Phishing sur Signal et WhatsApp : les cyberattaques russes décryptées

Vous pensiez que chiffrement rimait avec inviolabilité — c’était oublier que la faille la plus béante dans tout système de sécurité porte un nom bien commun : la crédulité humaine. Depuis le début de l’année 2026, une vaste campagne de phishing orchestrée par des cybercriminels liés aux services de renseignement russes cible les utilisateurs de Signal et WhatsApp à l’échelle mondiale. Les agences de renseignement néerlandaises MIVD et AIVD ont été parmi les premières à sonner l’alarme, bientôt rejointes par le FBI, la CISA américaine et, en France, le Centre de coordination des crises cyber (C4). Des milliers de comptes compromis. Des responsables gouvernementaux, des militaires, des journalistes : une liste de cibles qui ressemble à un annuaire du renseignement occidental.

Ce qui rend cette opération particulièrement redoutable, c’est son élégance perverse : nulle vulnérabilité logicielle exploitée, nul code malveillant sophistiqué. Juste de la manipulation. Pour comprendre comment des hackers parviennent à contourner le chiffrement de bout en bout sans jamais y toucher, il faut suivre le fil de l’ingénierie sociale — cette discipline qui traite l’être humain comme le maillon faible du système, et qui a rarement tort.

---

Le chiffrement ne protège pas contre la ruse

La première chose à comprendre — et à intérioriser — c’est que les attaquants n’ont pas pénétré les infrastructures de Signal ou de WhatsApp. L’application Signal l’a d’ailleurs confirmé officiellement : son chiffrement et ses serveurs n’ont pas été compromis. Les attaques ont été « menées via des campagnes de phishing sophistiquées, conçues pour inciter les utilisateurs à partager des informations ».

Traduction : la serrure est parfaite. C’est la personne qui a donné la clé.

Les cybercriminels exploitent ce que les spécialistes appellent les procédures de vérification des comptes — les mécanismes légitimes que les applications utilisent pour authentifier leurs utilisateurs. En usurpant ces procédures, ils obtiennent les sésames sans jamais forcer la porte.

⚠️ Attention : Le chiffrement de bout en bout protège vos messages en transit. Il ne protège pas votre compte si vous communiquez vous-même vos codes d’accès à un tiers malveillant.

Les deux techniques d’attaque identifiées

Les services de renseignement néerlandais ont documenté deux méthodes distinctes, complémentaires dans leur efficacité.

Le faux chatbot d’assistance

La première repose sur l’usurpation d’identité d’un support technique officiel. Les victimes reçoivent un message provenant d’un faux chatbot baptisé « Signal Security Support », les alertant d’une activité suspecte sur leur compte. L’urgence est fabriquée, le stress artificiel — et la victime, sous pression, transmet ce qu’on lui demande : code PIN, code de vérification SMS, éléments d’authentification.

Une fois ces données récupérées, les attaquants peuvent enregistrer le compte de la victime sur un nouvel appareil et en prendre intégralement le contrôle. L’authentification à deux facteurs, censée être un rempart, est ainsi contournée sans effort technique.

Le QR Code piégé

La seconde technique exploite une fonctionnalité parfaitement légitime : la liaison d’appareils. Signal et WhatsApp permettent de connecter un même compte à plusieurs terminaux via un QR Code. Les attaquants envoient de faux QR Codes à leurs cibles. Une fois scannés, ces codes associent l’appareil du pirate au compte de la victime.

L’attaquant peut dès lors lire les messages en temps réel, sans déclencher d’alerte immédiate. L’intrusion est silencieuse, discrète, et peut durer des semaines ou des mois.

📌 À retenir : Les deux vecteurs d’attaque principaux sont la transmission de codes de vérification sous fausse identité et le scan de QR Codes frauduleux pour lier un appareil pirate au compte cible.

Les profils ciblés : qui sont les victimes ?

Cette opération n’est pas une campagne de masse à l’aveugle. Elle est chirurgicale. Kash Patel, directeur du FBI, a déclaré que « la campagne cible des individus présentant un grand intérêt en matière de renseignement, notamment des responsables actuels et anciens du gouvernement américain, des militaires, des personnalités politiques et des journalistes ».

Les profils identifiés par les différentes agences convergent vers les mêmes catégories :

• Responsables gouvernementaux actuels ou anciens — cibles prioritaires pour leur accès à des informations stratégiques
• Militaires et personnels des services de renseignement — dont des membres d’organisations comme l’OTAN
• Diplomates et fonctionnaires — plusieurs employés du gouvernement néerlandais figurent parmi les victimes confirmées
• Journalistes — pour les sources qu’ils protègent et les informations sensibles qu’ils manipulent
• Chercheurs et universitaires spécialisés en géopolitique ou en sécurité

Le cas de Arndt Freytag von Loringhoven, ancien vice-président du Service fédéral de renseignement allemand (BND) et ancien responsable du renseignement de l’OTAN, illustre parfaitement ce ciblage. Âgé de 69 ans, il a raconté au magazine Spiegel avoir été contacté par quelqu’un se faisant passer pour un membre du support de Signal, qui lui a demandé son code PIN.

Même les professionnels de la sécurité ne sont pas immunisés contre l’ingénierie sociale. C’est précisément ce qui rend cette campagne inquiétante.

Une attribution internationale convergente

L’attribution de ces attaques à la Russie ne repose pas sur une source unique, ce qui lui confère un poids inhabituel. Le C4 français estime « particulièrement crédible » que la Russie soit à l’origine de l’opération et pointe une « recrudescence de campagnes d’attaques ciblant les comptes de messagerie instantanée » appartenant à des personnalités politiques ou des responsables administratifs.

L’agence américaine CISA et le FBI ont publié une note conjointe précisant que ces campagnes « cherchent à contourner le chiffrement pour cibler les comptes d’utilisateurs ». Les services allemands et néerlandais ont emboîté le pas.

Cette convergence d’attributions entre des agences aux méthodologies et aux intérêts divergents constitue en elle-même un signal fort. On est loin de l’accusation réflexe.

💡 Astuce : Pour suivre l’évolution des cybermenaces d’État, le C4 publie régulièrement des alertes accessibles au grand public — un reflexe utile pour les professionnels exposés.

L’arsenal offensif déployé dans ce type d’opération s’inscrit dans un écosystème plus large : comme l’ont révélé les enquêtes sur les cyberarmes de L3Harris Coruna armant espions et hackers, la frontière entre acteurs étatiques et proxies cybercriminels est de plus en plus poreuse.

Pourquoi Signal attire particulièrement les services de renseignement

Signal jouit d’une réputation de forteresse numérique. Son chiffrement de bout en bout, son code open source audité, son modèle sans publicité ni collecte de données en font l’outil de prédilection des journalistes, des activistes et des responsables politiques qui tiennent à la confidentialité de leurs échanges. C’est précisément cette réputation qui en fait une cible stratégique.

Si un attaquant parvient à compromettre le compte Signal d’un responsable gouvernemental, il accède non seulement aux messages individuels, mais aussi à l’ensemble des conversations de groupe auxquelles participe la victime. Une seule compromission peut ouvrir l’accès à un réseau entier de communications sensibles — sans qu’aucun autre membre du groupe ne soit directement ciblé.

WhatsApp, de son côté, offre une surface d’attaque plus large en raison de son adoption massive. Avec ses deux milliards d’utilisateurs, il héberge une proportion considérable de communications professionnelles et gouvernementales, souvent sans que leurs auteurs mesurent pleinement les risques associés.

L’escalade des cyberattaques de haute intensité — comme l’exploit Windows CVE-2026-21533 vendu 220 000 $ sur le dark web — rappelle que la messagerie chiffrée n’est qu’un maillon d’une chaîne de sécurité globale.

Reconnaître et déjouer une tentative de phishing sur messagerie

Face à ces attaques, la protection repose moins sur la technologie que sur les réflexes. Voici les signaux d’alerte et les pratiques à adopter immédiatement.

Les signaux d’alerte à ne jamais ignorer

1. Un message inattendu vous demandant votre code PIN ou un code de vérification SMS — ni Signal, ni WhatsApp, ni aucun service légitime ne vous demandera jamais ces informations par message.
2. Un QR Code envoyé sans sollicitation préalable, prétendant sécuriser votre compte ou migrer vos données — refusez systématiquement.
3. Un sentiment d’urgence artificiel (« votre compte sera suspendu dans 24h », « activité suspecte détectée ») — c’est le déclencheur classique de l’ingénierie sociale.
4. Un contact se présentant comme le support technique de l’application via la messagerie elle-même — le support officiel ne fonctionne pas ainsi.
5. Une demande de confirmation d’identité via un lien externe — vérifiez l’URL avant tout clic.

Les mesures de protection à activer maintenant

1. Activez le verrouillage par code PIN sur Signal (Paramètres → Confidentialité → Verrouillage de l’écran) et notez-le dans un gestionnaire de mots de passe sécurisé.
2. Vérifiez régulièrement les appareils liés à votre compte (Paramètres → Appareils liés sur Signal et WhatsApp) — supprimez tout appareil que vous ne reconnaissez pas.
3. Activez le blocage de l’enregistrement sur un nouvel appareil via le code PIN de verrouillage d’inscription sur Signal — cela empêche un attaquant d’enregistrer votre numéro sur un autre terminal.
4. Ne scannez jamais un QR Code reçu par message sans vérification indépendante de l’expéditeur, par un autre canal de communication.
5. Informez votre entourage professionnel — si vous êtes compromis, vos contacts le deviennent potentiellement aussi.

Questions fréquentes

Le chiffrement de bout en bout de Signal a-t-il été piraté ?
Non. Signal l’a confirmé officiellement : son chiffrement et ses infrastructures n’ont pas été compromis. Les attaques exploitent les comportements des utilisateurs, pas les failles techniques de l’application.

Comment savoir si mon compte Signal ou WhatsApp a été compromis ?
Vérifiez immédiatement la liste des appareils liés à votre compte. La présence d’un appareil inconnu est le signe le plus direct d’une compromission. Sur Signal : Paramètres → Appareils liés. Sur WhatsApp : Paramètres → Appareils liés.

Ces attaques concernent-elles uniquement les personnalités politiques ?
Les cibles prioritaires sont les responsables gouvernementaux, militaires et journalistes. Mais des profils moins exposés peuvent être ciblés indirectement, notamment si leur compte appartient à un groupe de discussion incluant des personnalités d’intérêt.

Que faire si j’ai transmis mon code de vérification à un expéditeur suspect ?
Agissez immédiatement : réenregistrez votre compte Signal sur votre appareil (cela déconnecte tous les autres appareils), changez votre code PIN, activez le verrouillage d’inscription, et prévenez vos contacts les plus proches qu’ils peuvent avoir reçu des messages frauduleux en votre nom.

WhatsApp est-il plus vulnérable que Signal face à ces attaques ?
Les deux applications utilisent le même protocole de chiffrement. La différence tient à la surface d’attaque : WhatsApp, avec son adoption massive, offre statistiquement plus de cibles. Signal bénéficie d’une communauté plus consciente des risques, mais sa réputation de sécurité en fait une cible symboliquement plus valorisée pour les services de renseignement.

---

Des milliers de comptes compromis, des agences de renseignement de quatre pays mobilisées, et pour seule arme offensive : un message bien rédigé et un QR Code. La sophistication de cette campagne tient précisément à son absence de sophistication technique — elle n’a besoin d’aucun exploit à 220 000 dollars, juste d’un utilisateur pressé. Vérifiez vos appareils liés ce soir.

<!--PROTECTED_SCRIPT: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:SCRIPT_END-->