Un faux WhatsApp pour iPhone a servi à surveiller environ 200 personnes, principalement en Italie. Meta l’a révélé le 1er avril 2026, selon TechCrunch.
WhatsApp accuse l’entreprise italienne de surveillance SIO, par l’intermédiaire de sa filiale ASIGINT, d’avoir conçu cette fausse application. Aucune faille de la messagerie n’a été exploitée : les victimes ont installé elles-mêmes le clone, après avoir été convaincues de le faire.
Comment le faux WhatsApp a piégé ses cibles
L’opération reposait entièrement sur l’ingénierie sociale. Les attaquants ont contacté leurs cibles en dehors de WhatsApp et les ont convaincues de télécharger un faux client, installé hors de l’App Store d’Apple. Une fois en place, cette application exposait la victime à un logiciel espion conçu pour la surveiller.
Les capacités précises de ce logiciel n’ont pas été publiées. Méfiez-vous donc des articles qui détaillent l’accès aux messages, aux photos ou à la localisation : ces précisions ne figurent pas dans les sources primaires.
WhatsApp insiste sur un point. Le chiffrement de bout en bout continue de protéger les communications des personnes qui utilisent les applications officielles. Autrement dit, le risque ne vient pas de la messagerie elle-même. Il vient du canal d’installation.
SIO, un fournisseur de logiciels espions déjà repéré
SIO développe pour des clients gouvernementaux un logiciel espion nommé Spyrtacus, un nom retrouvé dans le code de ses outils. En 2025, TechCrunch avait déjà attribué à l’entreprise plusieurs applications Android malveillantes contenant ce logiciel, dont de fausses versions de WhatsApp et de faux outils d’assistance d’opérateurs de téléphonie mobile.
L’épisode rappelle celui de janvier 2025. WhatsApp avait alors alerté environ 90 utilisateurs, parmi lesquels des journalistes et des militants, ciblés par le logiciel espion Graphite de Paragon Solutions. Le scandale politique qui a suivi en Italie a conduit Paragon à rompre ses liens avec les services de renseignement italiens, comme le rappelle The Record. Nous avons détaillé la manière de traiter ces alertes dans Pegasus, Predator, Graphite ou Triangulation : ce que dit le CERT-FR.
Dans l’affaire SIO, toutefois, l’attaque ne passe par aucune faille : le faux client compte sur la confiance de la victime. Par conséquent, la défense technique de WhatsApp ne suffit plus : la vigilance de l’utilisateur devient la première barrière.
La réponse de WhatsApp et ce qu’elle vous apprend
L’équipe de sécurité de WhatsApp a identifié le client malveillant puis déconnecté tous les comptes touchés. Ensuite, chaque utilisateur a reçu une notification l’alertant des risques pour sa vie privée et sa sécurité. Le message l’invitait à supprimer le faux client et à installer l’application officielle. Enfin, WhatsApp a annoncé son intention d’adresser à SIO une mise en demeure de cesser ce type d’activité.
La consigne donnée aux victimes vaut pour tout le monde : une application de messagerie s’installe uniquement depuis l’App Store d’Apple ou le Google Play Store. Un lien reçu par SMS ou par courriel qui vous invite à « mettre à jour » votre messagerie doit vous alerter, même s’il porte le nom de votre opérateur.
Faux WhatsApp sur un téléphone professionnel : ce que le RGPD impose
Si un collaborateur installe un faux WhatsApp sur un téléphone qui sert au travail, l’incident dépasse sa vie privée. En effet, l’article 32 du règlement général sur la protection des données (RGPD) impose au responsable de traitement des mesures techniques et organisationnelles adaptées au risque. Pour un organisme dont les équipes échangent par WhatsApp, ce scénario entre donc dans l’analyse de risque.
La compromission d’un terminal professionnel peut aussi constituer une violation de données personnelles. Dans ce cas, l’article 33 impose de la notifier à la Commission nationale de l’informatique et des libertés (CNIL) dans les meilleurs délais, et si possible dans les 72 heures, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.
Lorsque des données de tiers ont transité par l’application compromise et que le risque est élevé, l’article 34 impose d’informer les personnes concernées. Notre tuto pour notifier une violation de données personnelles détaille la marche à suivre.
Les mesures à prendre dans votre organisation
Encadrez d’abord l’usage des messageries instantanées. Une politique de gestion des appareils mobiles (MDM) permet de contrôler les applications installées sur les terminaux professionnels. Elle bloque ainsi l’installation d’un client venu d’une source inconnue. Documentez ensuite cet usage dans votre registre, en suivant notre guide Messagerie professionnelle : documenter les échanges, les accès et leur fin de vie.
Formez aussi vos équipes. Le faux WhatsApp a fonctionné parce qu’une personne a été convaincue de l’installer. Les sensibilisations au phishing doivent donc intégrer ce scénario : une demande d’installation venue d’un contact inattendu, d’un faux support ou d’un faux opérateur. Focus RGPD, la plateforme de sensibilisation de DPO PARTAGE, sert précisément à ce type de rappel.
Prévoyez enfin la réaction. Un collaborateur qui reçoit une alerte de WhatsApp doit savoir à qui la transmettre, dans l’heure, pour que la qualification de la violation commence sans attendre.
Sources
La révélation du 1er avril 2026, le nombre de victimes et l’attribution à SIO proviennent de TechCrunch, WhatsApp notifies hundreds of users who installed a fake app made by government spyware maker.
Les mesures prises par WhatsApp et le rappel de l’affaire Paragon figurent dans The Record, WhatsApp warns users of fake app used to distribute spyware.
Les articles 32, 33 et 34 du RGPD se lisent sur EUR-Lex, Règlement (UE) 2016/679.
