Code de vérification reçu sans l'avoir demandé : pourquoi votre mot de passe a déjà été découvert

Votre téléphone vibre en soirée : un code à 6 chiffres, envoyé par un service que vous n'avez pas ouvert depuis longtemps. Personne ne s'est connecté, et le message est pourtant authentique. Quelqu'un tape votre numéro ou votre adresse sur un écran de connexion, à l'instant même. Si ce service réclame un mot de passe avant d'envoyer le code, la conclusion est sans appel : le mot de passe est déjà tombé, et le code est la seule serrure qui tient encore. Tout se joue sur quelques mots du message.

Le même code ne prouve pas la même chose selon le service

Sur un compte Apple, Google ou bancaire, le code arrive en deuxième position. Apple l'écrit dans son aide : une connexion sur un nouvel appareil réclame le mot de passe et un code de validation à 6 chiffres. Reçu alors que vous n'avez rien fait, il signifie donc que la première serrure a déjà cédé.

Ailleurs, ce même code est la première et unique étape. WhatsApp n'utilise pas de mot de passe : le code d'inscription suffit à installer le compte. Beaucoup de sites marchands font pareil, avec un code de connexion à usage unique. Il ne dit alors rien de votre mot de passe.

L'aide de WhatsApp le confirme : ce code signale que quelqu'un a saisi votre numéro sur un écran d'inscription. Souvent, un autre utilisateur s'est trompé en tapant le sien. La messagerie ajoute que la tentative peut aussi viser la prise de contrôle du compte.

Reste un troisième texte, à mi-chemin : code pour réinitialiser votre mot de passe. La première serrure a tenu, mais quelqu'un a lancé une récupération sur votre compte. Ce code ouvre le droit d'en choisir un nouveau : il vaut la clé elle-même.

Lecture Selectra des pages d'aide de Google, Apple et WhatsApp, septembre 2026.

Ce code ne se dicte à personne, pas même à un proche

Google et WhatsApp écrivent la même consigne.

WhatsApp explique pourquoi : sans ce code, personne ne peut faire vérifier votre numéro. C'est la dernière serrure.

Face à un code d'inscription, l'inaction suffit : ne rien répondre, ne rien transférer. La messagerie propose en plus un code secret facultatif, qui verrouille toute nouvelle inscription du numéro.

Le piège ne ressemble pas à une arnaque. Un message arrive du compte d'un ami : il s'est trompé d'un chiffre en s'inscrivant, le code est parti chez vous, pouvez-vous le lui renvoyer ? Le code réclamé est celui de votre compte.

10 codes en 2 minutes : quelqu'un mise sur votre lassitude

Un code isolé est une tentative. 10 messages en 2 minutes sont une méthode : la rafale suppose que le mot de passe est déjà connu.

La rafale vise surtout les comptes qui n'envoient pas 6 chiffres à recopier, mais une notification à valider d'un simple « Autoriser ». À la dixième, le geste part tout seul. Refusez chaque demande, puis changez le mot de passe. Sur un compte Google, l'activité récente liée à la sécurité liste ces tentatives et permet de répondre « Non, sécuriser mon compte ».

Sur un appareil Apple, la notification de connexion peut afficher une carte de la localisation approximative. Elle reflète le réseau plutôt qu'une position exacte, mais une tentative à des centaines de kilomètres lève le doute.

Les gestes à faire dans les minutes qui suivent

Changer un mot de passe avant d'avoir identifié le service ne sert à rien.

1. Identifier le service émetteur. L'expéditeur affiché, suite de lettres ou numéro court, ne dit rien. C'est le corps du message qui nomme le service, et parfois l'appareil ou la ville d'où part la tentative. Un code se recopie à la main : n'ouvrez aucun lien du SMS, passez par l'application ou tapez l'adresse vous-même.
2. Changer le mot de passe du service visé, en premier. Puis, s'il sert ailleurs, le changer partout : c'est la réutilisation qui transforme une fuite en série d'intrusions. Votre téléphone sait repérer les mots de passe réutilisés.
3. Passer en revue les appareils connectés au compte visé et retirer les inconnus. Déconnecter un appareil ne suffit pas toujours, et les applications autorisées gardent leur accès même supprimées du téléphone.
4. Vérifier ce qui a été modifié en dernier : adresse de récupération, numéro de secours, règle de transfert automatique. Un intrus laisse rarement le compte en l'état, comme le rappelle notre marche à suivre pour reprendre la main.

Le numéro reste le maillon faible, pas le code

Ces 6 chiffres arrivent sur une ligne, et une ligne se détourne. Une carte SIM obtenue à votre nom suffit à recevoir vos codes. Le premier signe est une perte de réseau soudaine, parfois un téléphone réduit à « Appel d'urgence ».

C'est pourquoi Google conseille, à défaut d'une clé d'accès, l'invite envoyée dans l'application plutôt que le code par SMS. Elle protège aussi, écrit l'entreprise, contre le piratage de la carte SIM ou du numéro. Une application d'authentification ou une clé d'accès font le même travail sans passer par votre opérateur.

Un dernier maillon passe inaperçu : l'ancien numéro laissé comme numéro de secours. Réattribué à un inconnu, c'est lui qui recevra vos codes, d'où l'intérêt de détacher vos comptes avant que l'ancienne ligne ne s'éteigne.

Changer d'opérateur ne crée pas ce risque : la portabilité conserve votre numéro, donc vos comptes. Si votre forfait ne vous convient plus, comparez les offres du moment.

Forfait NRJ Mobile 100 Mo

Sans engagement 100 Mo 4G UE 100 Mo

1,49 €/mois

Tarifs vérifiés le 12/10/2026

Souscrire

Voir les détails

Prix mini

Forfait RED 1 Go

Sans engagement 1 Go 4G eSIM UE 1 Go

1,99 €/mois

Tarifs vérifiés le 30/09/2026

Souscrire

Voir les détails

Forfait Cdiscount 1Go

Sans engagement 1 Go 4G UE 1 Go

1,99 €/mois

Tarifs vérifiés le 12/10/2026

Souscrire

Voir les détails

Lu de près, ce SMS désigne le compte visé et dit s'il vous reste 3 minutes ou 3 jours.