Attention, personne n’a cassé le chiffrement de Signal. Le code tient et l’infrastructure également. La vigilance de plusieurs centaines de personnes face à un stratagème vieux comme le phishing, mais exécuté avec une précision chirurgicale a été mise à mal.
Un faux support technique et de vrais dégâts
Des pirates ont créé des profils baptisés Signal Support et ont pris contact avec leurs cibles en jouant le rôle d’un service d’assistance officiel. Leur objectif était de récupérer les identifiants de connexion en s’appuyant sur la confiance accordée au nom affiché.
📩 L’actu digitale évolue vite. Restez à jour.
Recevez la newsletter quotidienne, gratuitement.
En vous inscrivant vous acceptez notre politique de protection des données personnelles.
Une fois à l’intérieur, les attaquants accédaient à l’historique des conversations, au carnet de contacts. Ils pouvaient envoyer des messages en se faisant passer pour la victime. Les comptes compromis servaient ensuite de tremplin pour atteindre d’autres cibles dans le réseau de la personne piégée.
A response to recent reporting in Germany, in service of clarity and accountability:
First, it’s important to be precise when it comes to critical infrastructure like Signal. Signal was not “hacked” — in that our encryption, infrastructure, and the integrity of the app’s code…
— Signal (@signalapp) April 27, 2026
Des noms au sommet de l’État allemand
La liste des victimes est longue et préoccupante. Julia Klöckner, présidente du Bundestag, en contact avec le chancelier Friedrich Merz. Les ministres Verena Hubertz (Logement) et Karin Prien (Éducation). Des diplomates, des officiers, des collaborateurs du renseignement, des journalistes d’investigation…
Konstantin von Notz, spécialiste de la sécurité nationale au parlement, a reconnu que plus personne ne pouvait garantir l’intégrité des échanges des députés à ce stade.
Berlin accuse Moscou
La justice fédérale allemande s’est saisie du dossier dès février 2026 sous l’angle de l’espionnage. Le BSI (l’équivalent allemand de l’ANSSI) avait émis une première alerte le 6 février. Elle avait été suivie d’une seconde le 17 avril. Selon le ministère de l’Intérieur, l’opération n’est pas terminée et continue de gagner en envergure. Le gouvernement a fini par pointer publiquement la Russie.
Ce n’est malheureusement pas un incident unique. Les autorités allemandes comptabilisent plus de 320 opérations de déstabilisation liées au Kremlin sur leur territoire rien que l’an passé. En France, le C4 (structure interministérielle qui réunit l’ANSSI, la DGSI, la DGSE et le commandement cyber) avait publié une note d’alerte il y a un mois sur le même type de campagnes. Elle visait des responsables politiques ainsi que des cadres de l’administration.
Signal promet des correctifs
La messagerie a annoncé des modifications dans le but de limiter ce genre d’attaques dans les semaines à venir, sans détailler lesquelles. Elle rappelle que jamais un employé de Signal n’écrira à un utilisateur pour lui demander un code ou un mot de passe.
En réalité, aucune app n’a une protection contre un utilisateur qui donne lui-même ses clés. Signal, WhatsApp, Telegram, le phishing fonctionne partout.