Sécuriser WhatsApp Business au Maroc : la checklist anti-piratage pour les commerçants

Pour beaucoup de commerces au Maroc, WhatsApp Business est le canal principal : on y reçoit les commandes venues d'Instagram ou de Facebook, on y partage le RIB, on y confirme le paiement à la livraison. Ce compte vaut donc de l'argent, et les escrocs le savent. La bonne nouvelle : la plupart des piratages exploitent des réglages laissés par défaut ou un code partagé sous la pression. Voici la checklist de sécurité que nous appliquons, construite à partir des recommandations officielles de WhatsApp.

1. Activer la validation en deux étapes

C'est la protection la plus importante. Dans Paramètres, Compte, Validation en deux étapes, activez l'option, créez un mot de passe solide et confirmez-le. WhatsApp remplace progressivement l'ancien code PIN à 6 chiffres par un mot de passe : au moins 8 caractères, avec au moins une lettre et un chiffre. Choisissez quelque chose qui n'est ni votre date de naissance, ni le nom de la boutique, ni votre numéro.

2. Ajouter une adresse e-mail que vous contrôlez

Lors de l'activation, WhatsApp propose d'ajouter une adresse e-mail. Ne sautez pas cette étape. Dans Paramètres, Compte, Adresse e-mail, ajoutez l'adresse puis validez-la avec le code à 6 chiffres reçu. Cette adresse permet de recevoir un code de connexion sans SMS et de vérifier votre identité si vous oubliez le mot de passe.

3. Vérifier les appareils connectés chaque semaine

WhatsApp Web, l'application de bureau et les appareils secondaires peuvent rester connectés longtemps. Ouvrez Appareils connectés, passez la liste en revue et déconnectez tout appareil inconnu ou inutilisé (l'ordinateur d'un ancien employé, une tablette de la boutique). C'est aussi le bon réflexe après chaque départ dans l'équipe.

4. Protéger la messagerie vocale

Une recommandation officielle méconnue : mettre un code difficile à deviner sur votre messagerie vocale. Le code d'enregistrement WhatsApp peut être envoyé par appel vocal. Si vous ne décrochez pas, il peut finir sur votre répondeur, et un répondeur protégé par le code par défaut peut être consulté à distance. Renseignez-vous auprès de votre opérateur pour changer ce code.

5. Verrouiller l'application et le téléphone

• Activez le verrouillage de l'application par empreinte ou reconnaissance faciale.
• Mettez un code de verrouillage sur le téléphone de la boutique, surtout s'il reste sur le comptoir.
• Activez le verrouillage des discussions sensibles (fournisseurs, banque, comptable).
• Activez les sauvegardes chiffrées de bout en bout, protégées par un mot de passe ou une clé.

6. Reconnaître les arnaques au code

La grande majorité des comptes pris le sont par ingénierie sociale : on vous convainc de donner le code vous-même. Les scénarios les plus courants :

• « Je t'ai envoyé un code par erreur, tu peux me le renvoyer ? » Le message vient souvent d'un contact déjà piraté. Le code est celui de votre compte.
• Le faux support WhatsApp qui annonce que votre compte va être suspendu et demande un code pour le « vérifier ». WhatsApp ne vous demandera jamais votre code.
• Le faux client qui veut « confirmer la commande » ou « valider le paiement » avec un code reçu par SMS.
• Le faux livreur ou la fausse banque qui envoie un lien à ouvrir pour « débloquer » un colis ou un virement.

Règle simple à afficher à côté de la caisse : aucun code reçu par SMS, appel ou e-mail ne se partage, avec personne. Si vous recevez des e-mails ou SMS de code que vous n'avez pas demandés, ne cliquez sur aucun lien : quelqu'un essaie probablement d'enregistrer votre numéro.

7. Sécuriser la carte SIM

Votre compte dépend d'une carte SIM. Si le téléphone est perdu ou volé, WhatsApp recommande d'appeler immédiatement votre opérateur pour bloquer la carte et demander une nouvelle SIM avec le même numéro. Mettez aussi un code PIN sur la SIM et notez le code PUK dans un endroit sûr. Pour un commerce, idéalement, le numéro WhatsApp Business est au nom de l'entreprise et non d'un employé.

8. Vérifier votre Meta Account

Si WhatsApp est relié à votre compte Meta (le centre de comptes partagé avec Facebook et Instagram), une page Facebook ou un compte Instagram compromis peut servir de porte d'entrée. WhatsApp recommande de vérifier les profils présents dans votre Meta Account, de retirer tout profil suspect et, en cas de doute, de sortir temporairement WhatsApp du Meta Account le temps de tout sécuriser.

9. Organiser les accès dans l'équipe

• Une personne responsable du compte, une personne de secours qui connaît la procédure.
• Le mot de passe de validation en deux étapes stocké dans un gestionnaire de mots de passe, pas dans un groupe WhatsApp.
• Les employés utilisent les appareils connectés, déconnectés à leur départ.
• Une fiche écrite : numéro, opérateur, adresse e-mail de récupération, où se trouve la SIM, qui appeler.

10. Préparer le jour où ça arrive quand même

Aucune checklist n'élimine tout risque. Ce qui fait la différence, c'est de savoir quoi faire dans la première heure : la procédure de récupération d'un compte piraté, le message à publier pour prévenir vos clients, et un canal de remplacement pour continuer à vendre, décrit dans le plan de secours pour vos ventes et paiements.

On s'en occupe pour vous

La sécurité d'un commerce ne s'arrête pas à WhatsApp : site, e-mails, réseaux sociaux et accès bancaires sont liés. Notre maintenance et accompagnement sécurise et documente l'ensemble, et vous accompagne en cas d'incident. Contactez-nous pour un audit de vos accès.