Deux arnaques tournent cette semaine et elles ne ciblent pas au hasard les gestionnaires de sites. La première rejoue le classique chantage à la webcam en citant un mot de passe réel, mais volé lors d'une fuite de données ancienne, pas lors d'un piratage de caméra, comme le détaille JeChange ce 2 novembre 2026. La seconde détourne un compte Messenger de confiance pour voler un code de vérification SMS et prendre le contrôle d'un compte Facebook ou WhatsApp, une technique documentée par Selectra et confirmée par une alerte officielle de Cybermalveillance.gouv.fr publiée le 27 octobre 2026.
Pour un particulier, ces arnaques sont désagréables. Pour quelqu'un qui gère des accès Google Search Console, Google Analytics ou les réseaux sociaux d'une marque, elles ouvrent une porte directe sur des comptes à forte valeur : ce sont exactement les deux leviers, mot de passe divulgué et interception de code de vérification, qui servent aussi à voler des accès professionnels.
À retenir
- Le mot de passe cité dans les mails de chantage webcam vient d'une fuite de données ancienne, pas d'un piratage réel de la caméra, selon JeChange.
- Cybermalveillance.gouv.fr recense 6 167 notifications de violations de données à la CNIL en 2025 et une hausse de 107 % des demandes d'assistance liées aux fuites.
- L'arnaque Messenger détourne un compte ami pour réclamer un numéro de téléphone, puis intercepter le code de vérification envoyé par SMS.
- Cybermalveillance.gouv.fr a publié une alerte officielle le 27 octobre 2026 sur ce scénario Messenger, avec un exemple rapporté par Radio ICI le lendemain.
- La règle commune aux deux arnaques : ne jamais transmettre un code de vérification reçu par SMS, quel que soit l'expéditeur apparent.
01Le chantage à la webcam : un bluff qui s'appuie sur un vrai mot de passe
Le mail type menace de diffuser une vidéo compromettante filmée via la webcam, et cite en preuve un mot de passe que la victime reconnaît. Panique garantie, sauf que ce mot de passe ne vient pas d'un logiciel espion actif sur l'ordinateur : il provient d'une fuite de données survenue sur un service tiers, parfois des années plus tôt, comme l'explique JeChange dans son article du 2 novembre 2026.
La preuve logique qui désamorce le chantage
L'argument que donne JeChange pour démonter la menace est limpide : « Un espion installé dans votre ordinateur citerait le mot de passe d'aujourd'hui, pas celui d'un vieux compte. » Si le mot de passe cité est ancien, abandonné ou déjà changé, c'est la preuve que l'attaquant pioche dans une base de données volée et revendue, pas qu'il a accès à votre caméra.
02L'arnaque Messenger : voler un compte ami pour voler un code
Le scénario décrit par Selectra fonctionne en deux temps. Un compte Messenger déjà piraté envoie un message à ses contacts, prétendant que son téléphone est bloqué et qu'il a besoin du numéro de la victime pour « réactiver » l'application. En réalité, ce numéro déclenche l'envoi d'un code de vérification que l'attaquant demande ensuite à la victime de lui transmettre, pour voler à son tour son compte Facebook ou WhatsApp.
Cybermalveillance.gouv.fr a jugé le phénomène assez sérieux pour publier une alerte officielle le 27 octobre 2026, et Radio ICI a rapporté un exemple concret le 28 octobre 2026, cité par Selectra. Le même mécanisme avait déjà servi, sous une forme différente, dans l'arnaque du faux vote WhatsApp qui a piraté des comptes de députés : un contact de confiance détourné devient le vecteur de l'attaque suivante.
03Pourquoi les gestionnaires de sites et de comptes pro sont des cibles de choix
Un consultant SEO, un community manager ou un gérant de site gère en moyenne beaucoup plus de comptes sensibles qu'un particulier : Search Console, GA4, panneaux d'administration WordPress, comptes Instagram, LinkedIn ou X de marque, accès clients partagés. Chacun de ces comptes est une cible plus rentable qu'un compte personnel, et les deux arnaques décrites ici ciblent exactement les deux failles qui permettent de les prendre : un mot de passe réutilisé issu d'une fuite, et un code de vérification transmis sous la pression.
Le scénario Messenger a un équivalent professionnel immédiat : un « client » ou un « collègue » pressé qui réclame par message un code reçu par SMS pour « valider un accès ». La mécanique est identique, seul le prétexte change.
Un mot de passe professionnel réutilisé est une invitation ouverte aux deux arnaques.
04Les réflexes à appliquer dès aujourd'hui
Trois habitudes simples neutralisent la quasi-totalité de ces tentatives. D'abord, séparer strictement les mots de passe personnels et professionnels, et vérifier ses identifiants pro sur un service comme Have I Been Pwned pour savoir s'ils figurent dans une fuite connue. Ensuite, ne jamais transmettre un code de vérification reçu par SMS à qui que ce soit, même un contact identifié comme un client ou un collègue : un service légitime ne le demande jamais.
Enfin, vérifier systématiquement toute demande inhabituelle par un second canal, comme le recommande Selectra : un appel direct au contact plutôt qu'une réponse dans la même conversation potentiellement compromise. Pour les accès professionnels critiques, privilégier une double authentification par application plutôt que par SMS limite aussi le risque d'interception.
05Ce que disent les chiffres officiels sur les fuites de données
Ces deux arnaques ne sortent pas de nulle part : elles s'appuient sur un terreau de fuites de données en forte croissance. Le rapport d'activité de Cybermalveillance.gouv.fr, publié le 26 mars 2026 et cité par JeChange, recense 6 167 notifications de violations de données reçues par la CNIL en 2025, et une hausse de 107 % des demandes d'assistance liées à ces fuites.
C'est le même mécanisme qui alimentait, par exemple, les tentatives de fraude décrites après la fuite de données Engie : une base volée aujourd'hui sert de matière première à des arnaques ciblées plusieurs mois ou années plus tard. Vérifier régulièrement si ses identifiants figurent dans une fuite n'est donc pas un réflexe ponctuel, mais une surveillance à répéter.
Le lecteur se demande souvent
Le piratage touche-t-il les mots de passe ou les données bancaires personnelles ? Comment savoir si mes données ont été exposées par la fuite Auto-Planning ? Que faire si j'ai déjà communiqué des informations à un faux conseiller ?Questions fréquentes
Comment savoir si mon mot de passe a fuité ?
Faut-il répondre à un mail de chantage à la webcam ?
Mon compte Messenger a peut-être été piraté, que faire ?
La 2FA par SMS suffit-elle pour un compte professionnel sensible ?
Sources
Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo