Le 20 mars 2026, le CERT-FR publiait une note d'alerte sur le ciblage des messageries instantanées, mise à jour le 18 juin. L'intérêt de cette alerte tient en une phrase : aucune vulnérabilité n'est exploitée. Les attaquants tirent parti de fonctionnalités parfaitement légitimes de Signal, et les méthodes employées sont applicables aux autres applications commerciales, WhatsApp comprise.
Qui est visé
Le CERT-FR observe une recrudescence de campagnes ciblant les comptes de messagerie instantanée, particulièrement dans les secteurs régaliens — personnalités politiques, cadres de l'administration — mais aussi parmi les personnels de la société civile exerçant des fonctions sensibles : journalistes, industriels. Autrement dit : les dirigeants et les fonctions exposées de vos organisations, sur leur téléphone personnel, en dehors de tout périmètre supervisé.
Deux modes opératoires, un même résultat
Le premier repose sur l'appairage. La victime reçoit un message l'invitant à rejoindre un groupe de discussion en scannant un QR code. Le code n'ouvre aucun groupe : il associe le compte de messagerie à un appareil contrôlé par l'attaquant. La conversation continue normalement, la victime conserve l'accès à son compte, et ne remarque rien — pendant que chaque message est lu depuis un second appareil.
Le second est plus brutal. L'attaquant engage la conversation et, si la victime répond, l'amène à divulguer un code PIN ou un code de vérification. Ces éléments lui permettent de modifier le numéro de téléphone associé au compte, et donc d'en prendre le contrôle de façon irrémédiable. Dans les campagnes observées, le contact initial se fait depuis un compte Signal nommé par exemple « Signal Support » ou « Signal Security ChatBot » — ou par SMS, ou depuis un compte préalablement compromis appartenant à une connaissance.
Pourquoi cela échappe à la sécurité de l'entreprise
L'attaque vise l'application de messagerie, pas le téléphone, qui n'est pas compromis. Il n'y a donc rien à détecter pour un MDM ou un EDR mobile : aucun logiciel malveillant installé, aucune configuration modifiée, aucun privilège élevé. Il n'y a qu'un appareil de plus dans une liste que l'utilisateur ne consulte jamais.
S'y ajoute le fait que ces messageries sont, dans la plupart des entreprises, un angle mort assumé : utilisées quotidiennement pour des échanges professionnels sensibles, mais hors du périmètre contractuel et hors de la supervision. La compromission d'un compte de dirigeant y donne accès à un historique de conversations, et permet de diffuser des messages en usurpant son identité auprès de ses contacts.
Les réflexes à diffuser
- Ne jamais scanner un QR code reçu par message, quel qu'en soit l'expéditeur apparent.
- Ne jamais communiquer de code PIN, de code de vérification ou de mot de passe via une messagerie. Le support technique de ces applications n'envoie jamais légitimement de message direct aux utilisateurs.
- Définir un code PIN sur l'application — c'est la protection qui empêche la réassociation du numéro par un tiers.
- Vérifier régulièrement, dans les paramètres, la liste des appareils associés au compte, et supprimer tout appareil inconnu. C'est le geste qui détecte le premier mode opératoire, et il prend trente secondes.
- Ne pas se fier au nom d'utilisateur affiché : il peut être choisi arbitrairement. Sur Signal, seul le nom d'utilisateur unique permet de discriminer un compte en doublon.
- Rester attentif aux événements de sécurité affichés par l'application : changement du numéro de sécurité d'un contact, connexion depuis un appareil inconnu.
En cas de suspicion de compromission
Le CERT-FR recommande de prévenir ses contacts et les membres de ses groupes via un autre canal, de contrôler l'absence de compte en doublon dans les conversations de groupe et de supprimer ceux dont l'accès n'est plus disponible, puis de vérifier et d'assainir la liste des appareils associés. En cas de tentative de compromission, un dépôt de plainte auprès de la section de lutte contre la cybercriminalité du parquet de Paris est également recommandé.
Notre recommandation
Cette alerte est l'occasion de traiter un sujet que beaucoup de comités de direction repoussent : la messagerie instantanée est déjà un canal professionnel de fait. Plutôt que de l'interdire sans effet, nous recommandons de l'assumer — définir ce qui peut y transiter, inscrire la vérification mensuelle des appareils associés dans les habitudes des fonctions exposées, et prévoir le canal de secours à utiliser le jour où un compte de dirigeant se met à envoyer des messages que son propriétaire n'a pas écrits.
L'équipe Threat Intelligence