Pirates russes ciblent Signal & WhatsApp : Guide complet des attaques d'ingénierie sociale

Des pirates étatiques russes ont compromis avec succès des comptes Signal et WhatsApp d'employés du gouvernement néerlandais via des attaques d'ingénierie sociale sophistiquées exploitant la psychologie humaine plutôt que des vulnérabilités techniques, selon les agences de renseignement AIVD et MIVD. La campagne d'espionnage cybernétique 2025 représente un changement significatif dans les tactiques de guerre cybernétique, ciblant l'élément humain dans les systèmes de sécurité au lieu de tenter de briser les protocoles de chiffrement.

Que sont les attaques de smishing et de quishing ?

Les pirates russes ont employé deux tactiques principales : le smishing (hameçonnage par SMS) et le quishing (hameçonnage par code QR). Dans les attaques de smishing, les pirates ont envoyé des messages texte frauduleux se faisant passer pour des chatbots de support légitimes de Signal ou WhatsApp, demandant aux utilisateurs de confirmer des codes de sécurité. Lorsque les victimes ont obtempéré, elles ont involontairement donné aux attaquants un contrôle total sur leurs comptes. Les attaques de quishing impliquaient des codes QR malveillants qui, une fois scannés, permettaient aux pirates de lier des appareils supplémentaires aux comptes des victimes, leur permettant de lire tous les messages à distance.

L'expert en cybersécurité Jort Kollerie, conseiller stratégique chez Orange Cyberdefense, a expliqué la manipulation psychologique : 'La sécurité est techniquement excellente, mais il s'agit de l'élément humain. La cible est manipulée. La psyché humaine est jouée.' Kollerie a comparé la tactique à quelqu'un en uniforme de livraison accédant à des bâtiments sécurisés - les gens font naturellement confiance aux apparences familières et aux demandes urgentes.

Comment fonctionne la campagne d'attaque

Compromission des comptes Signal

Pour les comptes Signal, les pirates se sont fait passer pour l'équipe de support officielle de l'application, envoyant des messages semblant provenir de 'Support Signal'. Ces messages prétendaient qu'il y avait des problèmes de sécurité avec le compte de l'utilisateur et demandaient des codes de vérification par SMS et des numéros PIN. Une fois obtenus, les attaquants pouvaient enregistrer de nouveaux appareils sur le compte de la victime, prenant effectivement le contrôle tandis que l'utilisateur légitime restait connecté sur son appareil d'origine.

Prise de contrôle des comptes WhatsApp

Les attaques WhatsApp exploitaient la fonctionnalité 'Appareils liés' de la plateforme. Les pirates ont envoyé des codes QR ou des liens malveillants qui, une fois scannés, leur permettaient de connecter leurs propres appareils aux comptes des victimes. Contrairement à Signal, WhatsApp synchronise l'historique des conversations sur les appareils liés, ce qui signifie que les attaquants pouvaient potentiellement accéder aux conversations passées ainsi qu'aux messages en temps réel.

Techniques de manipulation psychologique

Les pirates ont employé des tactiques psychologiques sophistiquées pour contourner la prudence naturelle des utilisateurs :

• Peur et urgence : Les messages créaient une pression temporelle artificielle, suggérant qu'une action immédiate était nécessaire pour éviter la suspension du compte ou des violations de sécurité
• Imitation d'autorité : Les pirates se présentaient comme des représentants de support officiels d'organisations de confiance
• Interface familière : Les messages utilisaient des marques, logos et modèles de langage identiques aux communications légitimes
• Preuve sociale : Certaines attaques référençaient d'autres 'utilisateurs affectés' pour créer un sentiment de problèmes généralisés nécessitant une attention immédiate

Kollerie a souligné que ces tactiques fonctionnent car elles exploitent des comportements humains fondamentaux : 'Cela n'a rien à voir avec la sécurité technique des applications. La sécurité est excellente, mais il s'agit de l'humain. Ils sont manipulés ici.'

Impact sur la sécurité nationale

Les services de renseignement néerlandais ont confirmé que des employés du gouvernement, du personnel militaire et potentiellement des journalistes figuraient parmi les cibles. Bien que les informations exactes compromises restent classifiées, les dommages potentiels sont significatifs. L'infrastructure de cybersécurité néerlandaise fait face à des menaces continues d'acteurs parrainés par l'État cherchant des informations sensibles sur les opérations gouvernementales, les stratégies militaires et les communications diplomatiques.

L'AIVD et le MIVD ont émis un avis cyber conjoint avertissant que bien que Signal et WhatsApp offrent un chiffrement de bout en bout, ils ne devraient pas être utilisés pour des informations gouvernementales classifiées ou hautement sensibles. L'avis note qu'une fois les comptes compromis, les pirates peuvent accéder aux messages entrants, y compris les chats de groupe, exposant potentiellement de multiples individus et organisations.

Mesures de protection et bonnes pratiques

Pour se protéger contre des attaques similaires, les experts en cybersécurité recommandent :

1. Ne jamais partager de codes de vérification : Les services légitimes ne demanderont jamais de codes de vérification par SMS ou de numéros PIN par message
2. Vérifier via des canaux alternatifs : Si contacté par le 'support', vérifier via les sites web officiels ou les méthodes de contact connues
3. Activer des fonctionnalités de sécurité supplémentaires : Utiliser des verrous d'enregistrement et l'authentification à deux facteurs lorsque disponibles
4. Surveiller l'activité du compte : Vérifier régulièrement les appareils liés et les sessions actives dans les paramètres de l'application
5. Signaler les messages suspects : Transmettre les communications suspectes aux équipes de sécurité officielles

Les agences néerlandaises recommandent spécifiquement que les utilisateurs surveillent les signes de compromission, y compris l'apparition de comptes en double dans les groupes de chat, des changements soudains de nom d'affichage qu'ils n'ont pas effectués, ou des demandes inattendues de vérification de comptes.

Implications mondiales et réponse

Cette campagne semble faire partie d'une opération mondiale plus large ciblant des fonctionnaires, du personnel militaire et des journalistes dans le monde entier. La communauté internationale de cybersécurité a noté une sophistication accrue dans les attaques d'ingénierie sociale, avec du contenu généré par l'IA rendant les communications frauduleuses de plus en plus difficiles à distinguer des messages légitimes.

Signal et WhatsApp ont tous deux publié des déclarations soulignant que leurs protocoles de chiffrement restent sécurisés et que ces attaques exploitent le comportement des utilisateurs plutôt que des vulnérabilités techniques. Les deux entreprises conseillent aux utilisateurs d'être prudents face à toute demande de vérification inattendue et d'utiliser les canaux de support officiels pour obtenir de l'aide.

Foire aux questions

Qu'est-ce que le smishing et le quishing ?

Le smishing est un hameçonnage par SMS où les attaquants envoient des messages texte frauduleux pour tromper les victimes. Le quishing est un hameçonnage par code QR où des codes QR malveillants redirigent les utilisateurs vers des sites frauduleux ou permettent la liaison d'appareils.

Comment savoir si mon compte Signal ou WhatsApp a été compromis ?

Vérifiez les appareils liés non familiers dans vos paramètres d'application, recherchez des comptes en double dans les chats de groupe, et surveillez les messages que vous n'avez pas envoyés ou les changements de nom d'affichage que vous n'avez pas effectués.

Dois-je arrêter d'utiliser Signal et WhatsApp pour les communications sensibles ?

Bien que ces applications offrent un chiffrement fort, les services de renseignement néerlandais recommandent qu'elles ne soient pas utilisées pour des informations gouvernementales classifiées. Pour les communications personnelles sensibles, elles restent sécurisées si les utilisateurs suivent les bonnes pratiques de sécurité.

Que dois-je faire si je reçois une demande de vérification suspecte ?

Ne répondez pas et ne partagez aucun code. Contactez le service via son site web officiel ou son application en utilisant des méthodes de contact connues pour vérifier la légitimité de la demande.

Ces attaques sont-elles limitées aux employés du gouvernement ?

Bien que les employés du gouvernement semblent être des cibles principales, des tactiques similaires pourraient être utilisées contre tout utilisateur. Tous les utilisateurs de Signal et WhatsApp devraient être conscients de ces techniques d'ingénierie sociale.

Sources

Avis cyber AIVD/MIVD
Rapport TechCrunch
Rapport original BNR
Expert en cybersécurité Jort Kollerie