 323-1 du code pénal dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » La Cour de cassation énonce : « En effet, se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 sept. 2025, n° 24-83.605, publié au Bulletin). Quand le tiers qui a pris la main sur le compte lit les conversations clients et en extrait des données, ces deux qualifications peuvent être dénoncées ensemble dans la plainte, sans que l’entreprise ait à choisir entre elles.
B. Piratage WhatsApp, que faire dans l’entreprise pendant les premières heures
Une fois la reprise du compte engagée, l’entreprise traite le risque pour les tiers. Les clients qui ont reçu des messages pendant la période de compromission doivent être avertis par un canal indépendant du compte piraté : courrier électronique, SMS depuis une autre ligne, bandeau sur le site internet ou appel pour les dossiers sensibles. Le message d’alerte reste factuel : il indique les dates de la période compromise, précise qu’aucun paiement ni aucune donnée bancaire ne doit être transmis sur instruction reçue par WhatsApp pendant cette période, et donne un numéro de vérification interne. Cette communication protège les clients et protège l’entreprise, car elle démontre que le dirigeant a réagi en responsable dès la découverte des faits. Le registre des messages envoyés par le fraudeur est reconstitué à partir des téléphones des clients qui acceptent de transmettre leurs captures, des journaux de l’opérateur et des sauvegardes du compte.
Sur le plan technique, l’entreprise passe en revue tous les accès : comptes de messagerie des collaborateurs, sessions ouvertes sur les postes partagés, redirections de courrier, applications tierces connectées au numéro. Les droits d’administration du compte WhatsApp Business sont restreints aux personnes qui en ont strictement besoin, et chaque action ultérieure est journalisée. Si le compte est relié à un outil de relation client, à une boutique en ligne ou à un prestataire qui synchronise les conversations, ce prestataire est informé par écrit afin qu’il isole ses propres journaux et vérifie qu’aucune donnée n’a été aspirée par son interface. Lorsque la compromission touche aussi la messagerie électronique ou le stockage de documents, la qualification d’atteinte aux données s’élargit : l’article 323-3 du code pénal dispose : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » La Cour de cassation énonce : « En revanche, des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification » (Cass. crim., 8 juin 2021, n° 20-85.853). La suppression des messages envoyés par le fraudeur pour effacer ses traces, ou l’extraction des listes de contacts clients, relève de ce texte. L’entreprise qui documente ces opérations facilite le travail des enquêteurs et prépare sa demande de réparation.
Le signalement rapide auprès des plateformes et des autorités complète ces mesures. Le compte est signalé à l’éditeur de l’application avec les éléments d’horodatage, et les numéros utilisés par le fraudeur pour relancer les clients sont signalés comme indésirables. Lorsque les messages frauduleux réclament des virements, l’entreprise alerte sa banque et invite chaque client sollicité à alerter la sienne, car le rappel des fonds n’est envisageable que si l’alerte est donnée vite. Les sociétés qui gèrent un volume important de conversations clients traitent cet épisode comme une cyberattaque affectant un canal de distribution : la même discipline que celle décrite pour une boutique en ligne piratée s’applique, avec notification interne, traçabilité des décisions et conservation des preuves (cyberattaque en cours : boutique en ligne piratée, notification et prestataire). À Paris et en Île-de-France, où de nombreuses petites entreprises pilotent toute leur relation client depuis un ou deux téléphones, la priorité consiste à désigner un responsable unique du dossier, à centraliser les preuves dans un dossier dédié et à éviter que chaque collaborateur ne contacte séparément les clients avec des versions différentes des faits.
II. Arnaque WhatsApp : faire sanctionner le piratage et obtenir réparation
A. Arnaque WhatsApp et compte professionnel piraté : quelles infractions dénoncer à la justice
Le piratage d’un compte WhatsApp Business sert le plus souvent une arnaque : le fraudeur se fait passer pour l’entreprise et demande aux clients un paiement urgent, un acompte ou la communication de coordonnées bancaires. Cette mécanique correspond à la définition légale de l’escroquerie. L’article 313-1 du code pénal dispose : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » L’usage du nom, du logo et du numéro de l’entreprise pour réclamer un virement constitue l’usage d’une fausse qualité et une manoeuvre frauduleuse au sens de ce texte. Chaque client qui a versé des fonds est victime d’escroquerie, et l’entreprise dont l’identité a servi d’instrument est victime d’usurpation et d’atteinte à ses systèmes.
La plainte de l’entreprise doit décrire précisément chaque qualification pour orienter l’enquête. L’usurpation d’identité sur un réseau de communication au public en ligne vise la prise de contrôle du compte et les messages envoyés en son nom. L’accès et le maintien frauduleux visent l’intrusion dans le système de traitement automatisé de données que constitue le compte et l’application. L’extraction et la transmission frauduleuses de données visent la copie des listes de contacts et des conversations. L’escroquerie vise les demandes de fonds adressées aux clients. Cette présentation cumulative n’est pas une coquetterie juridique : chaque qualification commande des actes d’enquête différents, depuis la réquisition des journaux de connexion jusqu’à l’identification des flux financiers. Le dirigeant joint à sa plainte la chronologie des faits, la liste des numéros utilisés par le fraudeur, les captures des messages, les relevés des sessions liées, les attestations des clients trompés et le chiffrage provisoire du préjudice.
Le dépôt de la plainte suit les règles ordinaires de la procédure pénale. L’article 15-3 du code de procédure pénale dispose : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » L’entreprise peut donc déposer plainte dans le service de son choix, qui transmettra au service compétent s’il y a lieu. Le dépôt en ligne via la plateforme de signalement des escroqueries et le dispositif THESEE pour les escroqueries sur internet préparent ce dépôt mais ne le remplacent pas : un dépôt formel avec récépissé reste nécessaire pour faire valoir ses droits dans la suite de la procédure. Si la plainte simple reste sans suite, l’article 85 du code de procédure pénale dispose : « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction compétent » La constitution de partie civile permet à l’entreprise de demander des actes d’instruction et de réclamer la réparation de son préjudice dans le procès pénal.
La jurisprudence sur l’hameçonnage éclaire la répartition des responsabilités quand des paiements ont été détournés. La Cour de cassation casse l’arrêt en retenant que, « alors que manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage » (Cass. com., 28 mars 2018, n° 16-20.018). Cette décision concerne le titulaire d’un instrument de paiement qui transmet lui-même ses codes, et elle est régulièrement invoquée par les banques pour refuser le remboursement des ordres exécutés. L’entreprise victime d’un piratage de son compte WhatsApp se trouve dans une situation différente : ce n’est pas elle qui a transmis ses codes à la suite d’un message douteux, c’est son identité qui a servi à tromper ses clients. La distinction doit être exposée avec précision à la banque et au juge, car elle commande l’application du régime de responsabilité approprié : négligence de l’utilisateur dans un cas, fraude d’un tiers utilisant l’identité de l’entreprise dans l’autre. Chaque virement litigieux fait l’objet d’une contestation écrite et motivée auprès de l’établissement concerné, avec copie des messages frauduleux et de la plainte.
B. WhatsApp Business piraté : protéger les clients exposés et obtenir réparation du préjudice
Le piratage d’un compte professionnel expose les données des clients : noms, numéros de téléphone, historique des commandes, échanges sur des situations personnelles et parfois relevés d’identité transmis pour un dossier. L’entreprise, en qualité de responsable du traitement de ces données, doit traiter cette exposition comme une violation de données personnelles. Elle recense les catégories de données concernées, le nombre approximatif de personnes touchées et les conséquences prévisibles, puis elle informe les personnes concernées avec des conseils concrets : ne donner suite à aucune instruction reçue du compte pendant la période compromise, vérifier tout changement de coordonnées bancaires par un autre canal, surveiller les tentatives d’hameçonnage secondaires qui exploitent les informations volées. La notification à l’autorité de contrôle et l’information des personnes suivent les formulaires et téléservices officiels de la CNIL, dont le site décrit la conduite à tenir en cas de violation. Cette démarche n’est pas seulement réglementaire : elle constitue une preuve de diligence qui sera examinée si la responsabilité de l’entreprise est recherchée par un client.
Sur le terrain civil, la réparation du préjudice de l’entreprise repose sur le droit commun de la responsabilité. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » L’article 1241 du code civil ajoute : « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence. » Lorsque l’auteur du piratage est identifié et solvable, l’entreprise dirige son action contre lui sur ce fondement, pour le détournement de clientèle, l’atteinte à l’image, le coût de la remédiation technique et la perte d’exploitation pendant la période de compromission. Lorsque le fraudeur reste inconnu ou insolvable, l’entreprise examine les autres débiteurs possibles : le prestataire informatique qui avait la charge de sécuriser les postes et qui aurait manqué à son obligation, ou l’opérateur dont les manquements auraient facilité l’intrusion. L’article 1231-1 du code civil dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le contrat de maintenance, d’infogérance ou de fourniture de la solution de messagerie est donc relu clause par clause pour vérifier les engagements de sécurité, les obligations de journalisation et les garanties.
Symétriquement, l’entreprise anticipe les réclamations de ses propres clients. Un client qui a versé des fonds au fraudeur peut reprocher à l’entreprise un défaut de sécurisation de son canal de communication ou une information tardive. La meilleure défense consiste dans un dossier de diligence complet : politique interne d’habilitation des comptes, activation de la vérification en deux étapes avant les faits si elle peut être prouvée, formation des collaborateurs aux demandes de codes, alerte rapide des clients par un canal indépendant, coopération avec les enquêteurs et notification à l’autorité compétente. Chaque pièce est datée et conservée. L’entreprise vérifie également ses contrats d’assurance : la garantie cyber, la responsabilité civile professionnelle et la protection juridique peuvent prendre en charge les frais d’expertise, les frais de notification et les frais de défense, selon les plafonds et les exclusions de la police. La déclaration de sinistre est faite par écrit auprès de l’assureur dès que le préjudice est connu, avec la plainte et le chiffrage provisoire.
À Paris et en Île-de-France, le contentieux suit les circuits ordinaires : plainte dans un commissariat ou une brigade de gendarmerie du ressort, ou plainte adressée au procureur de la République du tribunal judiciaire du lieu de l’infraction ou du domicile de la victime, instruction puis renvoi devant la juridiction répressive compétente, et action civile jointe ou portée séparément devant la juridiction civile. Les entreprises franciliennes qui centralisent leur preuve dès les premières heures, avec un interlocuteur unique et un dossier horodaté, abordent ces étapes en position solide. La conservation des journaux techniques, des attestations de clients et des échanges avec la banque forme un ensemble cohérent que le juge peut exploiter sans reconstitution artificielle.
Conclusion
Un compte WhatsApp Business piraté cumule trois crises en une : un canal commercial coupé, des clients exposés à l’arnaque et des données personnelles compromises. La réponse suit un ordre imposé par le droit : reprendre le compte et figer les preuves, alerter les clients par un canal indépendant, déposer une plainte qui vise chaque infraction avec ses pièces, contester par écrit chaque paiement détourné, traiter la violation de données personnelles avec méthode et chiffrer le préjudice poste par poste. Les textes applicables sont identifiés : usurpation d’identité sur un réseau de communication au public en ligne, accès et maintien frauduleux dans un système de traitement automatisé de données, extraction et transmission frauduleuses de données, escroquerie, réception obligatoire de la plainte, constitution de partie civile, responsabilité pour faute, négligence ou imprudence, et réparation contractuelle de l’inexécution. Les décisions citées fixent les repères : maintien frauduleux retenu même avec un droit général d’accès détourné de sa mission, extraction dissimulée nécessairement frauduleuse, et distinction entre la négligence de l’utilisateur qui transmet ses codes et la fraude du tiers qui usurpe l’identité de l’entreprise. L’entreprise qui applique cette méthode protège ses clients, préserve ses recours contre l’auteur et les débiteurs éventuels, et se met en état de répondre aux réclamations avec un dossier de diligence complet.