Signal met en garde ses utilisateurs contre les escroqueries après que des hackers ont ciblé des responsables

il y a 14 heures

PartagerEnregistrer

Liv McMahonJournaliste en technologie

PartagerEnregistrer

Getty Images

Signal a averti ses utilisateurs de rester vigilants face aux signes d’escroquerie, après que les agences de renseignement néerlandaises ont indiqué que des utilisateurs de haut niveau de l’application de messagerie sécurisée étaient ciblés par des hackers.

Les agences de cybersécurité néerlandaises ont déclaré lundi qu’une campagne soutenue par la Russie avait visé des utilisateurs individuels de Signal ainsi que de WhatsApp.

Elles ont précisé que ces hackers se faisaient passer pour des agents de support afin d’obtenir des détails leur permettant d’accéder aux comptes ou de prendre le contrôle des appareils liés — parmi les cibles figuraient des responsables néerlandais, du personnel militaire et des fonctionnaires dans le cadre de cette campagne « mondiale ».

Signal affirme que ses systèmes restent sécurisés mais qu’il prend très au sérieux les signalements de telles activités.

La campagne a été identifiée par les agences de renseignement néerlandaises, le Service de renseignement militaire (MIVD) et le Service général de renseignement et de sécurité (AIVD).

Dans un communiqué de presse, elles ont indiqué que cette « campagne cybernétique mondiale à grande échelle » semblait cibler des personnes d’intérêt pour l’État russe, telles que des responsables gouvernementaux et des journalistes.

« Il ne s’agit pas d’une compromission globale de Signal ou de WhatsApp. Ce sont des comptes utilisateurs individuels qui sont ciblés », a déclaré Simone Smit, directrice générale de l’AIVD.

Signal a réaffirmé cela dans une série de publications sur X, soulignant que ses systèmes « n’ont pas été compromis et restent robustes ».

« Ces attaques ont été menées via des campagnes de phishing sophistiquées, conçues pour tromper les utilisateurs afin qu’ils partagent des informations — codes SMS et/ou PIN Signal — pour accéder à leurs comptes », a-t-il écrit.

Les attaques de phishing, appelées ainsi, voient des criminels tenter de convaincre les utilisateurs de leur communiquer des codes d’accès, de l’argent ou des détails sur leur identité — souvent en se faisant passer pour des agents du support client, des amis, de la famille ou des célébrités.

Dans la campagne identifiée par les agences de renseignement néerlandaises, les hackers ont prétendu être le support Signal pour inciter les gens à partager leurs détails de compte.

Autoriser le contenu X ?

Cet article contient du contenu fourni par X. Nous demandons votre permission avant que quoi que ce soit ne soit chargé, car ils peuvent utiliser des cookies et d’autres technologies. Vous pouvez consulter

la politique de cookies de X

et

la politique de confidentialité

avant d’accepter. Pour voir ce contenu, choisissez ‘accepter et continuer’.

Accepter et continuer

La BBC n’est pas responsable du contenu des sites externes. Le contenu de X peut contenir des publicités.

Lors de la création d’un compte Signal, il est conseillé de le sécuriser avec un code PIN — quelque chose qui ne doit jamais être partagé avec quiconque.

La société a également précisé que les utilisateurs ne doivent pas partager les codes de vérification envoyés par message à leur numéro de téléphone.

WhatsApp a donné un conseil similaire, indiquant que les utilisateurs ne doivent pas partager les codes à six chiffres utilisés pour sécuriser leur compte.

Elle recommande aussi de prendre des mesures supplémentaires pour sécuriser leur compte, notamment en bloquant les messages ou appels inconnus.

• Qu’est-ce que l’application de messagerie Signal et à quel point est-elle sécurisée ?

‘Bugs humains’

Signal a insisté sur le fait que, bien qu’ils disposent de protections, « la vigilance des utilisateurs » est la meilleure façon de lutter contre les tentatives de phishing.

« Les fonctionnalités de sécurité sont utilisées comme arme contre les utilisateurs », a déclaré Muhammad Yahya Patel, conseiller en cybersécurité chez Huntress.

« Auparavant, les hackers cherchaient des bugs dans le code. Maintenant, ils recherchent des bugs humains dans la façon dont les humains interagissent avec les applications », a-t-il expliqué à la BBC.

Il a indiqué que des fonctionnalités pratiques, comme permettre aux utilisateurs d’accéder à leur compte sur d’autres appareils via des codes QR ou de le récupérer avec des codes de vérification par SMS, sont devenues « les principales voies d’attaque utilisées par les criminels ».

Patel a conseillé aux gens de vérifier régulièrement les appareils liés à leur compte dans les paramètres pour s’assurer que personne d’autre ne peut accéder à leurs messages.

Il a aussi souligné que l’utilisation d’une application avec un chiffrement de bout en bout (E2EE) ne garantit pas une « sécurité totale ».

Getty Images

Les utilisateurs de WhatsApp peuvent limiter qui peut voir leur photo de profil, leur localisation en direct ou les ajouter à des groupes dans les paramètres de l’application.

L’E2EE, utilisée pour protéger les messages sur Signal et WhatsApp, signifie que seul l’expéditeur et le destinataire peuvent le lire.

« Ce type de chiffrement ne peut pas protéger le compte et l’appareil si celui-ci est compromis », a déclaré Patel.

Les services de renseignement néerlandais pensent que la Russie a ciblé Signal parce que sa réputation en tant qu’application très sécurisée en a fait un choix populaire auprès des responsables cherchant à communiquer en toute sécurité.

Mais ils ont aussi indiqué que cela en faisait « l’endroit idéal pour que des acteurs malveillants tentent de capturer des informations sensibles ».

« Malgré leur option de chiffrement de bout en bout, des applications de messagerie comme Signal et WhatsApp ne devraient pas être utilisées comme canaux pour des informations classifiées, confidentielles ou sensibles », a déclaré le directeur du MIVD, Peter Reesink.

La chercheuse en cybersécurité Pia Hüsch, de l’Institut Royal United Services (Rusi), a déclaré que « beaucoup d’acteurs malveillants dans le cyberespace exploitent ces applications ».

Mais elle a ajouté que l’utilisation de « simples tentatives de phishing » pourrait surprendre certains.

« Parfois, nous pensons que les acteurs étatiques sont ces acteurs de menace incroyablement sophistiqués, qui disposent de toutes les capacités et de tous les outils sophistiqués… mais c’est une méthode assez basique pour tenter d’accéder à quelque chose », a expliqué Dr Hüsch.

Reportage supplémentaire de Richard Morris

Cinq enseignements du groupe de chat militaire américain leaké

TikTok ne protégera pas les messages privés avec une technologie de confidentialité controversée, affirmant que cela mettrait les utilisateurs en danger

Comment WhatsApp gagne-t-il de l’argent ? C’est gratuit — avec quelques astuces

Inscrivez-vous à notre newsletter Tech Decoded pour suivre les principales actualités et tendances technologiques mondiales. Hors Royaume-Uni ? Inscrivez-vous ici.

Chiffrement de bout en bout

Cybersécurité

Confidentialité