Le phishing visant Signal change de cible : il vise désormais vos sauvegardes. Le FBI et la CISA (l’agence américaine de cybersécurité) alertent sur une évolution d’attaques attribuées à des acteurs liés au renseignement russe. Après les faux messages de support déjà observés au printemps, les assaillants cherchent à soutirer la clé de récupération des sauvegardes Signal. Cet identifiant peut ouvrir l’accès à l’historique complet des messages archivés.
Depuis fin mai, plusieurs médias de cybersécurité ont signalé des messages dans Signal se présentant comme un faux support technique. La victime est poussée à copier sa clé de récupération directement dans la conversation. Cette clé de 64 caractères sert à déchiffrer les sauvegardes chiffrées de Signal. Une fois obtenue, elle permet de restaurer les archives sur un autre appareil et de consulter les messages passés, pas seulement les échanges futurs.
Points clés
- Le FBI et la CISA alertent sur des attaques visant la clé de récupération des sauvegardes Signal
- Les assaillants ne cassent pas le chiffrement : ils piègent la victime via de faux comptes de support automatisé
- La fuite de cette clé de 64 caractères donne accès à tout l’historique archivé
- Le Département d’État offre jusqu’à 10 millions de dollars pour des informations sur le groupe UNC5792
Un ciblage attribué à des groupes liés à la Russie
Dans son avertissement, le FBI lie la campagne à des services de renseignement russes. Les autorités américaines parlent de groupes suivis sous les noms UNC5792 et UNC4221. L’activité vise des utilisateurs de Signal, mais aussi d’autres applications de messagerie commerciale, avec des profils particulièrement sensibles : responsables gouvernementaux actuels ou anciens, militaires, figures politiques, journalistes et personnalités liées à l’Ukraine.
Les assaillants ne cherchent pas à casser le chiffrement de Signal. Ils veulent que la cible remette volontairement sa clé, à l’aide d’un message d’apparence légitime évoquant un problème de synchronisation ou de conservation des données. Le FBI indique que le groupe opère avec de faux comptes de support automatisé.
« Les acteurs de menace du renseignement russe continuent de se faire passer pour des comptes d’assistance automatisés dans des messages de phishing mis à jour, mais ont fait évoluer leurs tactiques pour tenter d’obtenir les clés de récupération des sauvegardes des victimes. »
FBI, publication relayée avec la CISA
Sauvegardes chiffrées : le risque porte sur tout l’historique
Le point sensible tient à la fonction de sauvegarde de Signal. Les sauvegardes sont chiffrées, mais leur restauration repose sur une clé de récupération détenue par l’utilisateur. Si cette clé fuit, un attaquant peut déchiffrer l’archive et récupérer l’historique conservé. Le risque ne se limite donc pas à la lecture des messages à venir après compromission du compte.
Signal rappelle qu’il ne contacte jamais les utilisateurs pour leur demander un code d’enregistrement, un PIN ou une clé de récupération, que ce soit dans l’application, par SMS ou via un autre canal. Tout message prétendant provenir du service doit être traité comme suspect. Les publications de sécurité recommandent aussi de vérifier les appareils liés au compte et de régénérer la clé si elle a été communiquée.
Une suite à l’alerte de mars sur les messageries
Cette affaire prolonge une séquence documentée en mars par le FBI et la CISA. Les autorités mettaient déjà en garde contre des campagnes attribuées au renseignement russe, visant les applications de messagerie commerciale, avec Signal et WhatsApp parmi les cibles. Les attaques passaient notamment par le rattachement d’un nouvel appareil au compte, parfois via des QR codes ou des demandes de liaison frauduleuses.
Le changement de méthode observé en juin est direct : au lieu de viser seulement l’accès au compte, les attaquants cherchent la clé qui donne la main sur les archives. Le Département d’État américain a par ailleurs annoncé une récompense pouvant aller jusqu’à 10 millions de dollars pour des informations sur UNC5792.
