Des pirates informatiques russes piratent les comptes Signal et WhatsApp, sans casser le cryptage

Des millions de personnes dans le monde entier font confiance à Signal et WhatsApp, notamment en raison de leur chiffrement de bout en bout. Il s'avère que cette confiance est exactement ce que les attaquants exploitent aujourd'hui.

Une campagne liée à des acteurs de la menace parrainés par l'État russe a activement compromis les comptes de messagerie appartenant à des cibles de grande valeur en Europe et au-delà. Les attaques ne sont pas techniquement sophistiquées au sens traditionnel du terme : aucun cryptage n'a été cassé, aucun zero-day n'a été exploité. Au lieu de cela, les attaquants manipulent directement les utilisateurs, ce qui nous rappelle que le point le plus faible de tout système de sécurité est rarement le logiciel.

Selon un avertissement conjoint à partir du Service général de renseignement et de sécurité néerlandais (AIVD) et le Service de renseignement et de sécurité militaire néerlandais (MIVD), les attaquants ont peut-être déjà eu accès à des communications confidentielles.

« Les pirates informatiques russes ont probablement eu accès à des informations sensibles », ont déclaré les agences.

Cet article explique exactement comment ces attaques fonctionnent, qui est à risque et ce que les entreprises qui utilisent des applications de messagerie destinées aux consommateurs doivent faire dès maintenant.

Ce que les agences de renseignement néerlandaises ont dit à propos des attaques Signal et WhatsApp

Dans un avis conjoint, l'AIVD et le MIVD néerlandais ont averti que des pirates informatiques liés à la Russie avaient probablement déjà obtenu l'accès à des communications confidentielles. Les agences ont confirmé que des employés du gouvernement néerlandais et des journalistes figuraient parmi les personnes visées, une révélation significative qui souligne à la fois l'ampleur et l'objectif de la campagne.

L'avertissement est remarquable pour ce qu'il ne dit pas : les agences n'ont pas affirmé que les plateformes elles-mêmes avaient été violées. Les vulnérabilités exploitées ne se trouvent pas dans le code de Signal ou de WhatsApp. Ils font partie du comportement humain.

Lorsqu'un service de renseignement déclare que des informations sensibles ont « probablement » été consultées, ce langage reflète un niveau de confiance élevé. Les organisations qui considèrent cela comme un problème pour d'autres personnes interprètent mal la menace.

Pourquoi les applications de messagerie cryptées sont désormais les principales cibles de l'espionnage

Il y a dix ans, des conversations professionnelles sensibles se déroulaient par e-mail ou en personne. Aujourd'hui, ils se produisent sur les applications de messagerie. Signal et WhatsApp ont remplacé efficacement le courrier électronique pour une communication rapide et informelle, mais souvent extrêmement délicate, entre professionnels.

Cette évolution n'est pas passée inaperçue auprès des acteurs de la menace. Un seul compte de messagerie compromis peut exposer :

• Conversations privées et discussions décisionnelles en cours

• Le réseau de contacts complet d'une personne de grande valeur

• Adhésions à des discussions de groupe : révélateurs de relations organisationnelles

• Documents, images, notes vocales et données de localisation partagés

• Les métadonnées indiquant qui communique avec qui et à quelle fréquence

Pour les opérations de renseignement, c'est extrêmement précieux. L'accès au compte Signal d'un journaliste peut révéler des sources confidentielles. L'accès au WhatsApp d'un diplomate pourrait révéler les positions de négociation.

C'est pourquoi la campagne cible spécifiquement les responsables gouvernementaux, les journalistes et les chercheurs en sécurité, et non des consommateurs aléatoires.

Comment fonctionnent les attaques : une analyse étape par étape

Comprendre les mécanismes d'attaque est essentiel pour toute personne responsable de la sécurité de l'organisation. Il ne s'agit pas d'attaques opportunistes fortuites, mais d'opérations soigneusement ciblées.

Étape 1 : Sélection des cibles et recherche

Les attaquants identifient les personnes qui détiennent ou discutent d'informations ayant une valeur de renseignement. Les profils de réseaux sociaux, les listes des conférenciers, les bases de données publiques et les enregistrements antérieurs de violations de données sont tous utilisés pour créer des dossiers détaillés. Cette phase de recherche rend les tentatives de phishing ultérieures beaucoup plus convaincantes.

Étape 2 : Usurpation d'identité et renforcement de la confiance

L'attaquant contacte la cible en se faisant passer pour une entité de confiance. Les personnages courants incluent le personnel de support des plateformes de messagerie, les journalistes, les collègues professionnels ou les chercheurs en cybersécurité. Le message fait généralement référence à quelque chose de réel (une actualité récente, un contact partagé ou un problème de sécurité plausible) afin d'établir rapidement sa crédibilité.

Étape 3 : Le leurre du phishing

Deux techniques principales ont été observées au cours de cette campagne :

1. Vol de code de vérification : La victime est redirigée vers une fausse page de connexion ou invitée à partager le code de vérification à usage unique envoyé sur son téléphone. Le partage de ce code permet à l'attaquant d'enregistrer le compte sur un nouvel appareil.

2. Liaison de codes QR malveillants : Signal et WhatsApp permettent aux utilisateurs de relier des appareils supplémentaires via un scan de code QR. Les attaquants envoient aux victimes un code QR déguisé en étape de vérification de sécurité. Une fois scanné, l'appareil de l'attaquant est ajouté silencieusement en tant qu'appareil associé sur le compte de la victime.

Étape 4 : Accès permanent et silencieux

C'est ce qui rend l'attaque particulièrement dangereuse. Le compte de la victime continue de fonctionner normalement sur son propre appareil. Ils reçoivent et envoient des messages comme d'habitude. Pendant ce temps, l'appareil connecté de l'attaquant reflète tous les messages entrants en temps réel. À moins que la victime ne vérifie spécifiquement sa liste d'appareils associés, la compromission peut passer inaperçue pendant des semaines, voire des mois.

Le cryptage n'a jamais été rompu. L'attaquant est simplement devenu un participant autorisé au compte de la victime, ce qui revient au même que le casser.

Le problème de la compromission des terminaux : pourquoi le chiffrement ne suffit pas

Le chiffrement de bout en bout protège la transmission des messages entre les appareils. Il s'agit d'une caractéristique de sécurité authentique et importante. Il présente toutefois une limite fondamentale : le chiffrement ne peut pas protéger un message une fois qu'il a été déchiffré sur un point de terminaison légitime.

Si un attaquant accède à un appareil ou à un compte déjà autorisé à déchiffrer des messages, il peut tout lire. C'est ce que l'on appelle la compromission des terminaux et il s'agit de l'un des problèmes non résolus les plus importants de la cryptographie appliquée aux cas d'utilisation organisationnels.

Pour les organisations, cela a des implications directes. L'utilisation de Signal ou de WhatsApp pour les communications internes sensibles signifie que la sécurité dépend entièrement des facteurs suivants :

• La capacité de chaque utilisateur à reconnaître les tentatives de phishing

• Chaque appareil associé à chaque compte est légitime et non compromis

• Chaque utilisateur surveille de manière proactive la sécurité de son propre compte

Il ne s'agit pas d'une posture de sécurité raisonnable pour une entreprise ou une organisation gouvernementale. Applications de messagerie destinées aux consommateurs n'ont pas été conçus en tenant compte des contrôles de sécurité organisationnels. Ils ne disposent pas d'une gestion centralisée des appareils, de la détection des anomalies, de la révocation des accès ou de la journalisation de conformité, autant d'exigences standard dans les environnements de sécurité des entreprises.

Signes d'alerte : comment détecter un compte de messagerie compromis

La compromission de comptes via des appareils connectés ou le détournement de session est difficile à détecter car l'application continue de s'afficher et de fonctionner normalement. Cependant, plusieurs signes peuvent indiquer un accès non autorisé :

• Appareils inconnus répertoriés sous Paramètres > Appareils liés (Signal) ou Appareils liés (WhatsApp)

• Les SMS contenant le code de vérification arrivent sans que vous n'initiiez de connexion

• Messages apparaissant comme « lus » avant que vous ne les ayez ouverts

• Contacts signalant avoir reçu des messages ou des liens étranges depuis votre compte

• Déconnexions inattendues depuis l'application sur votre appareil principal

• Notifications relatives à une activité que vous n'avez pas effectuée

Si l'un de ces signes apparaît, la réponse immédiate doit être la suivante : supprimez tous les appareils associés, révoquez toutes les sessions actives, activez le verrouillage de l'enregistrement ou un code PIN, et informez les contacts concernés que le compte a peut-être été compromis.

Ce que les individus devraient faire dès maintenant

Que vous pensiez avoir été ciblé ou non, les mesures suivantes réduisent considérablement l'exposition :

1. Auditez immédiatement vos appareils connectés

Ouvrez les paramètres de Signal ou WhatsApp et passez en revue tous les appareils actuellement associés à votre compte. Supprimez tout ce que vous ne reconnaissez pas ou que vous n'utilisez plus. Cela prend moins de deux minutes et élimine tout accès non autorisé existant via ce vecteur.

2. Activer le verrouillage des inscriptions

Le verrouillage d'enregistrement de Signal nécessite un code PIN pour réenregistrer votre numéro sur un nouvel appareil. WhatsApp propose un code PIN de vérification en deux étapes. Les deux constituent une barrière importante contre le piratage non autorisé de comptes. Activez-les dès maintenant si ce n'est pas le cas.

3. Ne partagez jamais les codes de vérification

Aucune plateforme, service ou équipe d'assistance légitime ne vous demandera jamais de partager un code de vérification à usage unique par message. Si quelqu'un, même s'il se fait passer pour un collègue ou un représentant de l'assistance, demande votre code de vérification, il s'agit d'une attaque. Mettez fin à la conversation.

4. Vérifier les demandes inhabituelles hors bande

Si un contact envoie une demande inattendue, en particulier si elle implique la sécurité, la vérification ou le fait de cliquer sur un lien, vérifiez-la via un canal distinct (un appel téléphonique, une autre application ou en personne). Les attaquants exploitent la confiance implicite liée à la réception d'un message d'un contact connu.

5. Soyez sceptique à l'égard des codes QR dans les contextes de sécurité

Un code QR qui vous est envoyé dans le cadre d'un « contrôle de sécurité » ou d'un « processus de vérification » pour une application de messagerie doit être traité avec suspicion immédiate. Les plateformes légitimes n'envoient pas de codes QR de manière proactive pour que vous puissiez les scanner via des messages externes.

Pourquoi les entreprises ne peuvent pas compter sur les applications de messagerie destinées aux consommateurs pour les communications sensibles

Le défi fondamental n'est pas que Signal et WhatsApp sont mal conçus, mais ce n'est pas le cas. Le défi réside dans le fait qu'ils ont été conçus pour des individus et non pour des organisations. Le modèle de sécurité suppose qu'un seul utilisateur gère son propre compte. Il n'inclut pas les contrôles requis par les organisations.

Lorsqu'une entreprise ou une agence gouvernementale utilise des applications de messagerie destinées aux consommateurs pour des communications internes sensibles, elle hérite de l'ensemble du modèle de sécurité des comptes individuels de la plateforme, ainsi que de toutes ses limites. Il n'est pas possible de :

• Surveillez ou contrôlez de manière centralisée les appareils connectés aux comptes des employés

• Révoquez l'accès à distance lorsqu'un employé part ou qu'un appareil est compromis

• Détectez les modèles d'accès anormaux susceptibles d'indiquer une compromission

• Appliquez les politiques d'authentification dans l'ensemble de l'organisation

• Tenir à jour les journaux de communication à des fins de conformité ou de réponse aux incidents

• Empêchez l'exfiltration de données via des liaisons entre appareils personnels

Un seul employé victime d'une tentative de phishing par code QR peut donner à un attaquant un accès permanent aux conversations internes de cet employé et potentiellement, grâce à ces conversations, à un aperçu des autres employés et à des décisions sensibles. L'organisation n'a aucune visibilité à ce sujet, aucun moyen de le détecter et aucun moyen automatisé de l'arrêter.

La question qui se pose aux entreprises n'est pas de savoir si les applications de messagerie destinées aux consommateurs disposent d'un bon cryptage. Ils le font. La question est de savoir si le chiffrement à lui seul est suffisant pour assurer la sécurité de l'organisation. Ça ne l'est pas.

Comment RealTyme répond à ce que les applications de messagerie destinées aux consommateurs ne peuvent pas

RealTyme est un plateforme de communication sécurisée spécialement conçu pour les entreprises qui ont besoin de plus qu'une simple sécurité de messagerie destinée aux particuliers. Les principales différences sont structurelles et non esthétiques.

Gestion des appareils contrôlés et des identités

Contrairement aux applications grand public qui permettent de relier n'importe quel appareil en scannant un code QR, RealTyme permet de contrôler de manière centralisée quels appareils peuvent accéder aux communications de l'entreprise. Les administrateurs peuvent vérifier, approuver et révoquer l'accès aux appareils, éliminant ainsi le vecteur d'attaque exploité dans le cadre de cette campagne.

Architecture d'authentification forte

RealTyme applique des politiques d'authentification à l'échelle de l'entreprise, garantissant que l'accès aux communications sensibles nécessite une identité vérifiée, et pas seulement la possession d'un numéro de téléphone. Cela concerne directement la technique de vol de code de vérification utilisée par les attaquants.

Surveillance et révocation des accès en temps réel

Si un compte présente des signes de compromission, ou si un employé quitte son poste, l'accès peut être révoqué immédiatement et ce, à l'échelle de l'organisation. Il n'existe pas de fonctionnalité équivalente dans les applications de messagerie destinées aux consommateurs.

Conçu pour la conformité et la réponse aux incidents

Les organisations opérant dans des environnements réglementés ou soumises à des obligations de sécurité ont besoin de pistes d'audit et d'une gouvernance de leurs communications. RealTyme fournit cela ; Signal et WhatsApp ne le font pas.

Les attaques décrites dans cet article sont sophistiquées dans leur ingénierie sociale, mais pas dans leur exécution technique. Ils réussissent parce que les applications destinées aux consommateurs fournissent aux individus, mais pas aux organisations, les outils nécessaires pour les prévenir. RealTyme part du principe que la sécurité organisationnelle nécessite des contrôles organisationnels.

À retenir : le chiffrement est nécessaire, mais pas suffisant

La campagne liée à la Russie ciblant les comptes Signal et WhatsApp n'est pas un échec de cryptage. C'est la preuve que le chiffrement, aussi puissant soit-il, ne peut pas compenser l'absence de contrôles de sécurité organisationnels.

Les organisations et les personnes les plus exposées sont celles qui ont supposé que l'utilisation d'une application cryptée équivalait à une politique de communication sécurisée. Ça ne l'est pas. Une communication sécurisée nécessite la bonne technologie — et les bons contrôles liés à cette technologie.

Pour les journalistes, les employés du gouvernement et les chercheurs en sécurité : auditez vos appareils connectés, activez les verrous d'enregistrement et traitez toute demande de vérification avec scepticisme.

Pour les organisations : évaluer si une application de messagerie destinée aux consommateurs est le bon outil pour les conversations importantes.

Le cryptage protège le câble. Les plateformes de communication sécurisées protègent la conversation, y compris les personnes qui y participent.

Protégez les communications sensibles de votre organisation

Si votre équipe utilise Signal, WhatsApp ou d'autres applications de messagerie destinées aux consommateurs pour discuter de sujets sensibles, les vulnérabilités décrites dans cet article s'appliquent à vous. RealTyme aide les entreprises à passer de la commodité destinée aux particuliers à une sécurité de niveau entreprise, sans sacrifier la rapidité et la facilité de la messagerie moderne.

Demandez une démonstration et découvrez comment RealTyme peut sécuriser les communications de votre organisation

ou téléchargez notre guide : Messagerie sécurisée pour les agences gouvernementales.

Questions fréquemment posées

Signal a-t-il réellement été piraté lors de cette attaque ?

Non Le cryptage et l'infrastructure de Signal n'ont pas été violés. Les attaquants n'ont pas déchiffré le code de Signal : ils ont manipulé des utilisateurs individuels pour leur permettre d'accéder à leurs comptes par hameçonnage et par de faux codes QR. La plateforme elle-même reste sécurisée sur le plan cryptographique ; la vulnérabilité provient du comportement humain et non du logiciel.

Comment puis-je vérifier si mon compte Signal ou WhatsApp a été piraté ?

Ouvrez les paramètres de votre application et accédez à Appareils liés (Signal) ou Appareils liés (WhatsApp). Tout appareil que vous ne reconnaissez pas doit être retiré immédiatement. Vérifiez également si les messages apparaissent comme lus avant que vous ne les ayez ouverts, ou si des contacts signalent des messages inhabituels provenant de votre compte.

Les pirates peuvent-ils lire les messages Signal s'ils piratent votre compte ?

Oui Si un attaquant parvient à associer son appareil à votre compte Signal, il peut lire les messages une fois qu'ils ont été déchiffrés sur le compte. Le cryptage protégeant les messages pendant la transmission reste intact, mais l'attaquant devient un participant autorisé à la conversation.

Quelle est la différence entre le chiffrement de bout en bout et la sécurité des terminaux ?

Le chiffrement de bout en bout protège les messages lorsqu'ils circulent entre les appareils : personne qui intercepte la transmission ne peut les lire. La sécurité des terminaux protège l'appareil ou le compte sur lequel les messages sont déchiffrés et lus. Cette attaque contourne totalement le chiffrement en compromettant le terminal : une fois qu'un attaquant est lié à votre compte, il lit les messages après déchiffrement, comme vous le faites.

Les agences gouvernementales et les journalistes sont-ils autorisés à utiliser Signal ou WhatsApp pour les communications officielles ?

Les politiques varient selon les pays et les organisations, mais de nombreux organismes gouvernementaux interdisent ou découragent explicitement l'utilisation d'applications de messagerie destinées aux consommateurs pour les communications officielles ou sensibles, précisément en raison de l'absence de supervision centralisée, de pistes d'audit et de contrôles d'accès. L'avis de l'AIVD/MIVD destiné aux employés du gouvernement néerlandais suggère que certains fonctionnaires utilisaient ces plateformes malgré les risques.

Quelle est la différence entre Signal et une plateforme de messagerie sécurisée d'entreprise telle que RealTyme ?

Signal est conçu pour les particuliers et permet à chaque utilisateur de contrôler la sécurité de son propre compte. Les plateformes d'entreprise telles que RealTyme ajoutent une couche organisationnelle : les administrateurs peuvent gérer de manière centralisée les appareils auxquels ils ont accès, appliquer des politiques d'authentification, révoquer l'accès instantanément et tenir à jour des journaux d'audit. Lorsqu'un employé est compromis ou quitte son poste, une organisation utilisant RealTyme peut agir immédiatement. Une organisation utilisant Signal ne le peut pas.

RealTyme peut-il remplacer Signal pour un usage organisationnel ?

Oui RealTyme est conçu pour remplacer les applications de messagerie destinées aux particuliers dans les environnements professionnels et gouvernementaux. Il offre la rapidité et la commodité d'une messagerie moderne avec les contrôles de sécurité dont les entreprises ont réellement besoin. Contrairement à Signal, il repose sur l'hypothèse que la sécurité doit être gérée au niveau de l'organisation, et non pas laissée aux utilisateurs individuels.