Vous recevez un code de vérification que vous n'avez pas demandé ? Ce qu'il faut vérifier

Un code arrive pour quelque chose que vous n’avez pas fait. Le message lui-même ne vous dit pas pourquoi il a été envoyé, et c’est là toute la difficulté : le même SMS est compatible avec plusieurs situations très différentes.

TL;DR : Ne transmettez le code à personne qui vous contacte à son sujet, et n’agissez pas sur les liens ou les numéros contenus dans le message. La consigne de Google pour un code non demandé est de l’ignorer et de le supprimer, et de ne pas le partager. Au-delà, ce qui vaut la peine d’être fait dépend de ce que vous pouvez observer par ailleurs — si le code nomme un service que vous utilisez réellement, si d’autres codes suivent, si quelque chose paraît différent sur ce compte, et si votre service mobile fonctionne normalement.

Les trois choses à faire en premier

Ne transmettez pas le code. Si quelqu’un vous contacte pour vous demander un code de connexion, d’inscription ou de récupération — par appel, par messagerie ou par SMS — ne le lui donnez pas. N’utilisez que le parcours que vous avez lancé, à l’intérieur de l’application ou du site officiels du service.
N’agissez pas sur les liens ni sur les numéros de téléphone contenus dans le message. L’arrivée d’un code ne rend pas authentique le texte qui l’entoure.
Si le code nomme un service que vous utilisez, ouvrez ce service vous-même — son application officielle, ou son adresse que vous saisissez vous-même — et examinez le compte depuis là.

L’aide de Google sur les codes de vérification non demandés indique que vous pouvez ignorer et supprimer le message et que vous ne devez pas partager le code, et renvoie vers sa Vérification de la sécurité pour un examen plus large.

Ce que cela pourrait signifier

Le message à lui seul ne permet pas de distinguer ces cas. La page de dépannage de Microsoft sur les codes non demandés en nomme trois directement :

Quelqu’un essaie d’accéder à un compte.
Quelqu’un a saisi un mauvais numéro de téléphone ou une mauvaise adresse e-mail en se connectant.
Un code que vous aviez demandé plus tôt a été retardé et n’arrive que maintenant. Si vous n’êtes pas sûr du canal qu’une demande antérieure a emprunté, où arrivent vraiment les codes de vérification explique comment lire la destination.

Deux autres cas méritent d’être gardés à l’esprit :

Le message peut être un appât. Un message en forme de code peut accompagner une tentative de vous faire appeler un numéro, suivre un lien, ou lire le code à quelqu’un.
Le numéro peut porter l’historique d’un titulaire précédent. Les numéros sont réattribués, et c’est le même mécanisme que derrière un numéro qui arrive déjà enregistré sur WhatsApp.

Ce sont des possibilités, pas un diagnostic. Trancher entre elles demande autre chose que le SMS, par exemple le compte lui-même.

Quoi examiner, selon ce que vous pouvez observer

Ce que vous pouvez observer	Ce avec quoi c’est compatible	Réponse proportionnée
Un seul code, pour un service que vous n’utilisez pas	Un mauvais numéro saisi, un message retardé, ou une tentative contre un compte qui n’est pas le vôtre	Ignorez-le et supprimez-le ; ne le saisissez nulle part
Un seul code, pour un service que vous utilisez	N’importe laquelle des possibilités ci-dessus, y compris une tentative	Ouvrez ce service vous-même et examinez sa page de sécurité
D’autres codes qui arrivent	Des tentatives répétées, ou un service qui réessaie	Examinez les réglages de sécurité du compte nommé et renforcez sa connexion
Quelqu’un vous contacte pour vous demander le code	Une tentative de vous le soutirer	Ne le transmettez pas ; mettez fin au contact ; signalez via le canal officiel du service
Quelque chose d’inconnu sur le compte — une session, un appareil ou une méthode de récupération modifiée	Un accès possible	Utilisez les contrôles propres au service, en commençant par les méthodes de récupération
Le service mobile cesse de fonctionner sans prévenir	Une panne, une défaillance d’appareil ou de carte SIM, ou une modification de la ligne	Contactez votre opérateur — voir plus bas

Les méthodes de récupération méritent l’examen le plus attentif

Si vous n’inspectez qu’une seule partie d’un compte après un code inattendu, que ce soit celle-là.

L’accès à un compte peut être rendu durable en modifiant ses méthodes de récupération — l’adresse e-mail de secours, le téléphone de récupération, les appareils de confiance, les sessions liées. Rétablir un mot de passe ne défait pas nécessairement cela, parce que la voie de retour a été réorientée.

Sur la page de sécurité du compte, cherchez donc précisément :

une adresse e-mail de récupération que vous ne reconnaissez plus ou que vous ne pouvez pas ouvrir ;
un numéro de téléphone de récupération qui n’est pas le vôtre ;
des appareils liés ou des sessions actives que vous ne reconnaissez pas ;
des applications connectées ou des mots de passe d’application, dont le comportement après un changement de mot de passe varie selon le service — consultez la documentation du service plutôt que de supposer qu’ils sont révoqués.

Google documente la consultation de l’activité et des appareils du compte pour ses propres comptes.

Si votre téléphone perd le réseau

La perte du service mobile a des causes ordinaires : une panne du réseau, une carte SIM abîmée ou mal enclenchée, une défaillance de l’appareil, un problème de facturation.

Elle peut aussi accompagner une modification de la ligne elle-même. Ce qui rend cela digne d’un appel rapide à votre opérateur, c’est la combinaison — un service qui s’arrête sans explication ordinaire, en particulier en même temps que des messages sur des modifications de compte, des transferts de numéro ou des demandes de portabilité que vous n’avez pas lancées.

Contactez votre opérateur via un numéro que vous cherchez vous-même, pas un numéro tiré d’un message. À titre d’exemple chez un opérateur, les consignes d’AT&T aux États-Unis demandent aux clients qui soupçonnent un transfert de numéro illégal de les contacter rapidement ; d’autres opérateurs ont leurs propres procédures et canaux de contact, utilisez donc ceux de votre fournisseur. La perte de service à elle seule n’établit pas qu’un numéro a été déplacé ; c’est une raison de vérifier rapidement, parce que le contrôle d’une ligne gouverne la connexion et la récupération basées sur le SMS.

Deux situations à dérouler

Scénarios illustratifs, pas des comptes rendus de comptes réels.

Un code d’un service que vous n’avez jamais utilisé. Il nomme une place de marché où vous n’avez pas de compte. Vous n’avez rien à vous à sécuriser. Ignorez-le et supprimez-le, et ne créez pas de compte là-bas pour enquêter — cela transforme un message égaré en une véritable empreinte. Si d’autres arrivent du même service, c’est son propre canal de sécurité ou d’aide qui sert à les signaler ; les places de marché publient des consignes, par exemple l’aide de Shopee sur la sécurité du compte. WhatsApp publie de même des consignes pour un code que vous n’avez pas demandé.

Un code d’un service que vous utilisez, deux fois en dix minutes. Ici, vous avez quelque chose à inspecter. Ouvrez l’application officielle du service, allez sur sa page de sécurité, et lisez l’activité de connexion, les appareils, puis les méthodes de récupération, dans cet ordre. Si tout correspond à ce que vous attendez, renforcer la connexion est une réponse raisonnable. Si au contraire le compte refuse un numéro que vous essayez d’ajouter, c’est un autre problème — voir ce que signifie le refus d’un numéro de téléphone par Google. Si une méthode de récupération est une méthode que vous ne reconnaissez pas, c’est là le constat, et ce sont les contrôles de récupération et de sécurité du service qui servent à le traiter.

Si vous avez déjà donné le code à quelqu’un

Cela arrive, et la pression exercée est conçue pour fonctionner. Ce qu’il faut faire dépend de votre capacité à entrer encore dans le compte.

Si vous avez encore l’accès :

Ouvrez le service directement — son application, ou son adresse que vous saisissez vous-même.
Examinez d’abord les méthodes de récupération et rétablissez celles qui ont été modifiées.
Examinez les appareils liés et les sessions actives. Déconnectez ceux que vous ne reconnaissez pas ; soyez prudent avant de tout déconnecter d’un coup si une session que vous détenez encore est votre seule porte d’entrée.
Changez le mot de passe, le code PIN ou l’autre secret d’authentification utilisé par le service. Tous les services n’utilisent pas un mot de passe classique — WhatsApp, par exemple, s’organise autour du numéro d’enregistrement et du code PIN ou mot de passe en deux étapes proposé par l’application — utilisez donc ce que la page de sécurité de ce service propose.
Activez le deuxième facteur le plus robuste disponible, en notant qu’un facteur de connexion n’est pas automatiquement une méthode de récupération.

Si vous n’avez déjà plus accès au compte : allez directement au processus officiel de récupération de compte du service. N’enchaînez pas les tentatives de connexion alternatives, et n’échangez pas avec la personne qui vous a contacté.

Si de l’argent a bougé ou si des actions ont été effectuées, signalez-le directement au canal de traitement officiel de ce service — un prestataire de paiement, une banque ou une place de marché dispose de son propre processus pour cela.

Aucune séquence ne garantit que toutes les conséquences soient défaites. L’objectif est de fermer les voies de retour.

Si vous voulez le signaler

Signalez-le via le canal officiel du service dont le message prétend provenir. Ce qu’il est utile d’inclure :

que vous avez reçu un code de vérification que vous n’aviez pas demandé ;
la date et l’heure approximatives ;
le nom du service ou de l’expéditeur affiché ;
votre numéro masqué, réduit à ses derniers chiffres.

À garder hors de tout signalement : le code lui-même, les mots de passe et les codes de récupération. Une preuve expurgée — une capture d’écran avec le code noirci, par exemple — est autre chose que le code lui-même. Suivez les exigences de preuve du formulaire que vous utilisez, tout en en tenant à l’écart les codes, les mots de passe et les codes de récupération.

Si vous louez une boîte de réception chez nous, rappelez-vous qu’un numéro loué peut porter des associations antérieures et peut être réattribué ensuite ; un message qui n’a rien à voir avec vous est donc une issue banale plutôt qu’un signal concernant votre compte. Un message inattendu n’établit pas à lui seul que quelque chose vous appartenant est touché. Mais si le code nomme un service que vous utilisez réellement, traitez-le comme n’importe lequel de vos comptes et inspectez-le normalement. Si vous pensez qu’une commande est erronée, un ticket de support avec l’identifiant de la commande est la voie, et la FAQ expose ce qu’une commande établit et n’établit pas.

Limites de ce guide

Un message isolé n’établit ni qui a demandé un code ni pourquoi. Nous ne pouvons pas identifier la personne à l’origine de la demande à partir d’un SMS reçu ; le service de destination peut détenir des enregistrements d’activité, et même ceux-là n’établissent pas l’identité d’une personne.
Les possibilités listées sont des possibilités. Les distinguer demande le compte, pas le message.
Les contrôles de sécurité et leurs noms diffèrent selon les services et changent avec le temps. La page de sécurité du service fait foi.
Aucune suite d’étapes ne garantit qu’une compromission soit entièrement défaite.

FAQ

Un seul code inattendu signifie-t-il que mon compte a été consulté ?

Non — c’est compatible avec plusieurs situations, dont un mauvais numéro saisi, une demande antérieure retardée, et une tentative qui n’a pas abouti. Pour un code isolé, la consigne de Google est de l’ignorer et de le supprimer sans le partager.

Quelqu’un dit l’avoir envoyé par erreur et me demande de le lui transférer. Dois-je le faire ?

Non. Ne transmettez pas un code de connexion, d’inscription ou de récupération à quelqu’un qui vous contacte. Si sa demande est sincère, cette personne peut relancer le parcours elle-même.

Pouvez-vous découvrir qui a demandé le code ?

Nous ne le pouvons pas. Un SMS reçu ne porte pas cette information, et nous n’avons aucune visibilité sur le service à l’origine de la demande. Le service lui-même peut détenir des enregistrements d’activité, mais ceux-ci montrent des demandes et des appareils plutôt qu’ils n’établissent l’identité d’une personne.

Je reçois sans arrêt des codes du même service. Et maintenant ?

S’il s’agit d’un compte que vous utilisez, ouvrez-le directement et examinez l’activité de connexion, les appareils et les méthodes de récupération, puis renforcez la connexion. Si ce n’est pas votre compte, vous n’avez rien à vous à sécuriser ; signalez via le canal officiel de ce service plutôt que de vous y inscrire pour enquêter.

Mon téléphone a perdu le réseau à peu près au même moment. Y a-t-il un lien ?

C’est possible, et il peut aussi s’agir d’une panne, d’une défaillance de la carte SIM ou de l’appareil. La combinaison sur laquelle il faut agir rapidement, c’est une perte de service inexpliquée en même temps que des notifications sur des modifications de compte ou des transferts de numéro que vous n’avez pas lancés. Appelez votre opérateur sur un numéro que vous cherchez vous-même.

Un autre numéro de téléphone arrêterait-il cela ?

Pas comme réponse générale — n’importe quel numéro peut recevoir un code égaré, et la protection d’un compte réside dans ses propres contrôles. Changer de numéro est une décision pour des circonstances précises, comme des sollicitations indésirables persistantes, plutôt qu’une réponse de routine à un message isolé.

J’ai reçu un code sur un numéro loué. Est-ce que cela veut dire que quelque chose ne va pas ?

Pas en soi. Un numéro loué peut porter des associations antérieures et peut être réattribué plus tard, des messages sans rapport sont donc banals. Ne les saisissez nulle part. Si le code nomme un service que vous utilisez personnellement, inspectez ce compte comme vous le feriez normalement.