Arnaque Messenger : un ami vous demande votre numéro et un code reçu par SMS
C’est une arnaque : le compte de votre ami a été piraté, et le code qu’on vous demande sert à voler l’un de vos comptes ou à valider un achat sur votre facture de téléphone. Si vous avez seulement donné votre numéro, il suffit de ne transmettre aucun code dans les jours qui suivent. Si vous avez donné le code, sécurisez le compte concerné et faites bloquer les achats sur facture auprès de votre opérateur.
« Salut ça va ? Est-ce que c’est possible d’avoir ton numéro stp c’est un peu urgent ?! » Ce message circule sur Messenger depuis des années et piège encore des milliers de personnes, parce qu’il arrive depuis le compte d’un vrai ami.
Sommaire
Le message type et ses variantes
Le premier message est court et familier. Il vient d’un contact que vous connaissez, souvent quelqu’un avec qui vous échangez peu. Quelques minutes après votre réponse, un second message arrive :
« Juste mon portable est bloqué et le service clientèle me demande de recevoir mon code pin chez quelqu’un, et je n’ai pas d’autre portable pour le recevoir. »
Les variantes changent l’excuse, jamais la mécanique : un concours à valider, un colis à débloquer, un compte à « récupérer », une cagnotte pour un anniversaire. Dans tous les cas, on vous demande votre numéro, puis le code qui va arriver par SMS. Certains escrocs envoient même un court message vocal pour rassurer, parfois fabriqué avec une voix imitée par IA, comme dans l’arnaque vocale aux proches.
J’ai donné mon numéro sur Messenger : que faire ?
Pas de panique : tout dépend de ce que vous avez transmis.
Vous avez seulement donné votre numéro
Votre numéro seul ne permet ni de pirater votre compte, ni de payer à votre place. Le danger, c’est le code qui va suivre. Dans les jours qui viennent, ne transmettez aucun code reçu par SMS, quel que soit l’expéditeur et même si la demande paraît pressante. Prévenez votre ami par un autre moyen, par téléphone par exemple : son compte est piraté et d’autres contacts vont recevoir le même message. Des SMS de démarchage ou d’hameçonnage peuvent arriver dans les semaines suivantes : supprimez ces messages sans cliquer.
Vous avez transmis le code reçu par SMS
Regardez de quel service venait le SMS : le tableau de la section suivante vous dit ce que le code a validé. S’il s’agit de Facebook ou de WhatsApp, changez tout de suite votre mot de passe, déconnectez les sessions inconnues depuis les paramètres de sécurité et activez la double authentification. Si vous n’arrivez plus à vous connecter, lancez la procédure de récupération de compte. S’il s’agit d’un achat, passez aux sections sur le blocage et le remboursement.
Un montant apparaît sur votre facture mobile
Appelez votre opérateur pour faire bloquer les achats sur facture, puis contestez le montant. La démarche détaillée figure plus bas.
À quoi sert vraiment le « code PIN » qu’on vous demande ?
Le mot « code PIN » est volontairement flou. En réalité, le SMS que vous recevez peut valider des choses très différentes, et l’expéditeur du SMS l’indique presque toujours.
| Le SMS que vous recevez | Ce que le code valide | Le risque si vous le transmettez |
|---|---|---|
| « Votre code Facebook est 123456 » | La connexion à votre compte Facebook ou Messenger depuis un autre appareil | Votre compte est volé et sert à piéger vos amis |
| « Votre code WhatsApp : 123456 » | L’installation de votre WhatsApp sur le téléphone de l’escroc | Vos discussions et vos contacts passent sous son contrôle |
| « Code de confirmation de votre achat : 4821 » ou « Merci pour votre achat de 19,99 € » | Un achat ou un abonnement payé sur votre facture de téléphone | La somme est ajoutée à votre prochaine facture mobile |
| Un code de votre banque ou de PayPal | Un paiement, un virement ou l’ajout d’un bénéficiaire | Une perte d’argent directe, souvent difficile à récupérer |
Si vous recevez un code sans avoir rien demandé, sans message d’un ami, lisez notre article sur le code Facebook reçu par SMS sans demande.
Bloquer les achats sur votre facture mobile
Votre forfait permet, par défaut, de payer des services en ligne directement sur votre facture de téléphone : jeux, vidéos, abonnements. Ce système, appelé Internet+ ou SMS+, touche environ 85 % des Français selon l’association professionnelle du secteur. Il suffit d’un code SMS pour valider un achat. Le blocage est gratuit, immédiat et réversible.
| Opérateur | Où bloquer les achats sur facture |
|---|---|
| Orange | Espace client, Offre et options, Maîtriser vos usages, Achats multimédias : chaque catégorie, dont Internet+ et SMS+, se bloque séparément |
| SFR et RED by SFR | Espace client, Infos conso, Conso en cours, Vos achats multimédias |
| Free | Espace abonné mobile, Mes options : le forfait bloqué empêche toute consommation payante hors forfait |
| Bouygues Telecom | Espace client ou service client : demandez le blocage des achats sur facture et des services de paiement tiers |
Si vous préférez ne pas tout bloquer, Orange et SFR permettent aussi de baisser le plafond de dépenses. Les achats Internet+ sont en principe limités à 20 € par achat et à 3 € par semaine pour un abonnement, ce qui explique pourquoi les escrocs multiplient les petits montants. Pour un enfant ou un adolescent, ce blocage est indispensable.
Se faire rembourser un achat sur facture
- Gardez les SMS de confirmation : chaque achat doit en générer au moins deux, et ce sont vos seules preuves datées.
- Identifiez l’éditeur qui vous facture grâce à l’annuaire inversé du site surmafacture.fr, puis demandez à cet éditeur l’annulation et le remboursement.
- Écrivez au service client de votre opérateur pour contester le montant. Il dispose d’un mois pour répondre.
- Sans réponse satisfaisante, écrivez au service consommateurs de l’opérateur, qui dispose lui aussi d’un mois.
- Après deux mois sans solution, saisissez gratuitement le médiateur des communications électroniques sur mediation-telecom.org, dans un délai d’un an après votre réclamation écrite.
Transférez aussi le SMS frauduleux au 33700 et, en cas de préjudice, déposez plainte en ligne sur la plateforme THESEE du ministère de l’Intérieur.
Comment le compte de votre ami a été piraté
Votre ami est presque toujours tombé dans le même piège avant vous : il a transmis un code à un contact piraté, ou saisi ses identifiants sur une fausse page Facebook reçue par message. Son compte sert ensuite à écrire en série à tous ses contacts. L’escroc vise en priorité ceux qui répondent vite et ceux qui échangent rarement avec la victime, car ils ne remarquent pas que le ton a changé.
Prévenez votre ami par téléphone ou par un autre réseau, jamais par Messenger, que l’escroc lit encore. Il doit sécuriser son compte au plus vite et publier un message pour avertir ses contacts. Signalez aussi le compte depuis la conversation Messenger, avec l’option Signaler.
Se protéger de cette arnaque
- Ne transmettez jamais un code reçu par SMS, à personne : aucun service client, ami ou concours n’en a besoin.
- Vérifiez toute demande inhabituelle par un autre canal : un appel suffit à démasquer l’escroc.
- Activez la double authentification sur Facebook, de préférence avec une application d’authentification plutôt que par SMS.
- Masquez votre numéro et votre liste d’amis sur votre profil Facebook, en les réglant sur « Moi uniquement ».
- Bloquez les achats sur facture si vous ne les utilisez pas.
Nos guides pour sécuriser votre compte Facebook et pour sécuriser votre compte WhatsApp détaillent ces réglages, et notre article sur l’authentification à deux facteurs explique comment choisir la bonne méthode.
FAQ
Mon numéro de téléphone seul peut-il servir à me pirater ?
Non. Il faut aussi le code envoyé par SMS ou vos identifiants. Votre numéro peut en revanche servir à vous envoyer des SMS frauduleux ou à vous démarcher : restez vigilant dans les semaines qui suivent.
Pourquoi un ami me demande-t-il un code reçu par SMS ?
Parce que ce n’est pas votre ami. Un service client n’envoie jamais le code d’un client sur le téléphone d’une autre personne. Toute demande de ce type est une arnaque.
Faut-il porter plainte ?
Oui si vous avez perdu de l’argent ou l’accès à un compte. La plainte se dépose en ligne sur THESEE. Si vous avez seulement donné votre numéro, un signalement du compte à Meta suffit.
Et si vous avez aussi cliqué sur un lien reçu dans la conversation, suivez notre guide J’ai cliqué sur un lien suspect. Pour les autres pièges du même genre, consultez notre page sur les cyberarnaques chez les particuliers.
