Une fonctionnalité attendue déjà victime de son succès
Le 29 juin 2026, Meta lançait la réservation des noms d'utilisateur WhatsApp, une fonctionnalité attendue pour enfin cacher son numéro de téléphone. Mais à peine 48 heures plus tard, TechCrunch découvrait que des pseudos imitant le Premier ministre indien, des stars de Bollywood et la banque centrale indienne étaient encore disponibles. Le gouvernement indien a immédiatement envoyé une mise en demeure à Meta. Pendant ce temps, les utilisateurs français, qui n'ont pas encore accès à la fonction, regardent ce chaos avec inquiétude. Voici ce qu'il faut savoir avant que les noms d'utilisateur WhatsApp n'arrivent chez nous.
Cacher son numéro, exposer son identité : le paradoxe des pseudos WhatsApp
D'un côté, des années d'attente pour une fonction qui permet enfin de ne plus balancer son numéro de téléphone à tout va. De l'autre, les premiers tests qui révèlent des failles béantes d'usurpation. Le paradoxe est cruel : la fonctionnalité censée protéger votre vie privée pourrait bien devenir le meilleur outil des fraudeurs.
La promesse d'une vie privée renforcée
Le principe est pourtant séduisant. Au lieu de donner votre numéro à chaque nouveau contact, vous partagez un pseudo unique. Plus besoin de se demander si l'inconnu qui vous a ajouté sur WhatsApp va revendre votre numéro à des spammeurs. Meta promet une « fonctionnalité de confidentialité » majeure, comme le rapporte Le Parisien. Les créateurs et petites entreprises peuvent même lier leur pseudo Instagram pour garder une identité cohérente.
Avec 3,5 milliards de comptes actifs, WhatsApp est la plus grande plateforme de messagerie au monde. Chaque modification de son architecture a des conséquences massives. Les noms d'utilisateur permettent de réduire l'exposition des numéros de téléphone, une source majeure de fuites de données. Une étude de l'université de Yale a d'ailleurs démontré que près de la moitié des numéros divulgués lors de la fuite Facebook de 2021 étaient toujours actifs sur WhatsApp.
Les failles de sécurité immédiates
Mais le problème saute aux yeux des experts. Rachel Tobac, CEO de SocialProof Security, résume la situation : « Les noms d'utilisateur sont une excellente idée pour éviter de fuiter votre numéro, mais il est crucial de vérifier l'identité via cette fonction aussi. » La Fondation Mozilla est encore plus directe : « L'augmentation des arnaques et de l'usurpation via les faux pseudos est potentiellement énorme. Le numéro de téléphone était un outil de vérification utile. »
Le problème fondamental, c'est que le numéro de téléphone servait de filtre de confiance. Quand quelqu'un vous contactait sur WhatsApp, vous pouviez au moins vérifier que son numéro correspondait à celui que vous aviez dans votre répertoire. Avec les pseudos, ce filet de sécurité disparaît. Rachel Tobac met en garde : un pseudo peut imiter n'importe qui avec une simple variation d'une lettre ou d'un underscore.
Comment créer un pseudo WhatsApp et quelles sont les règles ?
La procédure officielle en trois clics
La procédure officielle tient en trois clics : Paramètres > Compte > Nom d'utilisateur. Les règles sont claires : 3 à 35 caractères, lettres minuscules, chiffres, points et underscores autorisés. Pas de majuscules, pas d'espaces, pas de caractères spéciaux. Et surtout, pas de « www » ni d'extensions de domaine. Les pseudos qui usurpent une personne, une entreprise ou une marque sont théoriquement bloqués.
Un déploiement progressif qui exclut la France
Voici le détail qui fâche : la fonctionnalité n'est pas encore disponible en France. La réservation a ouvert le 29 juin 2026 dans certaines régions seulement — principalement aux États-Unis, en Inde et dans quelques pays d'Asie. Les utilisateurs français seront notifiés dans l'application quand le déploiement arrivera chez nous. Aucune date précise n'a été communiquée, mais Meta promet un déploiement progressif durant le second semestre 2026.
Cette attente a un avantage : les utilisateurs français peuvent observer les problèmes rencontrés ailleurs et se préparer. Le Temps, le quotidien suisse, note que WhatsApp suit Telegram et Signal sur ce terrain, mais avec une base d'utilisateurs bien plus large. Le journal rappelle l'urgence d'agir maintenant, avant que la fonction n'arrive.
Les règles que Meta ne dit pas
Meta a expliqué qu'elle « réserve les noms d'utilisateur pour les personnalités publiques, les entités gouvernementales et certaines variantes de ces noms afin que seul le propriétaire légitime puisse les réclamer ». Sauf que le flou artistique demeure : comment Meta décide-t-il quelles variantes sont réservées ? Pourquoi « rbi_verify » ne l'était pas ? Et pourquoi « indiamodi » était encore libre ?
La réponse de Meta laisse entendre que seuls certains pseudos sont pré-réservés, mais sans transparence sur le processus. Les utilisateurs ordinaires, eux, restent vulnérables. Comme le souligne UseInvert, les comptes notables peuvent obtenir une vérification, mais le processus reste opaque.
Le test qui fait peur : des faux comptes « Indiamodi » déjà créés
Le danger n'est pas théorique. Les journalistes de TechCrunch ont mené l'enquête le 1er juillet 2026, et leurs découvertes donnent froid dans le dos. Des pseudos imitant les plus hautes personnalités indiennes et des institutions financières étaient encore disponibles à la réservation.
Le scoop de TechCrunch
Les journalistes ont testé la fonction quelques heures après son lancement. Résultat : les pseudos « indiamodi », « shahrukh.actor », « teamamitabh », « ambanijio » et surtout « rbi_verify » (imitant la Reserve Bank of India) étaient libres. Un escroc aurait pu créer « rbi_verify » et contacter des victimes en se faisant passer pour la banque centrale indienne.
Le scénario est terrifiant : un fraudeur envoie un message au nom de la RBI, annonce un faux investissement ou une vérification de compte urgente, et demande des coordonnées bancaires. Avec un pseudo officiel en guise de carte de visite, la crédibilité est immédiate. Sans le numéro de téléphone comme signal d'alarme, la victime n'a aucun moyen visuel de détecter l'arnaque.
Même Changpeng Zhao, le fondateur de Binance, n'a pas pu réserver « cz_binance ». Preuve que le système de réservation est loin d'être parfait.
Les experts tirent la sonnette d'alarme
L'entrepreneur indien Ankur Warikoo n'a pas mâché ses mots sur India Today : la fonctionnalité pourrait devenir « un désastre » sans système anti-abus robuste. Il explique que l'usurpation devient bien plus facile, les escrocs pouvant créer des pseudos ressemblant à des personnalités publiques pour soutirer de l'argent.
Apar Gupta, fondateur de l'Internet Freedom Foundation, ajoute une précision inquiétante dans The Hindu Business Line : « Une simple lettre, un chiffre ou un underscore supplémentaire peut rendre un faux pseudo légitime, surtout sur les petits écrans. » Sur un smartphone, « banquepostale_conseil » et « banquepostale_conseil_ » se ressemblent à s'y méprendre.
Un officier supérieur de la police indienne, Arun Bothra, a tweeté le 30 juin 2026 que la fonctionnalité « pourrait devenir un défi majeur pour les forces de l'ordre », rappelant que Telegram, avec une fonction similaire, « figure souvent dans les enquêtes impliquant des arnaques à l'investissement, l'usurpation et la cybercriminalité ».
L'ultimatum du gouvernement indien à Meta
Les tests de TechCrunch et les craintes des experts ont provoqué une réaction officielle immédiate. Le ministère indien des Technologies de l'Information (MeitY) a envoyé une notification formelle à Meta.
La mise en demeure officielle
Le communiqué officiel du MeitY, rapporté par TechCrunch et confirmé par PTI News, est sans ambiguïté : la fonctionnalité « pourrait augmenter matériellement l'incidence des fraudes en ligne, du phishing, des arnaques aux arrestations numériques et des attaques par usurpation ». Le gouvernement a demandé à WhatsApp de ne pas déployer la fonction.
Les « digital arrest scams » sont une plaie en Inde : un faux policier contacte la victime via WhatsApp, l'accuse d'un crime fictif et exige un paiement immédiat pour éviter une arrestation. Ces arnaques ont déjà fait des milliers de victimes. Avec un pseudo comme « police_indienne_officiel », le fraudeur gagne en crédibilité instantanée.
La réponse de Meta
Meta a répondu en expliquant qu'elle réservait certains noms d'utilisateur pour les personnalités publiques et les entités gouvernementales. La question reste : pourquoi « rbi_verify » et « indiamodi » étaient-ils encore disponibles ? Le flou persiste sur le processus de réservation.
WhatsApp a également publié un fil Twitter pour répondre aux questions les plus fréquentes. La société rappelle que les noms d'utilisateur sont optionnels et que les utilisateurs peuvent continuer à utiliser leur numéro de téléphone.
De l'usurpation au phishing : une aubaine pour les escrocs
L'arrivée des pseudos abaisse la barrière à l'entrée pour les arnaques classiques. Un faux profil est beaucoup plus crédible avec un pseudo personnalisé qu'avec un simple numéro étranger.
Le phishing version améliorée
Imaginez le scénario : un fraudeur crée le pseudo « banquepostale_conseil » ou « freebox_assistance » et contacte sa victime. Sans le numéro de téléphone comme signal d'alarme, la victime n'a aucun moyen visuel de détecter l'arnaque. Le message semble provenir d'un compte officiel.
Norton liste les arnaques les plus courantes : usurpation de proches, phishing, fausses offres d'emploi, arnaques aux investissements crypto, loteries fictives. Avec un pseudo crédible, ces arnaques gagnent en efficacité. Un faux conseiller bancaire avec le pseudo « societegenerale_aide » sera bien plus convaincant qu'un numéro inconnu commençant par +33.
Panda Security ajoute les arnaques au faux support technique et aux rendez-vous amoureux. Toutes ces escroqueries reposent sur la confiance. Un pseudo bien choisi la crée instantanément.
L'arnaque au code à 6 chiffres, version 2.0
Le mécanisme est simple mais redoutable. Un harceleur ou un escroc usurpe l'identité d'un proche (avec un pseudo comme « maman_paul ») et demande le code de validation à 6 chiffres que WhatsApp vient d'envoyer à la victime. « C'est pour vérifier mon nouveau téléphone », dit-il. En réalité, ce code permet de pirater le compte WhatsApp de la victime.
Panda Security met en garde contre ces « verification code scams » qui explosent depuis l'arrivée des pseudos. Le problème, c'est que Telegram, avec une fonction similaire, est régulièrement cité dans les enquêtes pour cybercriminalité. WhatsApp, avec ses 3,5 milliards d'utilisateurs, est une cible bien plus juteuse.
Un ancien pirate a même expliqué que les pseudos facilitent le « repiratage » : une fois le compte volé, le fraudeur change le pseudo et le numéro associé, rendant la récupération quasi impossible pour la victime.
Les arnaques aux avocats et aux institutions
La Washington State Bar Association a récemment alerté sur une augmentation des arnaques où des fraudeurs usurpent l'identité d'avocats et d'organisations juridiques via WhatsApp. Les escrocs utilisent des informations publiques (noms d'avocats, numéros de barreau) pour créer de faux documents, des contrats de représentation et même des lettres officielles falsifiées.
Les victimes sont souvent des membres de communautés immigrées, contactés via WhatsApp avec de fausses offres d'assistance juridique. Les fraudeurs utilisent des arrière-plans vidéo falsifiés et des documents imitant ceux du Department of Homeland Security. Sans le numéro de téléphone comme repère, les victimes n'ont aucun moyen de vérifier l'identité de leur interlocuteur.
Activer la clé de pseudo et la double authentification pour se protéger
Face à ce tableau alarmant, des solutions existent déjà dans l'application. Deux dispositifs sous-utilisés peuvent faire la différence : la clé de pseudo et la vérification en deux étapes.
La clé à 4 chiffres que personne n'active
FranceInfo a dévoilé une information capitale : la clé de pseudo est un PIN à 4 chiffres que vos nouveaux contacts doivent saisir avant de pouvoir vous envoyer leur premier message. Mais elle est désactivée par défaut. Résultat : la plupart des utilisateurs ne l'activeront jamais.
Voici le chemin exact pour l'activer : Paramètres > Compte > Nom d'utilisateur > Clé de pseudo. Entrez un code à 4 chiffres, confirmez-le, et c'est fait. Désormais, toute personne qui vous contacte via votre pseudo devra d'abord saisir ce code. Pas de code, pas de message.
Bon à savoir : la clé ne s'applique pas aux contacts qui ont déjà votre numéro ou qui sont dans vos groupes communs. Elle ne gêne donc pas les usages quotidiens. Elle ne protège que contre les contacts inconnus qui vous trouvent via votre pseudo.
La vérification en deux étapes, l'autre bouclier
La FAQ officielle de WhatsApp rappelle également d'activer la vérification en deux étapes (PIN à 6 chiffres via Paramètres > Compte > Vérification en deux étapes). Combinée à la clé de pseudo, cette double protection rend le piratage beaucoup plus difficile.
Les experts recommandent également de paramétrer les options de confidentialité : qui peut voir votre photo de profil, votre statut, votre dernière connexion. Moins vous en montrez, moins les fraudeurs ont d'informations pour vous usurper.
Choisir un pseudo résistant aux devinettes
Rachel Tobac donne un conseil simple mais trop souvent ignoré : choisissez un pseudo qui n'est pas facilement devinable. Évitez votre nom et prénom, votre date de naissance ou votre pseudo Instagram public. Un pseudo unique et aléatoire réduit massivement le risque de se faire usurper ou harceler.
Exemple concret : « jean.dupont.1998 » est un mauvais choix. « xylophone_vert_42 » est bien meilleur. Les fraudeurs ne peuvent pas le deviner, et personne ne peut l'usurper facilement.
Un autre conseil : ne partagez votre pseudo que par des canaux sécurisés. Évitez de le publier sur les réseaux sociaux ou dans des forums publics. Plus votre pseudo est confidentiel, moins vous risquez d'être contacté par des inconnus malveillants.
Que faire si on vous vole votre nom d'utilisateur WhatsApp ?
Si le mal est déjà fait, il faut agir vite. Voici les réflexes à adopter, basés sur les recommandations officielles françaises.
Les réflexes juridiques
L'usurpation d'identité est un délit pénal en France. L'article 226-4-1 du Code pénal prévoit une peine d'un an d'emprisonnement et 15 000 euros d'amende. Cybermalveillance.gouv.fr, le site officiel du gouvernement, recommande trois étapes :
- Déposer plainte au commissariat de police ou à la gendarmerie. Vous pouvez aussi le faire en ligne via le service de plainte en ligne.
- Prévenir votre banque si des données bancaires étaient liées au compte usurpé.
- Signaler le faux compte via le système de signalement intégré à WhatsApp.
La plateforme Signal-Arnaques permet également de signaler les tentatives d'escroquerie et de prévenir les autres utilisateurs.
La checklist de survie numérique
Voici la liste d'actions immédiates à réaliser si vous êtes victime ou si vous détectez un faux compte :
- Bloquer le compte usurpateur immédiatement.
- Le signaler à WhatsApp comme « faux compte » via l'option de signalement dans la conversation.
- Prévenir ses proches que son identité est utilisée frauduleusement pour éviter des arnaques en chaîne.
- Activer immédiatement la clé de pseudo et la 2FA si ce n'était pas fait.
Un réflexe supplémentaire : vérifiez régulièrement si quelqu'un utilise votre nom ou votre photo de profil sur un autre compte. Les fraudeurs n'hésitent pas à copier les profils pour gagner en crédibilité.
Les ressources complémentaires
Aux États-Unis, la Federal Trade Commission a lancé ReportFraud.FTC.gov, un portail centralisé pour signaler les arnaques. En France, la plateforme Cybermalveillance.gouv.fr reste la référence pour les particuliers et les entreprises.
Si vous êtes contacté par un prétendu avocat ou une institution, vérifiez toujours son identité via les annuaires officiels. Ne vous fiez jamais aux coordonnées fournies directement par la personne qui vous contacte.
Conclusion : vigilance et précautions avant l'arrivée des pseudos WhatsApp en France
La fonctionnalité des noms d'utilisateur WhatsApp est une avancée majeure pour la confidentialité. Pouvoir contrôler qui a accès à son numéro de téléphone est un progrès réel. Mais elle est lancée dans un écosystème où les arnaques pullulent, sans filet de sécurité activé par défaut.
Le gouvernement indien a raison de tirer la sonnette d'alarme. Les tests de TechCrunch montrent que le risque d'usurpation est immédiat et concret. Les utilisateurs français doivent être prévenus avant l'arrivée de la fonction.
La balle est dans le camp de l'utilisateur. Activer la clé de pseudo, activer la vérification en deux étapes, choisir un pseudo unique et faire preuve d'une vigilance accrue envers tout contact inconnu via un pseudo : voilà le prix à payer pour ne plus exposer son numéro de téléphone.
Sans ces précautions, les noms d'utilisateur WhatsApp risquent de transformer l'application en un vaste marché aux identités volées. La fonctionnalité est un progrès, mais la vigilance est le prix de cette nouvelle liberté.
