Washington met 8 771 000 € sur la table pour identifier deux groupes liés à la Russie, accusés d’avoir compromis des milliers de comptes Signal et WhatsApp. En ligne de mire : des campagnes de phishing visant notamment responsables américains, militaires, journalistes et figures politiques.
Washington met 8,8 millions d’euros sur la table pour remonter jusqu’aux auteurs
Le département d’État américain active une récompense pouvant atteindre 10 millions de dollars pour toute information permettant d’identifier ou de localiser des membres des groupes UNC5792 et UNC4221, deux ensembles d’acteurs suivis par les autorités américaines pour une campagne de phishing visant des comptes Signal et WhatsApp. Convertie au taux de référence de la Banque centrale européenne du 30 juin 2026, soit 1 euro = 1,1394 dollar, cette prime représente environ 8 776 549 €, soit 8 776 549 € arrondis à 8 776 549 € et, en présentation éditoriale, 8 776 549 €. Selon la BCE, 10 millions de dollars valent donc environ 8 776 549 € à la date du 30 juin 2026.
Le programme mobilisé est Rewards for Justice. Selon sa fiche officielle consacrée à UNC5792, l’offre vise des personnes agissant “sous la direction ou le contrôle d’un gouvernement étranger” et participant à des activités cyber malveillantes contre des infrastructures critiques américaines. Le point central est clair : Washington ne parle pas d’une faille cassant le chiffrement de Signal ou de WhatsApp, mais d’une chaîne d’attaque qui contourne la sécurité en trompant l’utilisateur.
Le point clé que la source d’origine résumait trop vite : le chiffrement n’a pas été cassé
C’est le détail le plus important, et aussi celui que le grand public lit souvent trop vite. Selon l’alerte conjointe publiée le 20 mars 2026 par le FBI et la CISA, les attaquants ont compromis des comptes individuels, pas le chiffrement des applications ni les applications elles-mêmes. En clair, la sécurité cryptographique tient toujours. Ce qui cède, c’est l’humain.
Cette nuance change tout. Beaucoup de titres suggèrent une compromission directe de Signal ou de WhatsApp. Les documents officiels disent l’inverse : les cybercriminels se font passer pour un support technique, envoient de faux messages d’alerte, réclament un code de vérification, un PIN de compte ou, plus récemment, une clé de récupération de sauvegarde. Dès que la cible obéit, l’attaquant lie son propre appareil au compte ou prend totalement le contrôle.
Selon le FBI et la CISA, cette campagne mondiale a déjà conduit à l’accès non autorisé à des milliers de comptes. Le chiffre exact n’est pas communiqué, mais l’ordre de grandeur suffit à montrer qu’on n’est plus face à des tentatives isolées. C’est une opération industrielle, avec ciblage, scripts de persuasion et réutilisation des comptes compromis pour piéger d’autres victimes.
Comment l’attaque fonctionne concrètement
Le premier scénario repose sur l’abus des fonctions d’appareils liés. Selon le FBI, les attaquants envoient un lien ou un QR code malveillant. Si la victime l’ouvre ou le scanne, elle autorise sans le vouloir l’ajout d’un appareil contrôlé par l’attaquant à son compte de messagerie. Résultat : le pirate lit les messages à venir, récupère les listes de contacts et peut lancer d’autres messages de phishing depuis un compte devenu crédible.
Le second scénario est plus brutal : l’attaquant réclame un code SMS, un code 2FA ou le PIN du compte. Là, il ne se contente plus d’espionner. Il reprend le compte, verrouille l’utilisateur légitime et l’utilise comme tête de pont.
La version la plus récente de la campagne est plus dangereuse encore. Dans sa mise à jour du 26 juin 2026, le FBI explique que les acteurs russes cherchent désormais à soutirer la Backup Recovery Key. Avec cette clé, ils ne lisent plus seulement les futurs messages : ils peuvent aussi récupérer l’historique sauvegardé, y compris les conversations privées et de groupe déjà échangées. C’est un saut qualitatif majeur. Mon avis est simple : à partir du moment où la campagne vise la clé de sauvegarde, on quitte le phishing opportuniste pour entrer dans l’espionnage ciblé à forte valeur.
Signal est particulièrement exposé pour une raison précise
Selon la documentation officielle de Signal, l’application autorise jusqu’à 5 appareils liés par téléphone. WhatsApp, de son côté, fonctionne généralement avec 1 téléphone principal et jusqu’à 4 appareils supplémentaires, d’après son fonctionnement public documenté par son écosystème d’aide et repris par plusieurs publications spécialisées. Cela ne rend pas Signal moins sûr sur le fond, mais cela éclaire une réalité opérationnelle : toute fonction de liaison d’appareil crée une surface d’abus si l’utilisateur valide une action qu’il n’a pas initiée.
Première métrique dérivée : Signal dispose d’un appareil lié de plus que WhatsApp, soit un écart de 25 % par rapport à la limite de 4 appareils additionnels côté WhatsApp. Ce n’est pas une preuve de risque supérieur à lui seul, mais c’est un indicateur utile pour comprendre pourquoi les fonctions de couplage deviennent un point de friction de sécurité.
Deuxième métrique dérivée : si l’on retient le seuil minimal implicite de “milliers de comptes” mentionné par le FBI, donc au moins 2 000 comptes compromis, la récompense de 10 millions de dollars équivaut à 5 000 dollars par compte au minimum, soit environ 4 388 € par compte (au taux de la BCE). Cette règle de trois n’a pas de valeur judiciaire, mais elle mesure l’importance stratégique accordée à cette opération par Washington.
Ce que les autorités américaines ajoutent par rapport à la source initiale
Le texte de départ évoquait des responsables publics, des militaires, des figures politiques et des journalistes. La fiche officielle de Rewards for Justice va plus loin et dresse un périmètre de cibles bien plus large : responsables gouvernementaux américains, diplomates, personnels de défense et de sécurité nationale, analystes et conseillers politiques, diplomates des pays membres de l’OTAN, partenaires alliés du renseignement, journalistes d’investigation couvrant la Russie, l’Ukraine et les affaires internationales, ONG soutenant l’Ukraine et chercheurs en études de sécurité.
Autrement dit, la campagne ne vise pas seulement des comptes “sensibles”. Elle vise des écosystèmes d’influence et de décision. C’est une différence de taille. Un compte compromis ne sert pas uniquement à lire des messages. Il sert aussi à cartographier des réseaux, repérer des groupes, observer des calendriers, identifier des intermédiaires et préparer d’autres opérations. Sur ce point, la lecture strictement “grand public” du sujet est trop courte.
Les faux messages reproduisent les codes du support officiel
Les exemples publiés par le FBI montrent une mécanique classique mais efficace : ton urgent, pseudo langage de sécurité, mention d’une activité suspecte, promesse de protection et demande immédiate d’action. Certains messages demandent de répondre avec un code reçu par SMS. D’autres prétendent qu’un appareil inconnu s’est connecté. D’autres encore poussent la victime à activer une sauvegarde, à afficher sa clé de récupération puis à la coller dans le chat.
Selon le FBI et la CISA, un service d’assistance légitime de messagerie ne demande pas de code de vérification dans un message direct et n’envoie pas non plus de lien pour “vérifier” ou “restaurer” un compte. Ce rappel paraît basique. Il reste pourtant décisif, parce que l’attaque se nourrit précisément d’automatismes de confiance.
Ce que disent les fiches officielles de Signal sur les sauvegardes et appareils liés
La documentation de Signal apporte plusieurs précisions utiles absentes de la source d’origine. D’abord, l’application explique que les appareils liés peuvent synchroniser les conversations et jusqu’à 45 jours de médias lors de la première configuration. Ensuite, Signal précise qu’un appareil lié est automatiquement dissocié après 45 jours d’inactivité. Enfin, la plateforme rappelle que les sauvegardes chiffrées reposent sur une clé de récupération de 64 caractères, que Signal ne peut ni récupérer ni réinitialiser pour l’utilisateur.
Ces trois détails techniques comptent. Le premier montre que l’abus d’un appareil lié peut donner de la profondeur temporelle à l’attaque. Le deuxième rappelle qu’un appareil malveillant peut rester discret pendant une période significative. Le troisième confirme qu’une victime qui divulgue sa clé de récupération remet elle-même les clés de son historique à l’attaquant. Mon avis est net : la clé de sauvegarde est désormais aussi sensible qu’un mot de passe maître.
La mise à jour du 26 juin 2026 change le niveau de gravité
L’alerte du 20 mars 2026 décrivait surtout le phishing de codes, de PIN et l’abus de liaisons d’appareils. La mise à jour du 26 juin 2026 ajoute un point beaucoup plus dur : si une victime partage sa clé de récupération de sauvegarde, cette même clé peut rester valable même après la création d’un nouveau compte avec le même numéro, tant qu’elle n’est pas régénérée dans les réglages. Selon le FBI, il faut donc générer une nouvelle clé de récupération après compromission pour invalider l’ancienne pour les futurs téléchargements.
C’est une information capitale, car elle signifie qu’un simple “je recrée mon compte” peut ne pas suffire. La remédiation exige une action supplémentaire dans les paramètres. Sans elle, l’ancien secret peut conserver de la valeur opérationnelle pour l’attaquant.
Pourquoi cette campagne mérite plus d’attention que les arnaques habituelles
On pourrait réduire l’affaire à une simple campagne de phishing. Ce serait une erreur. Selon Rewards for Justice, UNC5792 est associé aux gardes-frontières du FSB, tandis que UNC4221 agit pour les services militaires russes. Selon le FBI, les cibles incluent des profils à haute valeur de renseignement. On n’est donc pas sur une fraude orientée argent rapide, mais sur une collecte structurée de communications sensibles.
Autre point nouveau : la fiche officielle indique que certains acteurs ont modifié de vraies pages d’invitation à des groupes pour rediriger les utilisateurs vers une URL malveillante reliant un appareil contrôlé par les attaquants au compte Signal de la victime. Cette précision dépasse la simple arnaque au faux support. Elle montre un travail plus fin sur les parcours réels des utilisateurs.
Les gestes de défense utiles, sans folklore sécurité
Le premier réflexe consiste à ne jamais transmettre de code de vérification, de PIN, de mot de passe ni de clé de récupération. Selon l’assistance officielle de Signal, le support Signal ne contacte pas les utilisateurs pour demander ces éléments. Même logique côté autorités américaines : un message qui demande ces secrets doit être considéré comme hostile.
Le deuxième réflexe consiste à vérifier la liste des appareils liés. Selon Signal, cette vérification se fait directement dans les réglages du compte. Le troisième consiste à ne pas cliquer sur des liens de “sécurisation” reçus par message ; il faut ouvrir soi-même l’application ou le site officiel du service. Le quatrième consiste à régénérer la clé de récupération après incident si une sauvegarde a été exposée. Le cinquième consiste à prévenir rapidement l’équipe sécurité, l’employeur ou l’autorité compétente quand le compte sert à des échanges professionnels.
Le vrai enseignement, ici, est simple : le chiffrement de bout en bout protège le transport du message, pas une action volontaire de l’utilisateur qui remet l’accès au mauvais interlocuteur. C’est brutal, mais factuel.
Un dossier qui dépasse largement Signal et WhatsApp
La campagne citée par le FBI vise les “commercial messaging applications”, pas une seule application. Le document du 20 mars 2026 précise d’ailleurs que les méthodes peuvent s’appliquer à d’autres messageries comparables. Le sujet n’est donc pas la faiblesse d’une marque en particulier. Le sujet, c’est l’exploitation des fonctions de confort modernes : liaison multi-appareils, restauration, migration et support utilisateur simulé.
Dit autrement : plus les messageries ajoutent de souplesse pour synchroniser les échanges entre téléphone, tablette et ordinateur, plus les attaquants essaient de détourner ces mêmes options. Le marché a choisi la fluidité. Les services de renseignement et groupes affiliés exploitent désormais cette fluidité comme point d’entrée.
Le seul lien utile à conserver
Pour suivre l’offre officielle et les modalités de signalement, la page d’autorité à retenir est celle de Rewards for Justice : https://rewardsforjustice.net/rewards/unc5792/.
Mon avis :
Cette annonce frappe juste sur le signal politique: 8 752 000 € de prime montrent que Washington traite enfin le phishing de comptes Signal et WhatsApp comme une menace d’État. Sa limite reste pratique: une récompense n’empêche ni les faux messages d’assistance ni le vol de codes, qui exploitent d’abord l’erreur humaine.
