Dix millions de dollars, c’est le prix que Washington est prêt à payer pour mettre un visage sur deux groupes de hackers russes. Le Département d’État américain promet cette somme contre des informations permettant d’identifier ou de localiser des membres d’UNC5792 et UNC4221, deux collectifs liés au renseignement et à l’armée russes. Leur cible : les comptes WhatsApp et Signal de personnalités triées sur le volet.
Points clés
- Le Département d’État américain offre jusqu’à 10 millions de dollars pour identifier les membres des groupes russes UNC5792 et UNC4221
- La campagne ne casse pas le chiffrement de Signal ou WhatsApp : elle repose sur du phishing visant codes, QR codes et clés de récupération
- Le FBI et la CISA ont publié le 26 juin un avis mis à jour (PSA I-062626-PSA) liant ces groupes au FSB et aux services militaires russes
- Nouvelle tactique observée : la récupération des Backup Recovery Keys pour s’emparer de tout l’historique des conversations
Dix millions sur la table
L’annonce passe par le programme Rewards for Justice, le guichet du Département d’État qui rétribue les renseignements utiles à la sécurité nationale. La prime vise tout élément permettant d’identifier ou de localiser les membres d’UNC5792 et UNC4221.
Les deux groupes pratiquent le phishing contre des comptes de messagerie chiffrée. Au menu des cibles : responsables gouvernementaux américains et étrangers, militaires, personnalités politiques, journalistes et responsables ukrainiens.
Précision qui a son importance : le chiffrement de WhatsApp ou Signal n’est pas en cause. Les attaquants ne cassent rien du tout, ils manipulent. Ils trompent les victimes pour récupérer l’accès aux comptes ou aux mécanismes de récupération, via de faux messages de support ou des demandes de QR code et de clés de récupération.
Une campagne déjà épluchée par le FBI et la CISA
Le 26 juin, le FBI et la CISA ont publié un avis public mis à jour, référencé PSA I-062626-PSA. Le document accole les noms de suivi UNC5792 et UNC4221 à une campagne déjà signalée en mars. Le mode opératoire ? Les assaillants se font passer pour des comptes d’assistance des applications de messagerie afin de pousser les victimes à livrer leurs codes de vérification, scanner des QR codes ou autoriser des appareils inconnus.
Selon ce même avis, les opérateurs sont rattachés à plusieurs entités du renseignement russe, dont des officiers du FSB intégrés aux gardes-frontières, ainsi qu’à des services militaires. Le FBI insiste sur un point que personne n’a envie de voir mal interprété.
« Les acteurs malveillants ont compromis des comptes individuels, mais pas le chiffrement de la messagerie ni l’application elle-même. » (FBI, avis public du 26 juin)
Le phishing monte d’un cran
La nouveauté technique vise les Backup Recovery Keys, ces clés de récupération de sauvegarde qui servent à restaurer l’historique des conversations. Après avoir abusé des fonctions de liaison d’appareil, les opérateurs visent désormais directement la clé de sauvegarde. Histoire de ne plus se contenter d’un accès temporaire mais de rafler tout l’historique.
D’après les rapports publiés cette semaine, le Google Threat Intelligence Group avait déjà repéré ce détournement de la liaison d’appareil sur Signal début 2025, avant des variantes sur WhatsApp et Telegram. Les autorités néerlandaises et ukrainiennes ont relayé des alertes comparables sur des comptes appartenant à des cibles à forte valeur informationnelle.
La consigne pour les personnes visées tient en une ligne et ne change pas d’un iota : ne jamais transmettre un code, une clé de récupération ou un QR code de liaison à quiconque prétend incarner le support d’une application, et vérifier régulièrement la liste des appareils liés dans les réglages. Le chiffrement de bout en bout protège vos messages. Il ne protège pas contre un utilisateur qu’on a convaincu d’ouvrir lui-même la porte.
