🚨 Un outil gratuit permet de “pister” l’activité de plus de 3 milliards d’utilisateurs
@WhatsApp , et
@signalapp est concerné aussi. Le plus gênant, c’est que ça peut se faire sans message visible, sans notif, et sans accès à vos messages.
Voilà comment ça marche, et surtout comment vous protéger a minima.
L’attaque ne cherche pas à lire vos conversations. Elle exploite un détail très bas niveau du fonctionnement des messageries : quand votre appli reçoit quelque chose, elle renvoie automatiquement un accusé de réception réseau, une sorte de “OK reçu”. C’est invisible pour vous, mais c’est mesurable à distance.
La mécanique, c’est le timing. En mesurant le temps que met ce “OK reçu” à revenir (le round-trip time, ou RTT), un attaquant peut déduire des infos sur l’état de votre téléphone.
Et là où ça devient sale, c’est qu’il n’a même pas besoin de vous envoyer un vrai message : la démo publique montre qu’il suffit de déclencher des réactions sur des messages… qui n’existent pas, ce qui ne génère rien côté interface, tout en provoquant quand même ces réponses techniques.
J’ai testé l’outil de démonstration en conditions contrôlées : il est fonctionnel, et c’est franchement effrayant, précisément parce que la “cible” ne voit rien. Pas de popup, pas de notification. Pourtant, l’appareil répond.
Qu’est-ce que ça permet d’inférer ?
Pas votre contenu, mais vos habitudes. Si ça répond très vite et de façon stable, c’est souvent compatible avec un téléphone actif, écran allumé, en Wi-Fi. Si c’est un peu plus lent, ça colle davantage à de la 4G/5G. Si c’est très lent, votre téléphone est probablement en veille. Si ça ne répond plus, vous êtes hors ligne ou en mode avion. Et si ça varie beaucoup, ça peut correspondre à un téléphone en déplacement. Mis bout à bout, sur des heures ou des jours, ça permet de profiler des routines : quand vous êtes chez vous, quand vous êtes actif, quand vous dormez, quand vous sortez.
Et il y a un effet secondaire : à haute fréquence, ça peut aussi vider la batterie et consommer votre data sans que vous vous en rendiez compte. Signal a déjà mis en place plus de limitations de débit, ce qui réduit l’impact, alors que WhatsApp semble plus exposé sur ce point.
Maintenant, les protections “a minima”, sans vous vendre du rêve, parce qu’il n’y a pas de bouton magique qui “désactive” ces accusés techniques.
Sur WhatsApp, activez le blocage des messages de comptes inconnus dans Réglages, puis Confidentialité, puis Avancé, avec l’option du type “Bloquer les messages des comptes inconnus”. Ça ne supprime pas le problème à la racine, mais ça peut freiner les rafales depuis des numéros que vous n’avez pas.
Ensuite, réduisez ce que vous exposez publiquement : “Vu à”, “En ligne”, photo, infos, et qui peut vous ajouter à des groupes. Même si ça ne stoppe pas l’attaque, ça enlève des signaux complémentaires qui facilitent le ciblage et le recoupement.
Sur Signal, l’idée est de sortir du réflexe “tout passe par mon numéro”. Utilisez un username, puis réglez “qui peut me trouver avec mon numéro” sur “personne”, et gardez votre PIN/verrouillage d’inscription activé. En plus, vous pouvez désactiver les accusés de lecture et l’indicateur de saisie : ce n’est pas la solution au cœur du problème, mais ça réduit l’observabilité au quotidien.
Et surtout, le conseil le plus simple, souvent oublié : protégez votre numéro. Si votre numéro est public, vous facilitez le travail de n’importe qui. Si vous êtes exposé (harcèlement, stalking, situation sensible), un numéro dédié aux messageries, séparé de votre numéro “principal”, peut réellement changer la donne.
Une piqûre de rappel : le chiffrement protège le contenu, mais pas forcément tout ce que révèlent les métadonnées de vos messageries. Et quand un PoC public montre que c’est faisable, on peut raisonnablement penser que des acteurs très outillés peuvent décliner ça autrement, et mieux.