Des chercheurs spécialisés dans les menaces ont découvert des groupes liés à des États qui pirataient des comptes en exploitant la fonctionnalité de liaison d'appareils de WhatsApp et en détournant le protocole OAuth

Une nouvelle étude sur les menaces identifie trois groupes distincts liés à des États qui piratent des comptes appartenant à des membres du personnel des administrations publiques, de la défense, du monde universitaire et des groupes de réflexion à travers l'Europe et les États-Unis, en utilisant les fonctionnalités légitimes des comptes WhatsApp et Google plutôt qu'en contournant le cryptage.

Ce qui s'est passé et en quoi c'est différent 

Le chiffrement a tenu bon. La limite du compte, en revanche, n'a pas tenu.

Le groupe Google Threat Intelligence a identifié trois réseaux distincts d’espionnage liés à des États, référencés sous les codes UNC6293, UNC7005 et UNC5976, qui exploitent des mécanismes d’authentification légitimes pour pirater des comptes appartenant à des membres du personnel des secteurs gouvernemental, de la défense, de l’aérospatiale, universitaire et des groupes de réflexion, en Europe et aux États-Unis.¹

La méthode employée par l’un de ces groupes en est l’exemple le plus frappant. Les victimes sont attirées vers une page se présentant comme une invitation à un appel sécurisé, à une conversation ou à un partage de documents. La page demande un numéro de téléphone, puis guide la victime à travers la procédure d’association d’appareil propre à WhatsApp : scanner un code QR, saisir un code d’association, valider un nouvel appareil. Une fois l’association effectuée, l’appareil de l’attaquant se retrouve connecté au véritable compte WhatsApp de la victime. À partir de là, l’attaquant peut participer à des appels cryptés, lire les discussions ou pousser la victime vers une deuxième compromission, qu’il s’agisse d’une page de collecte d’identifiants ou d’un téléchargement de fichier contenant un logiciel malveillant.¹

Une campagne connexe, suivie séparément sous le nom de « CaptiveCrunch », cible les voyageurs plutôt que les particuliers. Les portails Wi-Fi captifs des hôtels, centres de conférence et aéroports sont détournés, parfois par l’intermédiaire de fournisseurs de services gérés compromis disposant d’un accès administratif aux passerelles Wi-Fi. Les clients se connectant à ce qui semble être le réseau de l’hôtel sont redirigés vers l’infrastructure des attaquants, soit pour voler leurs identifiants via une fausse fenêtre de connexion Microsoft, soit pour leur transmettre un logiciel malveillant déguisé en mise à jour logicielle de routine². Le suivi indépendant de cette même activité mené par Lumen Black Lotus Labs a soulevé la possibilité que l’acteur malveillant ait compromis directement plusieurs fournisseurs de services gérés, puis ait abusé de la relation de confiance avec leurs clients pour accéder aux passerelles Wi-Fi.³

Le même schéma se retrouve dans les attaques de phishing OAuth menées par les deux autres groupes. Les victimes effectuent une véritable connexion à Google. Le compte est ensuite réattribué au pirate grâce à un jeton volé, et non à un mot de passe volé.¹

Ce qu'ils ont découvert et ce que cela signifie 

Pourquoi est-ce important ?

Mesures recommandées

Position de BlackBerry en matière de communications sécurisées

Une application de messagerie peut parfaitement tenir sa promesse en matière de chiffrement tout en livrant un compte à un pirate, car le point faible ici n’a jamais été le chiffrement lui-même. La question était de savoir quel appareil pouvait agir au nom du titulaire du compte, et un processus d’association en libre-service répond à cette question avec moins de rigueur qu’un écran de connexion ne le ferait jamais. Pour toute organisation gérant des activités sensibles, cette limite doit être gérée par l’organisation elle-même, et non laissée ouverte à n’importe quel appareil capable de scanner un code.

Références :

1. Des pirates présumés russes exploitent les liens OAuth de Google et WhatsApp pour détourner des comptes (The Hacker News, compte rendu des conclusions du Google Threat Intelligence Group, 20 août 2026).

2. CaptiveCrunch : « Midnight Blizzard » cible les voyageurs du monde entier pour diffuser des logiciels malveillants et voler leurs identifiants (Blog Microsoft Security, analyse de la campagne CaptiveCrunch, 31 juillet 2026).

3. CaptiveCrunch, 2e partie : Chaînes d'approvisionnement et autres aventures dans le monde du Wi-Fi (Lumen Black Lotus Labs, analyse de la chaîne d'approvisionnement CaptiveCrunch, 20 août 2026).