Cyberattaque russe contre WhatsApp et Signal.
La campagne mondiale se poursuit en 2026.
Faux support technique, vol de codes de vérification, QR codes détournés, appareils liés et désormais récupération de clés de sauvegarde : les méthodes évoluent, mais leur principe reste le même. L’attaquant contourne la sécurité de la messagerie en manipulant l’utilisateur.
Ce que les autorités ont réellement confirmé
Le 9 mars 2026, les services néerlandais AIVD et MIVD ont rendu publique une campagne cyber à grande échelle destinée à obtenir l’accès à des comptes Signal et WhatsApp. Leur attribution est explicite : ils parlent de pirates étatiques russes et confirment que des employés du gouvernement néerlandais figurent parmi les cibles et les victimes.
Les profils recherchés ne sont pas choisis au hasard. Les services néerlandais citent des dignitaires, des militaires et des fonctionnaires, tout en estimant que d’autres personnes présentant un intérêt pour le renseignement russe, notamment des journalistes, peuvent également être ciblées. L’objectif est l’accès à des conversations susceptibles de contenir des informations sensibles, des contacts, des groupes de discussion ou des éléments utiles à une opération de renseignement.
Le 26 juin 2026, le FBI et la CISA ont publié une mise à jour importante. Les autorités américaines indiquent que plusieurs groupes liés aux services de renseignement russes poursuivent une campagne de phishing contre des personnes présentant une forte valeur de renseignement. Elles mentionnent notamment des responsables gouvernementaux actuels ou anciens, des militaires, des personnalités politiques, des journalistes et des responsables importants situés en Ukraine.
Il faut donc distinguer deux faits. La campagne attribuée à des acteurs russes est confirmée par plusieurs autorités. En revanche, il n’existe pas d’élément officiel établissant que tous les utilisateurs de WhatsApp et Signal seraient visés indistinctement, ni que les infrastructures de ces deux messageries auraient été piratées.
Cette pression sur les responsables publics s’inscrit dans un contexte plus large déjà abordé dans notre analyse sur les cyberattaques visant les administrations publiques en Europe.
De 2025 à septembre 2026 : une menace qui s’est progressivement précisée
La campagne révélée en 2026 ne surgit pas de nulle part. Dès février 2025, Google Threat Intelligence documentait l’intérêt croissant de plusieurs acteurs alignés sur la Russie pour les communications Signal. Les chercheurs décrivaient déjà le détournement de la fonction « appareils liés », notamment au moyen de faux QR codes présentés comme des invitations à rejoindre un groupe, des alertes de sécurité ou des procédures de connexion.
Google associait ces opérations au contexte de la guerre en Ukraine et observait plusieurs modes opératoires : phishing à distance, kits imitant des outils militaires, accès physique à des appareils capturés et logiciels destinés à extraire des bases de messages sur des terminaux déjà compromis. Le rapport précisait également que des techniques similaires concernaient WhatsApp et Telegram.
Le 9 mars 2026, l’AIVD et le MIVD donnent une dimension officielle et internationale à l’alerte. Le 20 mars, les autorités américaines publient à leur tour un avertissement. Puis le 26 juin, le FBI et la CISA l’actualisent en indiquant que les opérations continuent et que les attaquants ont fait évoluer leurs demandes.
Le NCSC britannique a également alerté sur la croissance des activités malveillantes menées par des acteurs basés en Russie contre les applications de messagerie et a actualisé ses recommandations en juillet 2026 pour les personnes à haut risque.
Au 9 septembre 2026, les sources officielles consultées ne permettent donc pas de présenter cette affaire comme terminée. La formulation la plus exacte reste celle d’une menace suivie et d’une campagne décrite comme « ongoing » dans l’alerte américaine du 26 juin.
Le faux « Signal Support » : une attaque qui transforme la sécurité en piège
La méthode la plus fréquemment observée par les services néerlandais consiste à se faire passer pour l’assistance de Signal. Le compte frauduleux adopte un nom suffisamment crédible pour provoquer une réaction immédiate : « Signal Support », « Signal Security Support Chatbot » ou une variante comparable.
Le message peut évoquer une activité suspecte, une tentative d’accès ou un problème de sécurité. La victime est ensuite incitée à communiquer un code de vérification et, selon les scénarios, son PIN. Ces éléments n’ont rien d’anodin : ils servent précisément à protéger l’enregistrement du compte. En les donnant à un tiers, l’utilisateur remet à l’attaquant une partie des moyens nécessaires pour prendre le contrôle de son identité numérique.
Le FBI rappelle désormais une règle simple : les services d’assistance légitimes des applications commerciales de messagerie ne demandent pas les codes de vérification dans l’application et n’envoient pas de liens demandant de « vérifier » ou « restaurer » un compte.
Cette attaque est particulièrement efficace parce qu’elle emprunte le vocabulaire de la sécurité. L’urgence affichée pousse à agir avant de réfléchir. Le même principe d’ingénierie sociale apparaît dans le Ghost Pairing sur WhatsApp : l’utilisateur croit effectuer une opération légitime alors qu’il autorise en réalité un accès qu’il n’aurait jamais accepté en connaissance de cause.
QR codes et appareils liés : le piège qui permet d’espionner sans bloquer le compte
La technique la plus intéressante sur le plan opérationnel détourne une fonction parfaitement normale de Signal et WhatsApp : la possibilité d’utiliser son compte depuis plusieurs appareils. Pour associer un ordinateur ou une tablette, l’application peut demander de scanner un QR code.
Les attaquants exploitent cette mécanique en fabriquant un contexte crédible autour d’un QR code contrôlé par eux. Il peut être présenté comme une invitation à un groupe, une vérification de sécurité ou une procédure officielle. Le geste semble banal. Pourtant, le scan peut avoir pour conséquence de relier au compte un appareil détenu par l’attaquant.
Google Threat Intelligence expliquait dès 2025 qu’un appareil ainsi lié à Signal pouvait recevoir les futurs messages en parallèle du téléphone de la victime. L’intérêt pour un service de renseignement est évident : contrairement à une prise de contrôle brutale qui alerte immédiatement l’utilisateur, l’accès par appareil lié peut rester discret.
La victime continue à envoyer et recevoir ses messages. Elle peut ne constater aucun dysfonctionnement. C’est précisément ce caractère silencieux qui rend l’audit des appareils liés essentiel. La liste doit être vérifiée régulièrement et tout ordinateur, navigateur ou terminal inconnu doit être déconnecté.
Cette logique montre aussi pourquoi les fuites massives de données et les campagnes d’e-mails malveillants restent dangereuses : les informations récupérées ailleurs peuvent rendre un message de phishing beaucoup plus crédible et personnalisé.
Juin 2026 : les attaquants cherchent aussi les clés de récupération des sauvegardes
L’actualisation publiée le 26 juin par le FBI et la CISA apporte une information importante par rapport aux premières alertes du printemps. Les acteurs russes continuent de se faire passer pour des comptes automatisés d’assistance, mais leurs scénarios ont évolué afin d’obtenir également des clés de récupération de sauvegarde.
Selon l’alerte américaine, la victime peut être incitée à créer ou utiliser une sauvegarde de ses messages puis à transmettre la clé permettant de la récupérer. Si l’opération aboutit, l’attaquant peut accéder non seulement aux nouveaux échanges mais aussi, selon le mécanisme concerné, à l’historique sauvegardé, aux messages privés et aux conversations de groupe.
Cette évolution change la portée du risque. Un appareil lié est surtout intéressant pour observer les communications qui arrivent après la compromission. L’accès à une sauvegarde peut donner une profondeur historique et révéler des échanges antérieurs, des relations, des documents ou des informations dont la valeur de renseignement demeure importante longtemps après leur envoi.
Il faut donc ajouter les clés de récupération à la liste des secrets qui ne doivent jamais être transmis à un interlocuteur se présentant comme un support. Code SMS, PIN, clé de sauvegarde ou validation d’un nouvel appareil sont des éléments d’authentification, pas des informations de dépannage ordinaires.
Responsables publics, militaires, journalistes : qui est réellement visé ?
Les sources officielles ne décrivent pas une attaque massive lancée indistinctement contre des milliards d’utilisateurs. Elles parlent d’opérations ciblées contre des personnes dont les communications présentent un intérêt pour le renseignement russe.
Les autorités néerlandaises citent les dignitaires, militaires et fonctionnaires. Les autorités américaines ajoutent les responsables gouvernementaux actuels et anciens, les personnalités politiques, les journalistes et des responsables importants en Ukraine. Le NCSC britannique emploie l’expression « high-risk individuals » pour désigner les personnes dont la fonction, l’exposition publique, l’accès à des informations sensibles ou les relations peuvent intéresser un adversaire.
Cela ne signifie pas que les autres utilisateurs peuvent ignorer le problème. Les techniques utilisées sont faciles à reproduire. Un cybercriminel sans lien avec un État peut lui aussi envoyer un faux message de support, réclamer un code ou tenter de faire scanner un QR code. La campagne russe illustre donc une méthode dont le risque dépasse son contexte géopolitique initial.
Dans une entreprise, un dirigeant, un responsable financier, un administrateur informatique, un élu, un communicant ou une personne en contact avec des clients sensibles peut devenir une cible intermédiaire. Compromettre son compte permet de cartographier ses relations et de préparer une seconde attaque contre ses contacts.
C’est également pourquoi les attaques contre les collectivités et les structures locales, abordées dans notre dossier sur les hackers qui ciblent désormais les mairies de province, ne doivent plus être considérées comme un risque réservé aux grandes organisations.
Non, le chiffrement de WhatsApp et Signal n’a pas été cassé
C’est le point technique le plus important. L’AIVD et le MIVD précisent que la campagne n’exploite pas une vulnérabilité technique des services de messagerie. Le FBI et la CISA indiquent eux aussi que les acteurs ont compromis des comptes individuels, et non le chiffrement ou l’application elle-même.
Le chiffrement de bout en bout protège un message entre les terminaux autorisés à participer à la conversation. Il empêche normalement un intermédiaire de lire le contenu pendant son transport. Mais cette protection ne peut pas distinguer un ordinateur réellement ajouté par l’utilisateur d’un appareil malveillant que l’utilisateur a été manipulé pour autoriser.
Une fois l’appareil de l’attaquant reconnu comme terminal légitime, recevoir les messages ne nécessite plus de casser leur chiffrement : le système les délivre à un appareil qui appartient désormais, du point de vue du service, au compte concerné.
La nuance est essentielle pour comprendre les débats sur la sécurité réelle de WhatsApp. Une architecture cryptographique robuste ne supprime ni le phishing, ni la compromission d’un terminal, ni le détournement des mécanismes d’authentification.
Comment protéger immédiatement ses comptes WhatsApp et Signal
Les recommandations publiées par les autorités et les chercheurs convergent. Elles ne demandent pas d’abandonner les messageries chiffrées, mais de protéger beaucoup plus strictement les opérations qui permettent d’ajouter un terminal, de récupérer un compte ou de restaurer ses données.
- Ne communiquez jamais un code de vérification, un PIN ou une clé de récupération. Un support qui vous réclame l’un de ces secrets doit être considéré comme suspect.
- Ne scannez pas un QR code présenté comme une vérification de sécurité si vous n’avez pas vous-même initié l’ajout d’un appareil.
- Contrôlez régulièrement la rubrique des appareils liés. Déconnectez immédiatement tout terminal que vous ne reconnaissez pas.
- Maintenez Signal, WhatsApp et le système du téléphone à jour. Google indiquait déjà que Signal avait renforcé ses protections face à certaines campagnes de phishing.
- Vérifiez un contact par un second canal en cas de comportement inhabituel. Un appel téléphonique ou une adresse connue permet de confirmer qu’un message vient réellement de la personne attendue.
- Dans les groupes sensibles, surveillez les doublons et changements de nom inhabituels. Les services néerlandais recommandent de vérifier les contacts qui apparaissent deux fois ou dont l’identité semble avoir changé.
- Pour les profils exposés, évitez de traiter des informations classifiées, confidentielles ou extrêmement sensibles dans une messagerie commerciale.
Les plateformes renforcent elles aussi leurs mécanismes de défense. Nous avons détaillé plusieurs de ces évolutions dans notre article sur les mesures de sécurité ajoutées par Meta à WhatsApp et Messenger.
Pour les entreprises, le compte personnel peut devenir la première porte d’entrée
L’enseignement dépasse la seule protection des personnalités politiques. Dans beaucoup d’organisations, WhatsApp ou Signal se trouvent à la frontière entre vie personnelle et activité professionnelle. Des groupes informels servent à coordonner une équipe, échanger un document, confirmer un rendez-vous ou joindre rapidement un dirigeant.
Un compte compromis peut ainsi révéler des noms, des fonctions, des habitudes, des numéros de téléphone et le contenu de groupes professionnels. Ces informations peuvent ensuite servir à construire un phishing plus convaincant, une fraude au président, une usurpation d’identité ou une attaque contre un collaborateur.
La réponse ne consiste donc pas uniquement à rappeler « ne cliquez pas sur les liens ». Une politique efficace doit préciser quels canaux peuvent accueillir quelles informations, comment un changement de numéro ou d’appareil est vérifié, qui peut ajouter un membre dans un groupe sensible et comment signaler rapidement une anomalie.
Il faut également éviter une erreur classique : considérer qu’une application chiffrée transforme automatiquement toute conversation en canal approprié pour une information confidentielle. Les services néerlandais insistent précisément sur ce point. Le chiffrement réduit certains risques, mais il ne remplace ni la gestion des accès, ni la sécurité du terminal, ni les règles internes de l’organisation.
En septembre 2026, la leçon de cette campagne est donc claire : les attaquants n’ont pas nécessairement besoin de vaincre la technologie la plus robuste. Ils peuvent chercher le moment où l’utilisateur autorise lui-même l’accès qu’ils convoitent.
Cyberattaque russe contre WhatsApp et Signal : l’essentiel.
La Russie a-t-elle piraté WhatsApp et Signal ?
Des autorités néerlandaises et américaines ont attribué des campagnes à des acteurs russes, mais elles ne décrivent pas un piratage général des infrastructures de WhatsApp ou Signal. Ce sont des comptes individuels qui sont ciblés.
Le chiffrement de bout en bout est-il cassé ?
Non. Les sources officielles indiquent précisément que les attaquants contournent le chiffrement en volant des éléments d’authentification ou en faisant ajouter un appareil qu’ils contrôlent.
Comment fonctionne l’attaque par QR code ?
Le QR code frauduleux peut être présenté comme une invitation ou une vérification. En le scannant dans le mauvais contexte, la victime peut associer à son compte un appareil contrôlé par l’attaquant.
Pourquoi les clés de sauvegarde sont-elles désormais visées ?
Le FBI et la CISA ont indiqué en juin 2026 que certains attaquants tentaient d’obtenir des clés de récupération. Elles peuvent permettre d’accéder à des messages historiques sauvegardés, en plus des conversations futures.
Qui sont les principales cibles ?
Les autorités citent surtout des responsables gouvernementaux, militaires, personnalités politiques, journalistes et autres personnes présentant une forte valeur de renseignement. Les techniques restent toutefois reproductibles contre des utilisateurs ordinaires.
Quelle vérification faut-il faire en priorité ?
Contrôlez la liste des appareils liés dans WhatsApp et Signal. Déconnectez tout terminal inconnu et ne communiquez jamais un code, un PIN ou une clé de récupération à une personne se présentant comme un support.
- AIVD / MIVD — Russia targets Signal and WhatsApp accounts in cyber campaign, 9 mars 2026.
- FBI / CISA — Russian Intelligence Services Continue to Target Commercial Messaging Applications, 26 juin 2026.
- Google Threat Intelligence — Signals of Trouble: Multiple Russia-Aligned Threat Actors Actively Targeting Signal Messenger, 19 février 2025.
- NCSC — Messaging app targeting, page actualisée le 14 juillet 2026.
Votre visibilité numérique doit aussi rester maîtrisée.
Stratégie digitale, visibilité, référencement et accompagnement des entreprises.
Découvrir WY-Créations®