Messagerie sécurisée grâce au chiffrement intégral des données, Signal a été régulièrement utilisée ces derniers mois par des pirates affiliés au Kremlin pour récupérer des informations sensibles.
Samedi, Berlin a attribué à la Russie des attaques ayant visé des responsables politiques, des militaires et des journalistes allemands depuis février, tout comme les autorités néerlandaises pour plusieurs de ses ressortissants il y a quelques semaines.
Fin mars, le FBI américain avait fait état d'une campagne similaire aux États-Unis, initiée par des «acteurs informatiques associés aux services de renseignement russes».
Dès février, Google avait, de son côté, publié une étude complète évoquant de «multiples» pirates «alignés avec la Russie» qui «s'en (prenaient) à Signal».
Comment fonctionne cette appli?
Lancé sous sa forme actuelle en 2014, ce réseau s'appuie par défaut sur la technologie dite du chiffrement «de bout en bout».
Elle consiste à chiffrer tout message dès son envoi, le déchiffrage ne s'opérant qu'à réception par le destinataire.
Durant la transmission, aucun tiers, que ce soit Signal, le système d'exploitation du smartphone ou l'opérateur téléphonique ne peuvent lire le message, protégé par le chiffrement.
Signal garantit aussi la confidentialité des métadonnées, ces informations relatives à l'utilisateur ou à son interlocuteur comme les numéros ou l'heure d'envoi ou de réception, à la différence d'autres messageries comme iMessage d'Apple ou WhatsApp de Meta, qui collectent certaines d'entre elles.
Ce chiffrement intégral vaut à Signal la réputation d'être l'une des messageries grand public les plus sécurisées au monde, même si d'autres réseaux comme Session ou Briar proposent des prestations équivalentes.
Il est prisé des usagers soucieux de protéger leurs contacts ou leurs sources, tels que les journalistes, militants, dissidents politiques ou personnels de sécurité.
Pour les mêmes raisons, c'est aussi une destination de choix pour le crime organisé.
La sécurité de Signal a-t-elle été compromise ?
Pour parvenir à leurs fins, les opérateurs accusés d'être proches de la Russie ne s'en sont pas pris au dispositif de chiffrement, qui n'a pas été compromis.
Le stratagème consiste à amener le titulaire d'un compte à en donner l'accès sans s'en rendre compte et non à forcer la sécurité du système.
C'est la technique dite de l'hameçonnage ou phishing, qui consiste pour ses auteurs à usurper l'identité d'un tiers susceptible d'inspirer confiance à l'utilisateur ciblé.
D'après les conclusions de l'enquête de Google, les personnes concernées ont surtout reçu des notifications qui paraissent émaner de Signal lui-même, par exemple une invitation à rejoindre un groupe de discussion ou une alerte de sécurité.
Sollicitée par l'AFP, Signal n'a pas donné suite dans l'immédiat.
À qui appartient Signal ?
En 2010, le spécialiste de la cybersécurité Moxie Marlinspike (Matthew Rosenfeld de son nom de naissance) et l'ingénieur informatique Stuart Anderson ont fondé Whisper Systems, qui allait donner naissance, quatre ans plus tard, à Signal.
Racheté par Twitter en 2011, Whisper Systems a ensuite logé Signal dans une entité à but non lucratif, la Signal Foundation, en 2018.
Ce statut, qui tranche avec celui de la plupart des grands réseaux, contrôlés par des entreprises privées, contribue à faire de Signal un lieu de confiance pour ses utilisateurs plus préoccupés que la moyenne des internautes par la protection de leurs données personnelles.
Le financement de la plateforme est, pour l'essentiel, assuré par des subventions et des donations.
La présidente de Signal, Meredith Whittaker, incarne le combat du réseau pour son indépendance.
«Le chiffrement de bout en bout est la technologie qui nous permet de préserver les données personnelles à une époque où la surveillance des États et des entreprises est sans précédent», a-t-elle déclaré en juillet.
Le réseau avait fait parler, bien involontairement, de lui en mars 2025 à l'occasion de révélations sur des échanges entre hauts responsables américains, sur l'application, au sujet d'une attaque militaire contre les rebelles Houthis du Yémen.
C'est l'utilisation de Signal plutôt que d'une plateforme sécurisée du gouvernement qui avait fait scandale et non une vulnérabilité éventuelle du chiffrement.
AFP
Commentaires