Attaques de phishing ciblant les clés de sauvegarde Signal pour accéder aux archives de messages
Une nouvelle vague d'attaques de phishing cible les utilisateurs de Signal de manière particulièrement efficace : des criminels se font passer pour l'assistance Signal afin d'inciter les victimes à divulguer leurs clés de récupération de sauvegarde, donnant ainsi aux attaquants un accès complet aux archives chiffrées des messages des victimes. Cette campagne de phishing ciblant les clés de sauvegarde Signal met en lumière une réalité brutale à propos des applications de messagerie sécurisée : la technologie peut être mathématiquement inviolable, tandis que l'humain qui l'utilise reste entièrement vulnérable.
Il ne s'agit pas d'une faille dans le chiffrement de Signal. C'est un rappel que l'ingénierie sociale devance constamment les défenses techniques, et que même les utilisateurs les plus soucieux de leur sécurité peuvent être pris au dépourvu lorsqu'une source apparemment digne de confiance demande des identifiants.
Comment fonctionne l'arnaque par usurpation du support Signal
L'attaque suit un schéma de phishing classique, appliqué à une cible de grande valeur. Les attaquants contactent les utilisateurs de Signal par SMS, sur les réseaux sociaux ou même via Signal lui-même, en se présentant comme le personnel du support Signal. Les messages présentent généralement la demande comme urgente, invoquant une vérification de compte, un problème de sécurité ou une migration nécessaire de la sauvegarde.
L'objectif est toujours le même : extraire la clé de récupération de sauvegarde de 64 caractères de la victime. La fonctionnalité de sauvegardes sécurisées de Signal chiffre les archives de messages avec cette clé, qui n'est jamais partagée avec les serveurs de Signal. Cette conception vise à protéger la vie privée des utilisateurs. Dans ce contexte, elle devient un handicap, car la clé est la seule chose qui sépare un attaquant d'une copie complète et lisible de l'historique des messages d'une personne.
Une fois que l'attaquant dispose de la clé de récupération, il peut télécharger et déchiffrer l'archive de sauvegarde de manière indépendante. Aucune authentification supplémentaire n'est requise. Le résultat est un accès complet à chaque message de l'archive, y compris les contacts, les discussions de groupe et les pièces jointes, sans que la victime ne puisse savoir qu'un accès a eu lieu.
Signal a publiquement confirmé qu'il ne prendra jamais l'initiative de contacter des utilisateurs par téléphone, SMS ou réseaux sociaux, et qu'il ne demandera jamais de code PIN ou de clé de récupération. Cette politique est claire, mais il est facile de l'oublier face à un message rédigé de manière convaincante.
Pourquoi une clé de sauvegarde volée est plus dangereuse qu'un mot de passe piraté
La plupart des gens comprennent qu'un mot de passe volé est grave. Moins de personnes réalisent qu'une clé de récupération de sauvegarde volée peut être pire, car elle contourne presque toutes les couches modernes de protection des comptes.
Lorsqu'un attaquant vole un mot de passe, il se heurte encore à des barrières potentielles : authentification à deux facteurs, alertes de connexion, vérification de l'appareil ou verrouillages de compte. Une clé de récupération de sauvegarde ne comporte aucun de ces points de contrôle. Il s'agit d'un identifiant cryptographique statique qui déchiffre directement les données archivées. L'attaquant n'a pas besoin de toucher à votre compte, à votre numéro de téléphone ou à votre session active. Les dégâts sont causés hors ligne, silencieusement, et souvent sans aucune notification à la victime.
C'est pourquoi les utilisateurs de Signal sont de plus en plus compromis par des moyens qui n'ont rien à voir avec le chiffrement de l'application. Le chiffrement est solide. Le problème est ce qui se passe lorsque les utilisateurs sont manipulés pour céder les clés qui le protègent.
Comparez cela à la campagne de phishing liée à la Russie qui a ciblé des responsables allemands via Signal. Dans ce cas, des acteurs parrainés par un État ont utilisé la même technique de base, usurpant l'identité d'entités de confiance pour accéder aux communications Signal. La sophistication de l'attaquant change, mais la vulnérabilité exploitée reste constante : la confiance humaine.
Ce que ces attaques révèlent sur la dépendance exclusive aux messageries chiffrées
La persistance et l'efficacité des attaques de phishing ciblant les clés de sauvegarde Signal exposent un problème plus large dans la façon dont les gens envisagent les outils de communication sécurisée. Un chiffrement fort crée un sentiment de sécurité qui ne s'étend pas toujours aux pratiques de sécurité environnantes.
Les utilisateurs qui comptent sur Signal pour son chiffrement appliquent souvent moins de vigilance aux habitudes de gestion des comptes, aux paramètres de sauvegarde et à leur façon de répondre aux demandes d'assistance imprévues. C'est précisément ce que les attaquants exploitent. L'application devient toute la stratégie de sécurité, plutôt qu'une couche au sein d'une approche plus large.
Des schémas similaires sont apparus sur d'autres plateformes de messagerie. La fuite d'identifiants WhatsApp qui a exposé des millions d'enregistrements d'utilisateurs a suivi une logique comparable : les fonctionnalités de sécurité de la plateforme n'étaient pas le point faible. Ce sont les identifiants des utilisateurs et les pratiques de gestion des comptes qui l'étaient.
Cela ne signifie pas que les messageries chiffrées ne valent pas la peine d'être utilisées. Elles le sont absolument. Cela signifie que le chiffrement est un socle, pas un plafond, et que les utilisateurs doivent y ajouter des habitudes de sécurité.
Moyens de protection pratiques : MFA, VPN et reconnaissance des signaux d'alarme d'ingénierie sociale
Se protéger du phishing des clés de sauvegarde Signal nécessite à la fois des mesures techniques et un changement dans votre façon de réagir aux contacts non sollicités.
Commencez par vos paramètres de sauvegarde Signal. Si vous utilisez la fonction de sauvegardes sécurisées de Signal, traitez votre clé de récupération de 64 caractères comme vous traiteriez un mot de passe principal : conservez-la hors ligne, dans un endroit sécurisé, et ne la partagez jamais avec qui que ce soit, quelle que soit la manière dont la demande est formulée. Le personnel de Signal ne vous la demandera jamais.
Activez un code PIN Signal et le verrouillage d'enregistrement pour empêcher la réinscription non autorisée d'un compte sur un nouvel appareil. Cela ne protège pas directement votre clé de sauvegarde, mais cela comble un autre vecteur d'attaque courant.
Au-delà de Signal, appliquez l'authentification multi-facteurs sur les comptes liés au numéro de téléphone ou à l'adresse e-mail associée à votre profil Signal. Étant donné que Signal utilise les numéros de téléphone pour l'enregistrement, une attaque par SIM-swapping ou un numéro de téléphone compromis peut créer une exposition supplémentaire. L'authentification par jeton ajoute une couche de friction significative pour les attaquants tentant de prendre le contrôle de comptes via des services adjacents.
Utiliser un VPN sur les réseaux extérieurs à votre domicile ajoute une autre couche de protection en masquant votre trafic et en réduisant la visibilité de votre appareil et de votre activité de navigation pour les attaquants potentiels effectuant une reconnaissance avant une tentative de phishing ciblée.
La défense la plus importante, cependant, est la méfiance vis-à-vis des contacts non sollicités. Tout message prétendant provenir du support Signal, vous demandant de vérifier des identifiants, de confirmer une clé de récupération ou de cliquer sur un lien pour résoudre un problème de compte, doit être traité comme une tentative de phishing par défaut. Les systèmes légitimes d'assistance ne fonctionnent pas de cette manière.
Ce que cela signifie pour vous
La campagne de phishing ciblant les clés de sauvegarde Signal est un rappel concret qu'aucun outil, aussi bien conçu soit-il, ne protège pleinement les utilisateurs qui n'ont pas bâti d'habitudes autour de lui. Le chiffrement de Signal reste solide. Le risque porte sur la manière dont les clés de ce chiffrement sont gérées et protégées.
Prenez le temps dès maintenant d'auditer vos paramètres Signal, de vérifier où votre clé de récupération de sauvegarde est stockée et de revoir votre posture globale de sécurité des comptes. Partagez cette prise de conscience avec les personnes de votre entourage qui utilisent Signal, en particulier celles qui ne suivent pas forcément l'actualité de la sécurité de près. L'ingénierie sociale fonctionne le mieux contre les personnes qui ne savent pas qu'elle approche.
