Le CERT-FR a publié le 20 mars 2026 une alerte sur une recrudescence de campagnes visant les comptes de messagerie instantanée. La version mise à jour le 18 juin décrit des attaques observées contre des utilisateurs de Signal, notamment des personnalités politiques, des cadres de l’administration, des journalistes et des industriels. La note d’alerte CERTFR-2026-ALE-003 précise qu’aucune vulnérabilité de Signal n’est exploitée : les attaquants détournent des fonctions légitimes de l’application et la confiance de la victime.
Le scénario le plus simple à expliquer est celui du QR code. Un message invite la personne à rejoindre un groupe ou à effectuer une action de support. Le QR code associe en réalité le compte à un appareil contrôlé par l’attaquant. La victime peut conserver l’accès à son compte, ce qui rend la compromission moins visible. L’attaquant peut alors lire des conversations, accéder à des groupes et envoyer des messages en usurpant l’identité du titulaire.
Une autre variante utilise un faux support, par exemple un compte nommé « Signal Support » ou « Signal Security ChatBot ». La conversation cherche à obtenir un code PIN ou un code de vérification. Le CERT-FR indique que cette méthode peut permettre de modifier le numéro de téléphone associé au compte et de rendre la prise de contrôle difficile à inverser.
Le risque est professionnel autant que personnel. Une messagerie peut contenir des échanges de crise, des informations sur des clients, des détails de projets, des contacts sensibles et des discussions de direction. La compromission d’un compte permet aussi de rendre un message frauduleux crédible auprès de personnes qui reconnaissent le nom de l’expéditeur. Les équipes qui travaillent sur l’exposition des identités et des comptes sensibles doivent intégrer ces canaux dans leur analyse.
La note du CERT-FR fait une distinction importante : les campagnes visent l’application de messagerie, pas le téléphone lui-même. Le mobile peut fonctionner normalement. Aucun logiciel malveillant n’a besoin d’être installé pour que le compte soit accessible depuis un autre appareil. Cette distinction change la réponse. Réinitialiser le téléphone ou rechercher un virus ne supprime pas nécessairement l’appareil associé par l’attaquant.
Les utilisateurs doivent donc apprendre à vérifier la liste des appareils associés dans l’application. Un appareil inconnu est un signal à traiter immédiatement. La vérification doit être effectuée avant de reprendre une conversation sensible. Lorsque l’accès est encore disponible, retirez l’appareil inconnu, prévenez le support sécurité et contrôlez les groupes où le compte est présent.
La conservation de l’accès par la victime est un élément trompeur. Une personne peut lire ses messages et penser que le compte est intact alors qu’un second appareil reçoit les mêmes échanges. Elle peut aussi envoyer un message sans voir que l’attaquant utilise en parallèle le compte. La présence d’une session légitime ne prouve donc pas qu’il n’existe pas une session hostile.
La même logique s’applique à d’autres applications commerciales qui proposent des appareils associés ou une fonction de transfert de compte. Le détail technique change selon le service, mais le principe reste le même : une action présentée comme pratique peut ajouter un accès durable. Une politique interne doit expliquer ce mécanisme avec des exemples concrets, sans demander aux utilisateurs de devenir spécialistes du protocole.
Les équipes sécurité peuvent relier cette menace à leur surveillance des identités et des conversations exposées. Cela ne permet pas de voir le contenu chiffré d’une conversation Signal, mais cela peut aider à repérer l’usurpation de comptes, la diffusion de faux messages, des noms d’utilisateur frauduleux ou des campagnes qui ciblent une organisation.
Un QR code bénéficie d’un avantage psychologique : il ressemble à une étape technique plutôt qu’à une demande de secret. L’utilisateur ne tape pas un mot de passe et ne voit pas toujours l’action exacte qui va être réalisée. Dans un groupe de travail, un message qui évoque un changement de canal, une invitation urgente ou une vérification de sécurité peut sembler normal.
Les attaquants peuvent aussi utiliser une identité déjà connue. Le message peut venir d’un compte compromis dans le carnet d’adresses, d’un collègue dont le nom est imité ou d’un faux support qui emploie un logo et un langage crédible. Le nom affiché ne suffit pas à authentifier la personne. Le CERT-FR rappelle qu’un nom d’utilisateur peut être choisi arbitrairement.
La vérification doit passer par un autre canal. Si un collègue demande de scanner un QR code, appelez-le sur un numéro connu ou utilisez une adresse interne. Si un support prétend demander une action, ouvrez le portail officiel depuis un favori et ne répondez pas au message. Cette règle est facile à expliquer et retire à l’attaquant le contrôle du canal de confirmation.
Les dirigeants et les équipes de crise doivent être formés différemment des utilisateurs occasionnels. Leur messagerie est parfois utilisée pour coordonner des décisions urgentes et recevoir des documents sensibles. Ils doivent savoir qu’une action d’association d’appareil peut donner un accès à un tiers, même lorsque le téléphone et l’application restent fonctionnels.
La formation doit éviter le ton culpabilisant. Un QR code n’est pas dangereux par nature. Le risque vient de l’action demandée, du contexte et de l’absence de vérification indépendante. Expliquez ce que l’utilisateur doit regarder, qui contacter et quelle mesure prendre s’il a déjà suivi l’instruction. Une réponse rapide vaut mieux qu’une dissimulation par peur d’une sanction.
Le premier signe est un appareil associé qui n’appartient pas à l’utilisateur. Vérifiez la liste régulièrement, pas uniquement après un incident. Le deuxième est une alerte de changement du numéro de sécurité d’un contact sans explication connue. Le troisième est un message envoyé depuis le compte que son titulaire ne reconnaît pas, surtout dans un groupe professionnel.
Surveillez aussi les conversations dont l’historique ou le comportement change. Un compte compromis peut répondre à une personne avec un langage inhabituel, demander une information confidentielle ou envoyer une pièce jointe qui n’était pas attendue. Les membres d’un groupe doivent savoir comment vérifier une demande en dehors de la messagerie.
Un compte peut être utilisé pour préparer une fraude plutôt que pour accéder à une information stratégique. L’attaquant peut demander un virement, un fichier, une invitation ou une modification de rendez-vous. La confiance vient du compte légitime, tandis que l’objectif se situe dans un autre système. La détection doit donc relier la messagerie aux procédures financières, RH, achats et gestion de crise.
Dans une organisation, le support sécurité peut recueillir les signalements sans exiger une capture du contenu sensible. Demandez l’identifiant du compte, l’heure, le nom du groupe, l’appareil associé et l’action observée. Limitez la collecte de conversations au strict besoin d’analyse et protégez les preuves comme des données confidentielles.
Le suivi de l’usurpation de marque et d’identité peut compléter les signalements internes. Un faux compte qui utilise le nom de l’organisation, son logo ou la fonction d’un dirigeant peut être visible avant que la victime signale une prise de contrôle. La surveillance externe ne remplace pas la vérification dans l’application, mais elle donne une autre perspective sur la campagne.
Si un compte est suspect, prévenez les contacts et les groupes par un autre canal. Le but est d’empêcher les destinataires de faire confiance aux prochains messages. Dites clairement que le compte peut être contrôlé par un tiers et que les demandes récentes doivent être vérifiées. Cette notification est une mesure de confinement, pas une communication publique sur l’ensemble de l’incident.
Contrôlez les appareils associés et supprimez ceux qui sont inconnus. Le CERT-FR recommande cette action lorsque l’accès au compte est encore disponible. Prenez une capture ou exportez l’information nécessaire avant la suppression si la procédure d’enquête le demande, mais ne laissez pas un appareil suspect actif simplement pour obtenir une preuve plus jolie.
Si l’accès est perdu, effectuez une inscription ou une réinscription selon la procédure du service, puis informez les contacts du nouveau nom d’utilisateur. Le CERT-FR recommande aussi de faire bloquer l’ancien compte par les contacts. La séquence doit être connue à l’avance, car une victime peut ne plus pouvoir utiliser la messagerie pour demander de l’aide.
Réinitialisez le code PIN et les éléments de vérification concernés depuis un environnement de confiance. Ne communiquez jamais un code à une personne qui vous contacte via une messagerie. Si l’attaquant prétend être le support, quittez la conversation et utilisez le canal officiel du service ou celui de votre organisation.
Ouvrez un incident lorsque le compte appartient à une personne sensible, donne accès à des groupes critiques ou a envoyé des messages de nature financière, juridique ou opérationnelle. Le risque vient des informations lues et des messages envoyés. Une prise de contrôle courte peut suffire à créer un faux ordre crédible.
Commencez par identifier les utilisateurs pour lesquels la messagerie instantanée est un outil de travail sensible. Il peut s’agir de dirigeants, de responsables sécurité, de journalistes d’entreprise, d’équipes d’astreinte, de responsables de sites et de personnes qui coordonnent des incidents. La liste doit être basée sur l’usage et l’impact, pas seulement sur le titre du poste.
Pour ces comptes, imposez une revue régulière des appareils associés, un code PIN, la vérification des événements de sécurité et une méthode de contact secondaire. Ajoutez une règle claire : aucun QR code reçu, aucune demande de code et aucune modification financière ne doit être validée uniquement dans la messagerie. Les instructions doivent rester courtes pour être appliquées sous pression.
Intégrez la messagerie dans les exercices de crise. Simulez un compte de directeur compromis qui demande un document, puis un faux message qui réclame une modification bancaire. Faites intervenir la finance, le juridique, la communication et le support IT. L’exercice doit tester la capacité à vérifier l’identité et à diffuser une alerte quand le canal habituel n’est plus fiable.
Conservez les contacts de secours hors de la messagerie. Un annuaire interne, un numéro d’astreinte et une adresse de support doivent rester accessibles depuis un autre système. Si toute la procédure de récupération se trouve dans l’application compromise, la victime devra improviser au moment le plus difficile.
Les fournisseurs de messagerie ne sont pas les seuls responsables. L’organisation doit encadrer l’usage, le support doit reconnaître le scénario, les utilisateurs doivent pouvoir signaler sans délai et la direction doit savoir quelles décisions peuvent être prises pendant la vérification. Cette répartition réduit le temps entre le premier doute et le confinement.
Le chiffrement protège le transport et le contenu contre de nombreuses interceptions, mais il ne peut pas distinguer une action volontaire d’une action obtenue par tromperie si l’utilisateur autorise un nouvel appareil. La sécurité du compte dépend donc aussi de la vérification des changements d’état : appareil ajouté, numéro modifié, code présenté, groupe rejoint et session récupérée.
Cette réalité est importante pour les politiques qui promettent simplement que la messagerie est « sécurisée ». Une application peut avoir de bonnes propriétés cryptographiques et rester un canal de fraude si un attaquant convainc un utilisateur de lui donner accès. La communication interne doit distinguer la confidentialité du protocole et la sécurité de l’utilisation.
Les comptes compromis peuvent devenir un point d’appui pour une campagne plus large. Un attaquant peut obtenir des informations sur les fournisseurs, les horaires, les noms des équipes, les projets ou les procédures. Il peut ensuite cibler les personnes qui ne connaissent pas encore l’incident. Les signaux issus de la messagerie doivent être partagés avec les équipes qui surveillent la fraude, la marque et les identités exposées.
La collecte doit rester proportionnée. Une organisation n’a pas besoin de lire toutes les conversations pour savoir qu’un appareil inconnu a été ajouté ou qu’un compte a demandé un virement inhabituel. Les métadonnées de sécurité, les signalements et les journaux d’accès peuvent suffire à déclencher une réponse. Lorsque le contenu est nécessaire, limitez l’accès aux personnes chargées de l’analyse.
Le programme d’identité doit inclure les accès non traditionnels. Un compte de messagerie instantanée n’est pas toujours relié à l’annuaire d’entreprise, mais il peut influencer des collaborateurs et des partenaires. La cartographie des identités externes doit donc comprendre les comptes de marque, les profils publics, les numéros de contact et les canaux utilisés par les équipes sensibles.
Après la récupération du compte, examinez les messages envoyés et les groupes fréquentés pendant la période d’exposition. Identifiez les demandes, liens, fichiers ou modifications qui ont pu être traités comme légitimes. Demandez aux destinataires de vérifier leurs actions et de signaler toute utilisation de leurs identifiants ou données.
Contrôlez les systèmes qui peuvent avoir reçu une information de la messagerie. Un document partagé peut contenir une nouvelle identité, une instruction de paiement ou une information de connexion. Les équipes finance et achats doivent être informées si le compte a pu dialoguer avec elles. Les équipes RH et communication peuvent être concernées si l’attaquant a usurpé un dirigeant.
Recherchez les comptes qui imitent l’identité compromise. Le CERT-FR recommande de contrôler l’absence de comptes en doublon dans les conversations de groupe et d’utiliser un nom d’utilisateur unique lorsque cela est possible. En cas d’usurpation de marque, conservez les preuves, signalez les comptes à la plateforme et avertissez les personnes susceptibles d’être ciblées.
Évaluez les données exposées sans exagérer. L’accès à l’historique d’une conversation ne signifie pas que chaque message a été lu, mais il justifie une revue des sujets traités pendant la période. Classez les informations, identifiez les personnes concernées et suivez les obligations de notification applicables à l’organisation.
Enfin, corrigez le processus qui a permis l’action. Si un utilisateur a scanné un QR code après avoir reçu une demande de support, améliorez le canal de support et la formation. Si personne ne savait qui appeler, publiez une procédure de secours. Si l’appareil associé n’a pas été revu depuis des mois, ajoutez ce contrôle à la routine des comptes sensibles.
Les personnes en déplacement sont souvent ciblées parce qu’elles changent de réseau, travaillent sous contrainte de temps et utilisent plusieurs canaux pour coordonner une opération. La procédure doit fonctionner sans accès immédiat au poste de travail. Fournissez un numéro de secours, un contact de sécurité joignable et une règle claire pour les messages qui demandent un QR code ou un code de vérification.
Une personne qui reçoit une demande douteuse doit pouvoir la signaler sans chercher à enquêter seule. Le support peut confirmer l’identité par un annuaire interne, un appel connu ou une rencontre directe. Il doit ensuite vérifier les appareils associés et prévenir les contacts exposés. La procédure doit préciser quelles informations collecter, quelles preuves conserver et quand déclencher un incident formel.
Les dirigeants peuvent aussi disposer d’un appareil de secours et d’un canal alternatif pour les décisions critiques. Cette mesure ne remplace pas la récupération du compte, mais elle évite que toute la coordination passe par un canal potentiellement contrôlé. Les messages financiers, juridiques et de crise doivent toujours recevoir une confirmation indépendante lorsqu’ils arrivent dans une messagerie instantanée.
Testez le protocole deux fois par an avec un scénario crédible. Envoyez une fausse demande de support dans un exercice autorisé, demandez aux participants de vérifier l’identité et mesurez le temps nécessaire pour supprimer un appareil inconnu. Le but est de trouver les obstacles, pas de noter les personnes. Un exercice court peut révéler un numéro d’astreinte périmé, une procédure inconnue ou une dépendance à la messagerie compromise.
Pas nécessairement. Le CERT-FR indique que les campagnes observées visent l’application et ses fonctions d’association ou de transfert, pas le téléphone lui-même. Il faut tout de même suivre la procédure de sécurité de l’organisation si un lien ou un fichier suspect a été ouvert. La première vérification concerne les appareils associés et l’état du compte.
Ne le scannez pas sur la seule base du message. Vérifiez la demande par un autre canal connu et confirmez l’action exacte. Un compte compromis ou un faux compte peut utiliser le nom d’un collègue. Le fait que le QR code ressemble à une invitation normale ne prouve pas qu’il ne va pas associer un appareil tiers.
Ne répondez pas et ne transmettez aucun code. Fermez la conversation, signalez le compte et contactez le support officiel ou votre équipe sécurité par un canal indépendant. Si vous avez déjà transmis le code, considérez le compte comme suspect, vérifiez les appareils associés et déclenchez la procédure de récupération.
Surveillez les événements de sécurité et les appareils associés, fournissez un canal de secours, formez les utilisateurs aux QR codes et aux demandes de code, puis testez la procédure pendant un exercice. Ces contrôles portent sur les changements d’accès et les comportements à risque, pas sur la lecture permanente des conversations.
Defendis relie l’exposition externe, le renseignement sur les menaces et les signaux de sécurité pour aider votre équipe à traiter les risques qui comptent le plus. Suivez les actifs, identités et accès exposés avant qu’ils ne deviennent un incident.
