Code Google non demandé : que faire ?

Un code de validation Google reçu sans l’avoir demandé ne doit jamais être partagé ni saisi sur une page ouverte depuis le message. Google conseille d’ignorer puis de supprimer le SMS. Ouvrez ensuite vous-même myaccount.google.com, examinez les événements de sécurité récents et les appareils connectés. Si rien d’inconnu n’apparaît, une erreur de numéro ou une tentative bloquée reste possible ; si vous voyez une activité non reconnue, sécurisez immédiatement le compte et l’adresse de récupération.

Sommaire

Le code seul ne prouve pas que quelqu’un connaît votre mot de passe. Google peut envoyer un SMS lors d’une récupération, d’une connexion en deux étapes, de la création d’un compte ou d’une vérification sur un appareil inhabituel. Une autre personne peut aussi avoir saisi votre numéro par erreur. Le bon réflexe consiste à ne rien valider, puis à chercher un second signal dans les réglages officiels.

L’essentiel en 30 secondes

Ne donnez le code à personne, ne répondez pas au SMS et n’ouvrez aucun lien reçu ensuite. Accédez directement au contrôle de sécurité Google, vérifiez les connexions, appareils, changements de mot de passe et moyens de récupération. Si tout est connu, supprimez le code. Si un événement ne vous appartient pas, utilisez « Sécuriser votre compte », changez le mot de passe depuis un appareil fiable, fermez les sessions inconnues et activez une méthode résistante au phishing.

Pourquoi Google envoie-t-il un code de validation ?

La documentation Google cite plusieurs situations légitimes. Un code peut aider à récupérer un compte, servir de deuxième étape lors d’une connexion, vérifier qu’un numéro appartient bien à la personne qui crée un compte ou confirmer une connexion réalisée depuis un appareil ou un lieu inhabituel.

Si vous n’avez effectué aucune de ces actions, deux scénarios restent courants. Une personne a pu saisir votre numéro par erreur. Ou quelqu’un essaie réellement de se connecter, de récupérer un compte ou d’utiliser votre numéro pour une vérification. Dans les deux cas, le code doit rester secret : sa possession peut être l’étape qui manque à l’autre personne.

Google indique expressément qu’un SMS non demandé peut être ignoré et supprimé et qu’aucun code ne doit être partagé. Cette réponse simple ne dispense pas d’un contrôle de sécurité lorsque le message est accompagné d’une alerte, d’un changement inconnu ou de plusieurs tentatives.

Que signifie votre situation précise ?

Situation	Interprétation	Action prioritaire
Un seul SMS, aucun autre signal	Erreur de saisie ou tentative non confirmée possible	Ne pas partager, vérifier puis supprimer
Plusieurs codes rapprochés	Tentatives répétées ou numéro réutilisé	Contrôle de sécurité et des appareils
Une alerte de connexion accompagne le code	Google a détecté une action inhabituelle	Ouvrir directement le compte Google
Un appel réclame le code	Ingénierie sociale probable	Raccrocher et ne rien communiquer
Un appareil inconnu apparaît	Accès non autorisé possible	Sécuriser le compte immédiatement
Vous aviez demandé plusieurs codes	Seul le plus récent peut fonctionner	Utiliser uniquement le dernier dans le parcours officiel

Que faire immédiatement après le SMS ?

N’interagissez pas avec le message. Même si le SMS ne contient qu’un code, une personne peut vous appeler ensuite en se présentant comme Google, votre banque ou un technicien. Le code est destiné à l’écran officiel qui l’a demandé, jamais à un interlocuteur.

Vérifier le compte sans utiliser le message reçu

Ne partagez et ne saisissez pas le code
N’y répondez pas, ne le copiez pas dans un chat et ne le communiquez pas à une personne qui appelle. Si vous n’avez initié aucune action, le code ne vous sert pas.

Contrôle : aucun écran officiel que vous avez ouvert vous-même ne doit l’attendre.
Ouvrez directement le compte Google
Saisissez myaccount.google.com dans le navigateur ou passez par les paramètres Google de votre appareil. Évitez les liens d’un SMS ou d’un e-mail qui suit l’incident.

Contrôle : vérifiez le domaine et le compte actuellement connecté.
Examinez les événements de sécurité récents
Dans Sécurité, ouvrez les événements récents et comparez lieux, heures, appareils, changements de mot de passe et moyens de récupération.

Contrôle : marquez comme inconnue toute action que vous ne pouvez pas expliquer.
Contrôlez les appareils et sessions
Parcourez les appareils ayant accès au compte. Déconnectez ceux que vous ne reconnaissez pas et vérifiez que votre téléphone et votre adresse de récupération n’ont pas changé.

Contrôle : ne confondez pas un ancien téléphone connu avec un attaquant.
Sécurisez le compte si un signal est inconnu
Changez le mot de passe depuis un appareil fiable, choisissez une valeur unique et vérifiez également la sécurité de l’adresse e-mail de récupération. Activez la validation en deux étapes ou une passkey.

Contrôle : fermez les sessions inconnues après la modification.
Supprimez le code et surveillez les alertes
Si aucun événement suspect n’apparaît, supprimez le SMS conformément au conseil de Google. Conservez seulement une capture masquée si des tentatives répétées doivent être documentées.

Contrôle : un nouveau code ou une nouvelle alerte justifie une seconde vérification.

Google, une banque ou un technicien ne doit pas vous demander de lire un code de validation reçu par SMS. Un fraudeur peut connaître votre nom et votre numéro, puis inventer une urgence pour obtenir la dernière preuve nécessaire à la connexion.

Un code non demandé signifie-t-il que le mot de passe est volé ?

Pas nécessairement. Le code peut être déclenché avant ou pendant différents parcours, et une simple erreur de numéro suffit parfois. Sans événement de sécurité, nouvel appareil, alerte de connexion ou changement de réglage, il n’est pas possible de conclure que le mot de passe a été découvert.

En revanche, un code suivi d’une alerte « connexion suspecte empêchée » mérite une vérification immédiate. Google explique qu’une telle alerte correspond à une tentative bloquée parce que l’entreprise ne pouvait pas confirmer qu’elle venait bien de vous, par exemple depuis un appareil ou un lieu inhabituel.

Si le mot de passe est réutilisé ailleurs ou figure dans une fuite, changez-le même si l’accès a été bloqué. Notre guide pour vérifier si une adresse e-mail apparaît dans une fuite aide à contrôler ce risque sans saisir le mot de passe sur un site tiers.

Comment vérifier les événements et appareils Google ?

Dans votre compte Google, ouvrez la rubrique Sécurité puis les événements récents. Google recommande de chercher les lieux et appareils inconnus et d’utiliser l’option de sécurisation du compte lorsqu’une activité ne vous appartient pas. Examinez aussi la liste des appareils connectés et les applications tierces autorisées.

Un emplacement approximatif n’est pas toujours exact : un opérateur mobile ou un VPN peut faire apparaître une ville voisine. Comparez l’heure, le type d’appareil et l’activité. Un ancien téléphone que vous avez réinitialisé doit être retiré, mais il n’implique pas automatiquement une intrusion.

Vérifiez enfin le téléphone et l’e-mail de récupération. Un changement non demandé est plus préoccupant qu’un SMS isolé, car il peut modifier la manière dont le compte est repris en cas de perte du mot de passe.

Faut-il changer le mot de passe à chaque code ?

Google ne demande pas de changer automatiquement le mot de passe après chaque SMS isolé ; sa page conseille d’ignorer et de supprimer un code non sollicité. Le changement devient prioritaire si un événement de sécurité est inconnu, si le mot de passe a été réutilisé, si une fuite est confirmée ou si des réglages du compte ont changé.

Choisissez alors un mot de passe long et unique, généré par un gestionnaire fiable. Ne remplacez pas seulement un chiffre à la fin de l’ancienne valeur. Vérifiez aussi la boîte e-mail qui reçoit les alertes et les applications disposant d’un accès au compte.

Quelle méthode de validation choisir ensuite ?

Les SMS ajoutent une protection, mais restent exposés à l’ingénierie sociale et à certaines attaques visant la carte SIM. Google propose également les invites sur appareil, les applications d’authentification, les clés de sécurité et les passkeys selon le compte et l’appareil.

Une passkey lie la connexion à un appareil et résiste mieux aux faux sites, car elle ne fournit pas un code à recopier. Notre dossier « Passkeys : c’est quoi ? » explique leur fonctionnement et leurs limites. Conservez toujours des options de récupération sûres afin de ne pas vous enfermer hors du compte.

Que faire si quelqu’un vous appelle après le code ?

Raccrochez. Ne confirmez ni votre adresse Gmail, ni le nombre de chiffres, ni l’heure de réception. Un fraudeur peut se présenter comme le support et prétendre que le code sert à annuler une opération : en réalité, il essaie souvent de terminer une connexion ou une récupération qu’il a initiée.

Ouvrez vous-même les réglages du compte, puis contactez l’organisme concerné via son site officiel si une autre marque est citée. Bloquez le numéro et signalez le message auprès de votre opérateur lorsque la procédure est disponible. Ne publiez pas la capture non masquée sur un réseau social.

Et si le code arrive par e-mail plutôt que par SMS ?

Google indique qu’un e-mail de vérification reçu par erreur peut venir d’une personne ayant saisi votre adresse lors de la récupération de son propre compte. Si vous n’avez rien demandé, ne validez pas le lien. Ignorez le message et vérifiez directement les événements de sécurité.

Attention aux copies de courriels Google. Une fausse alerte peut demander un mot de passe ou renvoyer vers un domaine ressemblant. Google recommande d’éviter les messages qui réclament des informations personnelles et d’ouvrir le compte depuis l’adresse officielle pour contrôler l’activité.

Notre méthode de vérification

Nous avons distingué les motifs légitimes d’envoi d’un SMS Google, le cas explicitement documenté d’un code non demandé et la procédure officielle après une alerte de connexion suspecte. Le niveau de réponse augmente seulement lorsqu’un second signal apparaît : événement inconnu, appareil, changement de récupération ou mot de passe compromis.

Sources officielles

Questions fréquentes sur un code Google non demandé

Pourquoi ai-je reçu un code de validation Google sans rien demander ?

Une autre personne peut avoir saisi votre numéro par erreur ou tenté une connexion, une récupération ou la création d’un compte. Le code seul ne permet pas de trancher. Ne le partagez pas et vérifiez les événements de sécurité officiels.

Dois-je changer mon mot de passe après un code Google inattendu ?

Pas automatiquement après un SMS isolé sans autre signal. Changez-le sans délai si une activité, un appareil ou un changement de récupération est inconnu, si le mot de passe est réutilisé ou s’il apparaît dans une fuite.

Que faire du SMS contenant le code de validation ?

Google conseille d’ignorer et de supprimer un code que vous n’avez pas demandé. Ne répondez pas, n’ouvrez aucun lien reçu ensuite et ne communiquez le code à personne, même si l’interlocuteur prétend travailler pour le support.

Un code non demandé prouve-t-il que mon compte Google est piraté ?

Non. Il peut venir d’une erreur de numéro ou d’une tentative qui n’a pas abouti. Recherchez un second indice dans les événements récents, les appareils connectés, les alertes et les moyens de récupération.

Quelle protection est plus sûre qu’un code SMS ?

Une passkey ou une clé de sécurité résiste mieux au phishing, car elle ne fournit pas un code à dicter. Les invites Google et une application d’authentification sont aussi disponibles selon le compte. Conservez des moyens de récupération protégés.

Code de validation Google reçu sans demande : que faire immédiatement ?