Pourquoi le chiffrement à lui seul ne suffit pas à sécuriser les communications mobiles

Republié avec l'autorisation de Cybersecurity Insiders.

Les entreprises ont passé des années à renforcer la sécurité de leurs réseaux, de leurs environnements cloud et de leurs terminaux. Si ces investissements étaient nécessaires et ont contribué à améliorer la résilience à l'échelle de l'entreprise, les communications mobiles constituent un domaine qui fait souvent l'objet de moins d'attention.

C'est important car les appareils mobiles occupent désormais une place centrale dans le fonctionnement des organisations. Des décisions importantes sont prises lors d'appels ou par message, les équipes coordonnent leurs activités entre plusieurs sites, et des informations sensibles sont régulièrement partagées via des canaux mobiles.

Pour les pouvoirs publics, les exploitants d'infrastructures critiques et les organisations soumises à une réglementation stricte, cela représente un risque évident pour la sécurité. Les communications mobiles ne constituent plus un canal secondaire, mais font désormais partie intégrante des opérations quotidiennes.

L'étude « State of Secure Communications 2026 » de BlackBerry met en évidence à quel point cette pratique est désormais courante. L'étude révèle que 83 % des responsables de la sécurité indiquent que WhatsApp est utilisé pour des échanges sensibles au sein de leur organisation.

Le problème n'est pas que les employés enfreignent délibérément la politique de sécurité. Dans de nombreux cas, ils choisissent simplement des outils accessibles et faciles à utiliser. Les partenaires externes peuvent s'appuyer sur différentes plateformes, les outils approuvés ne sont pas toujours pratiques et, en cas de perturbation, les utilisateurs se tournent souvent vers les canaux qui leur permettent de communiquer rapidement.

De ce fait, les communications mobiles font désormais partie intégrante du quotidien opérationnel des organisations, qu’elles aient été initialement conçues à cette fin ou non.

Le chiffrement est important, mais ce n'est pas tout

De nombreux débats sur la sécurité des communications mobiles commencent et se terminent par la question du chiffrement. Le chiffrement est sans aucun doute important, car il contribue à protéger le contenu d'un message pendant son acheminement. Cependant, il ne faut pas le confondre avec une stratégie complète de sécurité des communications.

Notre étude a révélé que 52 % des responsables de la sécurité estiment que le chiffrement protège les métadonnées, notamment les données de localisation, les adresses IP et les habitudes de communication. 47 % pensent qu’il empêche les attaques par usurpation d’identité, les « deepfakes » ou l’usurpation d’adresse, tandis que 41 % partent du principe que les communications restent sécurisées même après la compromission d’un appareil.

Ces conclusions laissent penser que de nombreuses organisations accordent peut-être une confiance excessive aux seules capacités offertes par le chiffrement.

Le chiffrement ne permet pas de vérifier les identités, ni de sécuriser un appareil piraté. Il n'élimine pas non plus les risques liés au hameçonnage, à l'usurpation d'identité ou à l'accès malveillant aux plateformes de communication.

Au-delà des applications de messagerie

Lorsqu'elles évaluent les systèmes de communication mobile, les organisations ne doivent pas se limiter à vérifier si une application donnée est cryptée.

Les responsables de la sécurité doivent avoir une vision globale de la situation, en tenant compte notamment de la vérification d'identité, de la sécurité des comptes, de l'exposition des métadonnées et des réseaux qui prennent en charge ces services.

Cela vaut aussi bien pour la messagerie que pour les communications vocales. Les entreprises accordent souvent une grande importance aux applications de messagerie, tout en accordant moins d’attention aux communications vocales, alors que des informations sensibles sont régulièrement échangées par téléphone.

L'objectif devrait être de comprendre où se déroulent les conversations sensibles, comment elles sont protégées et ce qui se passe si un appareil ou une plateforme est piraté.

Plus important encore, les organisations doivent prendre conscience que les pirates n'ont pas nécessairement besoin de contourner le chiffrement pour obtenir des informations précieuses. Dans de nombreux cas, il est plus facile de cibler les personnes et les appareils impliqués dans une conversation que la conversation elle-même.

Un pirate qui parvient à accéder à un compte peut se faire passer pour un contact de confiance. Un appareil compromis peut divulguer des messages une fois ceux-ci déchiffrés. Les métadonnées peuvent révéler des schémas de communication et des activités opérationnelles, même lorsque le contenu des messages reste protégé. Ces vulnérabilités se situent en dehors du canal chiffré, mais elles peuvent néanmoins avoir des conséquences importantes.

Pour les pouvoirs publics, les opérateurs d'infrastructures critiques et d'autres organisations soumises à une réglementation stricte, il devient de plus en plus important de bien cerner ces risques, dans la mesure où les communications mobiles occupent une place de plus en plus importante dans les activités quotidiennes.

Les communications mobiles doivent bénéficier du même niveau d'attention en matière de sécurité que les autres systèmes

Pour de nombreuses organisations, les communications mobiles revêtent désormais autant d’importance pour leurs activités quotidiennes que les réseaux et les applications métier. Les équipes chargées de la sécurité doivent identifier les canaux utilisés par les collaborateurs et les partenaires, déterminer les risques associés à ces canaux et évaluer si les contrôles en place sont adaptés au niveau de sensibilité des informations échangées.

Le chiffrement reste un élément important de ce débat, mais ce n'est qu'un élément parmi d'autres.

Une approche plus globale exige des organisations qu'elles se penchent sur les questions d'identité, de sécurité des appareils et de partage de l'information entre les différents canaux.

Les organisations doivent identifier les canaux utilisés par leurs collaborateurs et leurs partenaires externes, comprendre comment l'accès est contrôlé et connaître les mesures de protection mises en place en cas de compromission d'un appareil, d'un compte ou d'un service. Elles doivent également déterminer quelles informations peuvent être exposées par le biais des métadonnées, même lorsque le contenu des messages reste chiffré, et s'assurer qu'elles disposent d'une visibilité suffisante sur la manière dont les informations sensibles sont partagées.

Les communications mobiles ne fonctionnent pas en vase clos ; elles s'inscrivent au cœur des systèmes d'identité, des réseaux et des processus opérationnels dont les utilisateurs dépendent au quotidien. La sécurité dépend souvent autant des personnes, des comptes et des appareils concernés que de l'application elle-même.