Pourquoi ai-je reçu un code de vérification que je n’ai pas demandé ?

Pourquoi vous pouvez recevoir un code de vérification que vous n'avez pas demandé

Un code de vérification inattendu peut venir d'une faute de frappe, d'une tentative de connexion ou de réinitialisation de mot de passe, ou d'un message frauduleux conçu pour vous inciter à réagir. Un code que vous n'avez pas demandé ne prouve pas à lui seul que votre compte a été consulté ni que quelqu'un connaît votre mot de passe. Ne partagez pas le code, n'approuvez pas une demande inattendue et n'utilisez pas les liens contenus dans le message. Ouvrez directement le service concerné et vérifiez l'activité de votre compte.

Ce que le code protège dépend du service. Il peut confirmer une nouvelle inscription, une connexion, une réinitialisation de mot de passe, une tentative de récupération, un numéro de téléphone ou une action sensible comme un paiement. C'est pourquoi la bonne réaction dépend du contexte, et non du code lui-même.

• Un seul code, aucun autre signe d'alerte : il peut s'agir d'une faute de frappe, d'une inscription, d'une tentative de connexion ou de réinitialisation, ou d'un faux message. N'utilisez pas le code ; vérifiez directement le compte concerné si vous en avez un.
• Des codes qui arrivent sans cesse : quelqu'un essaie peut-être à plusieurs reprises de se connecter ou de réinitialiser l'accès. Vérifiez ce compte dès maintenant.
• Un code accompagné d'une alerte de compte : une connexion depuis un nouvel appareil, un changement de mot de passe ou une modification des informations de récupération exige une action dès aujourd'hui.
• Quiconque vous demande le code : considérez qu'il s'agit d'une arnaque, quel que soit l'expéditeur qu'il prétend être.

Quelqu'un a saisi votre adresse e-mail ou votre numéro de téléphone par erreur

Les gens se trompent sans cesse en saisissant leurs propres coordonnées, et le code vous parvient alors au lieu de leur parvenir. La page d'aide de Login.gov « I'm receiving one-time codes that I didn't request » cite cette cause comme probable, tout comme le fait qu'une personne partageant votre téléphone, comme un conjoint, un parent ou un enfant, se connecte à son propre compte. Un code unique sans suite est le signe typique de ce genre de confusion.

Quelqu'un a tenté de se connecter ou de réinitialiser votre mot de passe

De nombreux services envoient un code lorsqu'une connexion provient d'un nouvel appareil ou d'un nouvel emplacement, ou lorsque quelqu'un lance une réinitialisation de mot de passe. Il peut s'agir de vous sur un autre appareil, d'une personne qui a confondu votre compte avec le sien, ou d'une tentative de connexion automatisée avec un mot de passe divulgué sur un autre site. Selon le service, le code peut être une seconde étape après le mot de passe ou l'identifiant principal d'une connexion sans mot de passe, et le code seul ne permet pas de savoir de quel cas il s'agit. Ne le partagez pas et ne le saisissez pas, et vérifiez le compte via l'application ou le site officiel.

Quelqu'un a utilisé vos coordonnées pour s'inscrire

Un code d'inscription peut arriver pour un service que vous n'avez jamais utilisé parce qu'une personne a saisi votre adresse e-mail ou votre numéro de téléphone en créant un compte. La plupart des services ne finalisent l'inscription qu'une fois le code ou le lien de confirmation utilisé, donc ignorer le message suffit généralement. Ne créez pas de compte simplement pour enquêter.

Le message est du phishing, pas un vrai code

Un message peut imiter un avis de vérification et contenir un lien, un numéro de téléphone ou une consigne du type « répondez pour annuler », même si aucune action réelle n'a eu lieu sur le compte. Le but est de vous faire appeler, cliquer ou saisir quelque chose sur une fausse page. Ne testez pas le lien. Ouvrez l'application officielle ou saisissez vous-même l'adresse web connue du service.

Un incident côté service a déclenché une vague de messages

Parfois, la cause vient de l'entreprise. En janvier 2026, Instagram a attribué une vague d'e-mails de réinitialisation de mot de passe inattendus à « un problème qui a permis à un tiers externe de demander des e-mails de réinitialisation de mot de passe pour certains utilisateurs d'Instagram », selon l'association de consommateurs Which?, et Instagram a nié que ses systèmes aient été compromis. Même dans un tel cas, la réaction sûre reste la même : ignorez les liens et vérifiez le compte dans l'application.

Que faire dès maintenant

La réaction la plus sûre face à un code non demandé prend quelques minutes et ne passe jamais par le message lui-même. Suivez ces étapes dans l'ordre et arrêtez-vous dès que le compte est vérifié.

1. Ne partagez pas le code, ne le transférez pas et ne le lisez pas à voix haute. Ne le saisissez nulle part et n'approuvez pas une demande de connexion que vous n'avez pas lancée. La page d'aide de Google « When Google might send you a text » indique que vous pouvez ignorer et supprimer un code reçu par SMS que vous n'avez pas demandé, et que vous ne devez partager aucun code reçu.
2. N'utilisez rien de ce qui se trouve dans le message. Ignorez les liens, les numéros de téléphone et toute consigne de réponse, même si l'expéditeur vous semble familier.
3. Ouvrez le service vous-même. Utilisez l'application officielle ou saisissez l'adresse que vous connaissez déjà, puis consultez l'activité de connexion récente, les appareils connectés et les alertes de sécurité. La page de Microsoft « What is the Recent activity page? » explique que sa page affiche l'activité du compte Microsoft des 30 derniers jours et vous permet de sélectionner « Ce n'était pas moi » pour tout élément signalé comme inhabituel.
4. Changez le mot de passe lorsque la situation l'exige. Faites-le via le service officiel si l’activité vous semble inconnue, si le service confirme une tentative de connexion, si vous avez partagé le code ou si le mot de passe est réutilisé sur d’autres sites. Utilisez un mot de passe unique pour ce compte.
5. Activez une authentification multifacteur plus robuste. L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) classe la clé de sécurité comme l’option la plus forte, suivie de l’application d’authentification, et les codes par SMS ou e-mail comme les plus faibles. La CISA conseille de n’utiliser des codes par SMS ou e-mail que lorsque le compte ne propose rien de plus solide.
6. Contactez le service si les codes continuent d’arriver. Utilisez le centre d’aide dans l’application ou sur le site officiel, pas un numéro figurant dans le message.

Si vous n’avez pas de compte auprès du service nommé, quelqu’un s’inscrit peut-être avec votre adresse e-mail ou votre numéro de téléphone, ou le message est peut-être faux. Ignorez-le. Si le même service continue de vous contacter, joignez son équipe d’assistance via le site officiel.

Un code, des codes répétés ou une alerte de compte : ce que signifie chaque schéma

Les indices qui l’entourent comptent plus que le nombre de codes. Un code peut provenir d’une faute de frappe, d’une inscription, d’une tentative de connexion ou de réinitialisation, ou d’un faux message. Des codes répétés justifient un examen rapide du compte, tandis qu’un code accompagné d’une alerte de connexion ou de modification de compte inconnue exige une action immédiate via le service officiel.

Les codes seuls racontent rarement toute l’histoire. Les signes qu’un compte a réellement été consulté sont plus précis :

• Vous ne pouvez plus vous connecter, ou le service confirme que votre mot de passe ou vos informations de récupération ont changé.
• Votre compte affiche des appareils, des sessions ou des lieux que vous ne reconnaissez pas.
• Des messages, publications ou achats apparaissent que vous n’avez pas effectués.
• Votre compte e-mail comporte de nouvelles règles de transfert ou de nouveaux filtres que vous n’avez pas mis en place.

Si vous constatez l’un de ces éléments, utilisez immédiatement la procédure officielle de récupération de compte du fournisseur.

Codes par e-mail, codes par SMS et demandes de connexion

Le canal change ce qu’il vaut la peine de vérifier. Un code par e-mail vous oriente vers le compte e-mail et le service nommé, un SMS vers votre numéro de téléphone, et une demande d’approbation signifie qu’une connexion attend votre validation.

Si vous avez reçu un e-mail contenant un code de vérification que vous n’avez pas demandé

Un email contenant un code de vérification aléatoire peut provenir d’une inscription, d’une tentative de connexion ou de réinitialisation, d’une faute de frappe ou d’un faux message. Vérifiez le compte concerné via son site officiel ou son application. Si d’autres signes indiquent que quelqu’un a accédé à votre boîte mail, consultez également les sessions récentes, l’email et le téléphone de récupération, les messages envoyés, ainsi que les règles de transfert ou les filtres. Une règle de transfert que vous n’avez pas créée pourrait copier les futurs messages, y compris les codes : supprimez-la et sécurisez la boîte mail.

Si vous avez reçu un code de vérification par SMS

Ne répondez pas, n’appelez pas un numéro figurant dans le message et ne partez pas du principe qu’un fil familier prouve que le texto est authentique. Pour les textos qui ressemblent à du spam, le guide de la FTC « How To Recognize and Report Spam Text Messages » suggère de les transférer au 7726 (SPAM). Faites attention avant de bloquer le numéro d’un vrai service, car vous pourriez avoir besoin de ses codes plus tard. Si votre téléphone perd soudainement le réseau cellulaire alors que des codes ou des alertes de compte arrivent, contactez votre opérateur via un canal auquel vous faites déjà confiance ; les pannes de service ont des causes ordinaires, mais cette combinaison mérite une vérification rapide.

Si vous avez reçu une demande d’approbation de connexion

Refusez toute connexion que vous n’avez pas initiée. Le Guide d’utilisation de la sécurité personnelle d’Apple indique que si vous recevez une notification concernant une connexion sur un nouvel appareil que vous ne reconnaissez pas, vous devez sélectionner « Ne pas autoriser ». Des demandes répétées peuvent viser à vous épuiser, alors n’approuvez jamais l’une d’elles simplement pour faire cesser les notifications.

Arnaques au code de vérification : quand quelqu’un vous demande le code

Une demande de votre code est le signe d’alerte le plus clair qui soit. L’alerte consommateur de la FTC de mars 2024 « What's a verification code and why would someone ask me for it? » le dit sans détour : « Quiconque vous demande votre code de vérification de compte est un escroc. » Les vraies entreprises envoient des codes que vous saisissez vous-même sur un écran que vous avez ouvert.

Le scénario change, mais la demande porte toujours sur le code :

• L’appel du « service fraude ». Un interlocuteur prétend être votre banque, une équipe d’assistance ou un organisme public et affirme avoir besoin du code pour protéger ou vérifier votre compte.
• L’ami qui a envoyé un code « par erreur ». Un message d’un contact connu indique qu’un code vous a été envoyé par accident et vous demande de le lui renvoyer. Contactez cette personne par un autre canal auquel vous faites confiance. Le compte peut être compromis ou usurpé, et le code pourrait permettre à quelqu’un d’enregistrer votre numéro de téléphone ou de prendre le contrôle d’un compte.
• L’acheteur sur une plateforme de vente. L’alerte de la FTC d’octobre 2021 sur l’arnaque au code de vérification Google Voice décrit des personnes vendant des articles en ligne à qui l’on demande de lire un code pour « prouver » qu’elles sont réelles. Le conseil de la FTC : ne partagez aucun code de vérification avec quelqu’un si vous ne l’avez pas contacté en premier.

Ne donnez jamais de code en réponse à un contact inattendu. Si vous avez vous-même entamé une conversation avec l’assistance, suivez uniquement les instructions affichées dans l’application ou sur le site officiel de l’organisation, et lisez l’avertissement contenu dans le message du code. Pour vérifier un compte, contactez l’entreprise en utilisant un numéro auquel vous faites déjà confiance, comme celui figurant sur votre carte ou dans son application, et signalez les tentatives d’arnaque sur ReportFraud.ftc.gov.

Si vous avez déjà partagé un code ou approuvé une demande

Agissez vite et restez calme. Partager un code ne signifie pas toujours que quelqu’un s’est connecté, mais il faut partir du principe que c’est peut-être le cas et sécuriser le compte immédiatement.

1. Ouvrez le service directement et changez le mot de passe. Ensuite, déconnectez les autres sessions ou appareils si le service propose cette option.
2. Examinez les paramètres de sécurité, notamment l’email de récupération, le téléphone de récupération, les méthodes d’authentification multifacteur et les éventuels codes de secours. Login.gov, par exemple, demande aux personnes qui reçoivent des codes inattendus de changer leur mot de passe, de confirmer leurs méthodes d’authentification et de régénérer leurs codes de secours si elles en utilisent.
3. Appelez votre banque ou l’émetteur de votre carte en utilisant le numéro figurant sur votre carte ou votre relevé si le code concernait un compte financier.
4. Vérifiez votre compte email pour repérer les règles de transfert, les filtres ou les messages envoyés que vous n’avez pas créés, si le code partagé concernait votre boîte mail.
5. Suivez les étapes de récupération officielles du service si une application de messagerie ou un service de numéro de téléphone était concerné et que vous avez perdu l’accès.
6. Signalez-le sur ReportFraud.ftc.gov, et attendez-vous à des messages de suivi qui prétendent vous « aider » à récupérer votre compte. Faites preuve de la même prudence à leur égard.

Garder les inscriptions sans enjeu hors de votre boîte de réception principale

Votre adresse e-mail principale sert de voie de récupération pour de nombreux comptes importants : il vaut donc la peine de la partager avec prudence. Utiliser une adresse distincte pour les inscriptions sans enjeu permet de garder les codes d’inscription et les messages marketing hors de votre boîte de réception principale. Cela n’empêche toutefois pas quelqu’un de mal saisir ou de détourner votre véritable adresse e-mail, et ne remplace ni un mot de passe robuste ni l’authentification multifacteur.

Pour les newsletters, les téléchargements ponctuels ou les essais gratuits que vous ne comptez pas conserver, une adresse e-mail temporaire offre à ces messages leur propre boîte de réception. Cela peut réduire l’encombrement de votre boîte de réception principale, mais un code inattendu qui y arrive ne révèle toujours pas qui l’a demandé ni pourquoi.

L’email temporaire a de vraies limites, et celles-ci comptent surtout pour la sécurité. Tmailor est en réception seule, les messages disparaissent environ 24 heures après leur arrivée, et une adresse ne peut être rouverte qu’avec son access token. Un access token perdu ne peut pas être récupéré, c’est pourquoi le page de réutilisation du token d’accès est le seul moyen de retrouver une adresse que vous avez sauvegardée.

Les codes de certains services peuvent ne pas arriver du tout sur des adresses jetables, comme l’explique le guide sur ce qui fonctionne ou ne fonctionne pas avec les OTP de courrier temporaire. Gardez vos comptes bancaires, votre e-mail principal, votre opérateur téléphonique, votre travail et vos appareils sur une adresse permanente que vous contrôlez ; l’aperçu des limites et risques du courrier temporaire indique où une boîte de réception jetable n’a pas sa place.

Si le message que vous avez reçu était un « code de connexion temporaire ChatGPT », le guide des codes de connexion ChatGPT détaille les étapes propres à OpenAI. Lorsque vous serez prêt à isoler votre prochaine inscription sans enjeu, vous pouvez créer une adresse mail temporaire gratuite en quelques secondes.

La règle qui s’applique à tous les cas

Quelle que soit la cause du message, ne partagez pas et n’utilisez pas un code que vous n’avez pas demandé. Vérifiez le compte concerné via son application ou son site officiel. Sécurisez-le rapidement si des codes continuent d’arriver, si vous constatez une activité inconnue, si vous avez partagé le code ou si vous avez approuvé une demande que vous n’avez pas lancée. Si votre problème est l’inverse, un code que vous avez demandé qui n’arrive jamais, consultez pourquoi les codes OTP n’arrivent pas.