:quality(90):no_upscale()){kind=logo}
Trois gouvernements alertent, chacun de leur côté, que les applications de messagerie grand public font l'objet d'attaques
STATUT : Avis coordonné impliquant plusieurs administrations NIVEAU DE GRAVITÉ : 6/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations, du secteur de la défense et des infrastructures critiques
12 octobre 2026
·Blog
·Communications sécurisées
:quality(90):no_upscale())
Dans des avis coordonnés publiés la même semaine, le FBI, le Centre national de cybersécurité britannique et les services de renseignement néerlandais (AIVD) ont chacun averti que des acteurs soutenus par des États utilisaient désormais les plateformes de messagerie grand public comme principal vecteur d’attaque, et non plus comme une méthode parmi d’autres. Les avis émis par ces trois agences alliées retracent l’accès initial aux applications de messagerie grand public, où toute personne disposant d’un numéro de téléphone ou d’un nom d’utilisateur peut entamer une conversation et passer des semaines à gagner la confiance de sa cible avant même qu’un fichier n’apparaisse.
Que s'est-il passé ?
Le Centre national de cybersécurité du Royaume-Uni (NCSC), le FBI américain et le Service général de renseignement et de sécurité des Pays-Bas (AIVD) ont publié le 15 septembre 2026 un avis conjoint concernant CHOSEN BRICK, une famille de logiciels espions Windows utilisée contre des dissidents, des militants et des journalistes dans ces trois pays (et à l’étranger) depuis au moins 2025. L'avis ne mentionne aucun CVE. Aucune faille de la chaîne n'est exploitée. L'accent est mis sur l'accès initial. Chaque avis décrit le même schéma : usurpation d'identité d'un contact de confiance, logiciel malveillant diffusé directement via des applications de messagerie instantanée populaires, et surveillance continue menée par le biais des mêmes canaux que ceux utilisés par les victimes pour communiquer.
Les attaquants étudient leur cible, puis engagent la conversation sur WhatsApp, Telegram ou les réseaux sociaux en se faisant passer pour un contact connu ou pour le support technique, établissant ainsi une relation de confiance pendant plusieurs jours, voire plusieurs semaines, avant que le moindre fichier n'apparaisse. La charge utile est un fichier exécutable Windows déguisé en application courante : Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass et, dans certains cas, des résultats d'IRM. Lorsqu’on l’exécute, une interface plausible correspondant à l’appât s’affiche, tandis que le composant principal s’installe en arrière-plan.
Aucune application de messagerie n’a été piratée dans cette chaîne. L’aspect exploité par les attaquants est l’accessibilité. Une plateforme grand public est conçue de telle sorte que toute personne disposant d’un numéro ou d’un nom d’utilisateur puisse entamer une conversation, et que la seule façon pour la cible de vérifier qui se trouve à l’autre bout soit son propre jugement. L’avis de sécurité indique que ce jugement a failli après des semaines de contacts patients. La conception de ces attaques est délibérée. Le trafic vers des services de messagerie grand public cryptés et largement utilisés se fond dans l’activité réseau normale, contournant ainsi les équipes de sécurité et évitant la détection qui aurait autrement lieu en cas d’utilisation d’une infrastructure inconnue.
La diffusion suit la même logique. La diffusion initiale vise souvent l'appareil professionnel ou d'entreprise, et lorsque cela échoue, ou lorsque le risque de détection est jugé important, l'attaquant demande à la cible d'ouvrir le fichier sur un appareil personnel à la place. Les contrôles des appareils ne sont jamais testés de manière exhaustive par l'attaquant. Au lieu de cela, celui-ci oriente la cible vers un appareil où ces contrôles ne s'appliquent pas.
Sur l’hôte, CHOSEN BRICK persiste via une clé « Run » sous HKCU et ajoute une exclusion à Microsoft Defender. Le système de commande et de contrôle fonctionne via Telegram avec un identifiant de bot distinct pour chaque appareil victime, de sorte qu’une détection n’expose pas les autres. L’exfiltration s’effectue vers Telegram et vers des services de stockage cloud grand public. Les capacités comprennent la capture d’écran, l’enregistrement du microphone, le vol d’e-mails et de données Telegram/WhatsApp. Les agences n’ont observé aucun mouvement latéral automatisé ; le logiciel malveillant se concentre sur des appareils individuels. Aucune agence n’a publié de bilan des victimes. Les données personnelles de certaines victimes antérieures sont apparues sur des sites de fuites, ce qui ajoute la sécurité physique aux risques liés à la perte de données.
Ce qu'ils ont découvert et ce que cela signifie
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
Trois agences de sécurité nationale, issues de trois pays différents, ont confirmé de manière indépendante l'existence d'une même tendance : des acteurs soutenus par des États utilisent des applications de messagerie grand public comme principal vecteur d'attaque. | Ce ne sont pas les services de renseignement d'un seul pays qui ont signalé un problème régional isolé, mais bien trois services distincts, s'appuyant chacun sur leur propre analyse nationale des menaces, qui sont parvenus indépendamment les uns des autres à la même conclusion. | Une tendance confirmée par trois agences nationales indépendantes revêt une importance différente de celle d'un simple rapport de menace émanant d'un seul fournisseur et mérite un niveau d'attention institutionnelle correspondant. | Combien d'autres services de sécurité nationale constatent la même tendance sans avoir encore publié d'avis coordonné à ce sujet ? |
La chaîne d'attaque commence par l'usurpation de l'identité d'un contact de confiance au sein d'une application de messagerie et par l'établissement d'une relation de confiance avant de transmettre un logiciel malveillant déguisé en fichier anodin. | Cela permet de contourner le réflexe sur lequel reposent la plupart des formations à la sécurité, à savoir la méfiance envers les expéditeurs inconnus, car le contact semble être une personne que la cible connaît déjà. | Une formation de sensibilisation axée sur la reconnaissance des expéditeurs inconnus ou des messages manifestement suspects ne permet pas de faire face à une attaque consistant précisément à usurper l'identité d'une personne qui inspire déjà confiance. | La formation à la sensibilisation à la sécurité d'une organisation aborde-t-elle spécifiquement le cas de l'usurpation d'identité de contacts connus, plutôt que de se limiter aux contacts inconnus ou suspects ? |
Une souche de logiciel malveillant identifiée utilise l'infrastructure d'une application de messagerie très répandue comme canal de commande et de contrôle, acheminant les données volées via la même plateforme que celle utilisée par la victime pour ses conversations habituelles. | Le trafic malveillant conçu de cette manière est spécialement conçu pour se fondre dans l'activité réseau normale, plutôt que d'attirer l'attention des outils de détection qui surveillent les destinations inhabituelles. | Une surveillance du réseau basée sur la détection du trafic à destination d'infrastructures inconnues ou suspectes peut ne rien détecter, puisque la destination de ce trafic est un service légitime et largement utilisé. | La surveillance actuelle du réseau permet-elle de distinguer l'utilisation malveillante de l'infrastructure d'une plateforme de messagerie légitime du trafic habituel de cette plateforme ? |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
Une coordination sensible peut s'effectuer via une application de messagerie grand public, à condition que celle-ci soit cryptée. | Le chiffrement a été maintenu tout au long de cette campagne. Ce dont les attaquants avaient besoin, c'était de pouvoir entamer une conversation avec la cible, ce qu'une plateforme grand public permet à toute personne disposant d'un numéro ou d'un nom d'utilisateur. | BlackBerry® SecuSUITE® limite les contacts aux identités fournies par l'entreprise. Il n'existe aucun moyen pour une personne non enregistrée d'entamer une conversation avec un utilisateur de BlackBerry SecuSUITE . BlackBerry offre aux entreprises un canal spécialement conçu pour ce type de coordination informelle et rapide, qui repose actuellement par défaut sur les applications de messagerie grand public. |
Former le personnel à se méfier des expéditeurs inconnus permet de limiter les risques liés aux applications de messagerie. | La technique consiste à prendre contact en se faisant passer pour une connaissance ou pour le service d'assistance technique, après plusieurs jours ou semaines de relation, et le dossier montre un écran leurre fonctionnel. La méfiance envers les inconnus ne s'applique pas ici. | L'SecuSUITE BlackBerry couvre les téléphones, les tablettes, les ordinateurs portables et les postes de travail, y compris BlackBerrySecuSUITE pour Windows Desktop ; ainsi, aucune catégorie d'appareils n'oblige les collaborateurs à se rabattre sur une application grand public. |
La gestion des appareils détermine le niveau d'exposition de l'entreprise aux attaques ciblées par ingénierie sociale. | Lorsque l'appareil d'entreprise semble sur le point de bloquer ou de rendre le fichier inaccessible, l'attaquant demande à la victime de l'ouvrir sur un appareil personnel, en dehors de l'environnement géré. | BlackBerry®UEM détermine quelles applications sont autorisées sur les appareils gérés, tandis que la conteneurisation Dynamics permet de séparer les données et les comptes professionnels de l'environnement grand public. |
Mesures recommandées
IMMÉDIAT | Recherchez les éléments mentionnés dans l'alerte : persistance des clés sous HKCU, exclusions Defender ajoutées en dehors du processus de contrôle des modifications, et trafic sortant vers l'API du bot Telegram provenant d'hôtes sans justification métier. |
IMMÉDIAT | Informez le personnel de la procédure à suivre pour refuser une demande lorsqu'un contact connu, ou une personne se présentant comme un accompagnateur, prétend ne pas parvenir à ouvrir un fichier sur son ordinateur professionnel ; vous pouvez également lui suggérer d'essayer sur un appareil personnel. |
À COURT TERME | Définissez le canal officiel dédié à la coordination des informations sensibles et mettez-le à disposition sur tous les types d'appareils utilisés par le personnel (ordinateurs portables et postes de travail compris). Sachez que la suppression d'applications grand public sans canal de remplacement risque de détourner le trafic vers les appareils personnels. |
À COURT TERME | Identifiez les membres du personnel dont le profil d'exposition correspond à celui des victimes mentionnées dans l'avis, notamment ceux qui sont en contact avec des journalistes, des ONG partenaires et un large éventail de contacts. Informez-les individuellement plutôt que par le biais d'un e-mail général de sensibilisation. |
EN COURS | Dans le cadre de la modélisation des menaces, les applications de messagerie grand public doivent être considérées comme une surface d'accès initiale, au même titre que les pièces jointes aux e-mails et les supports amovibles tels que les clés USB. |
Position de BlackBerry en matière de communications sécurisées
Le chiffrement n’est pas le point faible. Le logiciel malveillant se soustrait à l’antivirus de l’hôte et gère ses commandes et son contrôle via un service déjà présent sur le réseau. Les organisations qui continuent de considérer cette application comme distincte de leur véritable dispositif de sécurité tracent une ligne que les acteurs soutenus par des États ont déjà cessé de respecter. L’achat de solutions ne doit pas se concentrer sur le choix d’un produit capable de bloquer tel ou tel fichier ou telle ou telle attaque. La solution à ces attaques réside avant tout dans l’autorisation de se connecter, de communiquer et de contacter vos collaborateurs.
Références :
Le Royaume-Uni et ses alliés dévoilent un logiciel espion utilisé par des acteurs étatiques iraniens pour cibler des dissidents, des militants et des journalistes (Centre national de cybersécurité du Royaume-Uni, 15 septembre 2026).
Ciberesquivage iranien visant des dissidents, des militants et des journalistes (Avis du Centre national de cybersécurité du Royaume-Uni, 15 septembre 2026).
:quality(90):no_upscale())