%3Aquality(100)&w=640&q=75){kind=logo}
Le chiffrement à lui seul n'est pas une stratégie de sécurité
Les applications grand public manquent de contrôles d'identité et de contrôle des appareils, ce qui expose les données sensibles à des risques.
11 mars 2026
·Blogue
·Communications sécurisées
%3Aquality(100)&w=3840&q=75)
Les services de renseignement néerlandais ont confirmé ce que les architectes de la sécurité des entreprises savent depuis longtemps : les applications de messagerie grand public, quel que soit leur système de chiffrement, sont structurellement inadaptées aux communications sensibles des gouvernements et des forces armées. La raison n'est pas la cryptographie, mais l'absence totale de vérification d'identité et de contrôle d'enregistrement des appareils.
Campagne mondiale. Applications grand public. Résultats prévisibles.
Le 9 mars 2026, le Service de renseignement militaire et de sécurité (MIVD) et le Service général de renseignement et de sécurité (AIVD) des Pays-Bas ont publié un avis conjoint confirmant une vaste campagne coordonnée menée par l'État russe pour compromettre les comptes d' applications de messagerie sécurisée grand public utilisées par des responsables gouvernementaux, des fonctionnaires, des militaires et des journalistes. Des employés du gouvernement néerlandais font partie des victimes confirmées.
La méthode technique utilisée est précise et discrète : il s’agit d’ingénierie sociale, et non d’exploitation de failles zero-day. Les attaquants se sont fait passer pour les équipes de soutien de ces plateformes grand public, contactant directement leurs victimes avec de faux avertissements concernant une « activité suspecte » ou de « fuites de données potentielles ». Les victimes qui ont répondu ont été manipulées afin d’obtenir leurs codes de vérification par texto et leurs NIP, donnant ainsi accès à l’intégralité de leurs comptes sans qu’aucune ligne de logiciel malveillant ne soit déployée.
Dans une deuxième technique, les attaquants exploitent les fonctionnalités de liaison d'appareils conçues pour faciliter l'accès aux comptes depuis un appareil secondaire, comme un ordinateur portable. Une fois détournée, cette faille donne accès à l'historique des messages, les victimes ignorant souvent avoir été compromises. Ces deux techniques ont une cause commune : les applications de messagerie grand public authentifient les utilisateurs avec un numéro de téléphone et un code. Aucune identité n'est vérifiée. L'inscription des appareils n'est pas contrôlée. La faille est intégrée au produit.
« Malgré leur option de chiffrement de bout en bout, les applications de messagerie grand public ne doivent pas être utilisées comme canaux pour des informations classifiées, confidentielles ou sensibles. »
— Vice-amiral Peter Reesink, directeur du renseignement militaire néerlandais (MIVD)
Le fossé entre l'identité et l'appareil que personne ne veut nommer
Cette campagne n'a pas compromis le chiffrement. Elle n'a pas nécessité l'exploitation d'une faille zero-day. Un simple numéro de téléphone, un texto et une cible n'ayant aucune raison de soupçonner que sa plateforme de messagerie ne permettait pas de vérifier l'identité de l'expéditeur ont suffi.
Les applications de messagerie grand public sont conçues pour une adoption massive. L'authentification est simplifiée par nature : un numéro de téléphone, un code SMS à usage unique et un NIP facultatif. L'enregistrement des appareils est entièrement automatisé : les utilisateurs peuvent connecter des appareils secondaires en scannant un code QR. Les procédures de récupération de compte permettent d'accéder au compte sans l'appareil d'origine. Chacune de ces fonctionnalités est un choix judicieux pour une application grand public utilisée par des milliards de personnes. Chacune d'elles représente cependant une faille de sécurité inacceptable dans un environnement de communications classifiées ou sensibles.
Facteur d'attaque | Détail |
Vecteur d'attaque | Ingénierie sociale ciblant les utilisateurs d'applications de messagerie grand public via l'usurpation d'identité de la plateforme |
Méthode d'exploitation | Hameçonnage pour les codes de vérification par SMS et les numéros NIP — des identifiants dont les applications grand public dépendent par conception |
Technique secondaire | Utilisation abusive des fonctionnalités de liaison d'appareils secondaires par des codes QR malveillants |
Défaillance à la racine | Aucun contrôle de l'appareil, aucun lien d'identité, aucun contrôle de session administrative |
Données visées | Séances actives, discussions de groupe et archives complètes des messages historiques |
Difficulté à détecter | Élevé — les victimes ignorent souvent que le compte a été lié à un dispositif hostile |
Acteur menaçant | Groupes APT soutenus par l'État russe (confirmés par les services néerlandais MIVD et AIVD, mars 2026) |
Ce n'est pas un incident isolé. En 2025, Google Threat Intelligence a documenté le déploiement de tactiques identiques par des acteurs russes contre des militaires ukrainiens : insertion de codes QR malveillants dans des pages d'hameçonnage conçues pour ressembler à des applications militaires officielles. L'avis de sécurité néerlandais confirme que ces mêmes TTP sont maintenant utilisées à grande échelle contre des cibles gouvernementales de l'OTAN. Parmi les acteurs impliqués figurent APT44 (Sandworm) et UNC5792, agissant sous le contrôle direct de l'État russe.
La vérification de l'identité et de l'appareil ne sont pas des fonctionnalités. Ce sont des prérequis.
La mise en œuvre de communications sécurisées comporte deux niveaux incontournables. Le premier concerne la sécurité du canal : un chiffrement de bout en bout qui protège le contenu des messages lors de leur transmission et de leur stockage. Les applications de messagerie grand public ont largement réglé ce problème. Le deuxième niveau, celui qui a été exploité dans l’avis de sécurité néerlandais, concerne l’identité et l’intégrité des appareils : une garantie cryptographique que l’expéditeur d’un message est bien la personne authentifiée par l’organisation, sur un appareil contrôlé par celle-ci.
Sans ces deux niveaux de protection, le chiffrement du canal est comme une porte verrouillée dont on laisse la clé à l'extérieur. La faille de sécurité néerlandaise n'a pas eu besoin de forcer la serrure. Il a suffi de demander à quelqu'un de remettre la clé, et le système était incapable de vérifier la légitimité de cette demande.
L'exigence de sécurité à deux niveaux
Couche 1 — Sécurité du canal : Chiffrement de bout en bout avec gestion des clés au sein de l’entreprise. Le contenu des messages est protégé en transit et au repos grâce à des clés cryptographiques qui restent toujours sous le contrôle de l’organisation.
Couche 2 — Identité et intégrité de l’appareil : Identité de l’utilisateur vérifiée par cryptographie et liée à un appareil géré par l’entreprise. Aucune inscription sans autorisation administrative. Aucun accès sans la présence des deux facteurs.
Les communications sécurisées BlackBerry sont la norme pour les missions essentielles
BlackBerry® Secure Communications a été conçu pour sécuriser les deux niveaux de sécurité. La surface d'attaque exploitée dans l'avis de sécurité néerlandais n'existe pas dans l'architecture de la solution BlackBerry, car les conditions structurelles qui l'ont rendue possible (inscription des appareils en libre-service, authentification par SMS, procédures de récupération des comptes clients) n'ont jamais été mises en place .
01 | Couche de base de vérification d'identité cryptographique Chaque utilisateur de BlackBerry Secure Communications est inscrit avec une authentification cryptographique unique, émise et gérée par l'entreprise. L'authentification ne repose pas sur un numéro de téléphone ni sur un code SMS à usage unique. Aucun pirate ne peut hameçonner cette authentification, car aucune authentification de ce type n'est possible. L'identité est vérifiée lors de l'inscription et revérifiée à chaque session. |
02 | Couche de base d'enregistrement des appareils contrôlée par l'entreprise L'inscription des appareils à BlackBerry Secure Communications se fait exclusivement par le biais d'une procédure d'approvisionnement autorisée par l'entreprise. Aucun utilisateur ne peut inscrire lui-même un appareil secondaire. Aucun code QR numérisé en dehors de cette procédure ne permet d'associer un appareil à un compte. L'ensemble des techniques d'association d'appareils utilisées lors de la campagne néerlandaise est, de fait, impossible. |
03 | Liaison de session et attestation continue de l'appareil Couche de fondation Les sessions actives sont liées à l'appareil vérifié. Si un appareil est remplacé, perdu ou présente un comportement anormal, la session est invalidée. L'attestation continue garantit qu'un appareil vérifié ne peut pas être remplacé discrètement pendant la session. Les administrateurs reçoivent des alertes en cas d'activité anormale d'un appareil et peuvent interrompre les sessions à distance et en temps réel. |
04 | Chiffrement de bout en bout avec propriété des clés d'entreprise Les clés de chiffrement sont générées et gérées au sein de l'entreprise, et non par une plateforme tierce. Aucun fournisseur externe de gestion des clés ne peut être usurpé, car l'autorité en matière de clés reste au sein de l'organisation. Les organisations conservent ainsi la maîtrise totale de leurs données cryptographiques et peuvent appliquer des politiques de rotation, de révocation et d'audit des clés. |
05 | Vérification administrative, vérification de l'accès et effacement à distance Chaque inscription, session, connexion d'appareil et événement d'accès est enregistré et auditable par les administrateurs de l'entreprise. Un contrôle d'accès basé sur les rôles détermine qui peut communiquer avec qui. Les appareils compromis ou perdus peuvent être effacés à distance. L'accès silencieux prolongé qui a caractérisé la faille de sécurité aux Pays-Bas — les victimes ignorant tout pendant des jours, voire des semaines — est difficile à maintenir dans un environnement offrant une visibilité administrative complète. |
06 | Aucune dépendance à l'infrastructure infonuagique grand public BlackBerry Secure Communications ne fait transiter aucune donnée par l'infrastructure infonuagique du consommateur ni par des serveurs tiers. Les données des messages demeurent sous le contrôle de l'organisation. Il n’existe aucune procédure de récupération de compte utilisateur susceptible d’être détournée, aucun service d’assistance externe permettant une usurpation d’identité, et aucune modification de la politique de la plateforme pouvant altérer la sécurité de l’organisation sans son autorisation explicite. |
07 | Cryptographie validée FIPS 140-2 et déploiement souverain Pour les déploiements gouvernementaux et de défense, BlackBerry Secure Communications prend en charge le chiffrement validé FIPS 140-2 et le déploiement sur place ou dans le nuage souverain. La sécurité est gérée par l'organisation, et non par la feuille de route du produit ou les conditions d'utilisation d'une plateforme grand public. |
La norme change. L'écart persiste.
La déclaration du directeur du MIVD constitue la directive officielle la plus claire que le secteur de la sécurité ait reçue depuis des années. La messagerie chiffrée grand public ne peut pas remplacer les communications sécurisées de niveau entreprise. L'avis néerlandais ne présage pas d'une nouvelle attaque ; il représente la conséquence inévitable et prévisible du déploiement d'outils conçus pour le grand public dans des environnements exigeant une résistance aux attaques.
La surface d'attaque n'est pas une vulnérabilité qui sera corrigée par un simple correctif. Il s'agit d'une caractéristique architecturale inhérente aux applications de messagerie grand public, qu'il est impossible de supprimer sans compromettre leur ergonomie, pourtant essentielle à leur commercialisation. Les organisations qui exigent des communications sécurisées pour des informations classifiées, sensibles ou critiques pour leurs opérations ont besoin d'une plateforme conçue dès le départ pour répondre à cette exigence, avec une identité vérifiée et un enrôlement contrôlé des appareils comme couches fondamentales et indispensables.
Les applications de messagerie grand public chiffrent les communications. Elles ne vérifient pas l'identité de la personne ni ne contrôlent l'appareil. Ces deux failles ne sont pas des cas isolés : elles constituent l'attaque. Toute organisation gérant des communications sensibles doit se demander si ces failles sont acceptables. Pour les employés du gouvernement néerlandais dont les comptes ont été compromis en mars 2026, la réponse est arrivée avant même qu'ils aient à se poser la question.
Le chiffrement à lui seul n'est pas une stratégie de sécurité
Les applications grand public manquent de contrôles d'identité et de contrôle des appareils, ce qui expose les données sensibles à des risques.
11 mars 2026
·Blogue
·Communications sécurisées
Les services de renseignement néerlandais ont confirmé ce que les architectes de la sécurité des entreprises savent depuis longtemps : les applications de messagerie grand public, quel que soit leur système de chiffrement, sont structurellement inadaptées aux communications sensibles des gouvernements et des forces armées. La raison n'est pas la cryptographie, mais l'absence totale de vérification d'identité et de contrôle d'enregistrement des appareils.
Campagne mondiale. Applications grand public. Résultats prévisibles.
Le 9 mars 2026, le Service de renseignement militaire et de sécurité (MIVD) et le Service général de renseignement et de sécurité (AIVD) des Pays-Bas ont publié un avis conjoint confirmant une vaste campagne coordonnée menée par l'État russe pour compromettre les comptes d' applications de messagerie sécurisée grand public utilisées par des responsables gouvernementaux, des fonctionnaires, des militaires et des journalistes. Des employés du gouvernement néerlandais font partie des victimes confirmées.
La méthode technique utilisée est précise et discrète : il s’agit d’ingénierie sociale, et non d’exploitation de failles zero-day. Les attaquants se sont fait passer pour les équipes de soutien de ces plateformes grand public, contactant directement leurs victimes avec de faux avertissements concernant une « activité suspecte » ou de « fuites de données potentielles ». Les victimes qui ont répondu ont été manipulées afin d’obtenir leurs codes de vérification par texto et leurs NIP, donnant ainsi accès à l’intégralité de leurs comptes sans qu’aucune ligne de logiciel malveillant ne soit déployée.
Dans une deuxième technique, les attaquants exploitent les fonctionnalités de liaison d'appareils conçues pour faciliter l'accès aux comptes depuis un appareil secondaire, comme un ordinateur portable. Une fois détournée, cette faille donne accès à l'historique des messages, les victimes ignorant souvent avoir été compromises. Ces deux techniques ont une cause commune : les applications de messagerie grand public authentifient les utilisateurs avec un numéro de téléphone et un code. Aucune identité n'est vérifiée. L'inscription des appareils n'est pas contrôlée. La faille est intégrée au produit.
« Malgré leur option de chiffrement de bout en bout, les applications de messagerie grand public ne doivent pas être utilisées comme canaux pour des informations classifiées, confidentielles ou sensibles. »
— Vice-amiral Peter Reesink, directeur du renseignement militaire néerlandais (MIVD)
Le fossé entre l'identité et l'appareil que personne ne veut nommer
Cette campagne n'a pas compromis le chiffrement. Elle n'a pas nécessité l'exploitation d'une faille zero-day. Un simple numéro de téléphone, un texto et une cible n'ayant aucune raison de soupçonner que sa plateforme de messagerie ne permettait pas de vérifier l'identité de l'expéditeur ont suffi.
Les applications de messagerie grand public sont conçues pour une adoption massive. L'authentification est simplifiée par nature : un numéro de téléphone, un code SMS à usage unique et un NIP facultatif. L'enregistrement des appareils est entièrement automatisé : les utilisateurs peuvent connecter des appareils secondaires en scannant un code QR. Les procédures de récupération de compte permettent d'accéder au compte sans l'appareil d'origine. Chacune de ces fonctionnalités est un choix judicieux pour une application grand public utilisée par des milliards de personnes. Chacune d'elles représente cependant une faille de sécurité inacceptable dans un environnement de communications classifiées ou sensibles.
Facteur d'attaque | Détail |
Vecteur d'attaque | Ingénierie sociale ciblant les utilisateurs d'applications de messagerie grand public via l'usurpation d'identité de la plateforme |
Méthode d'exploitation | Hameçonnage pour les codes de vérification par SMS et les numéros NIP — des identifiants dont les applications grand public dépendent par conception |
Technique secondaire | Utilisation abusive des fonctionnalités de liaison d'appareils secondaires par des codes QR malveillants |
Défaillance à la racine | Aucun contrôle de l'appareil, aucun lien d'identité, aucun contrôle de session administrative |
Données visées | Séances actives, discussions de groupe et archives complètes des messages historiques |
Difficulté à détecter | Élevé — les victimes ignorent souvent que le compte a été lié à un dispositif hostile |
Acteur menaçant | Groupes APT soutenus par l'État russe (confirmés par les services néerlandais MIVD et AIVD, mars 2026) |
Ce n'est pas un incident isolé. En 2025, Google Threat Intelligence a documenté le déploiement de tactiques identiques par des acteurs russes contre des militaires ukrainiens : insertion de codes QR malveillants dans des pages d'hameçonnage conçues pour ressembler à des applications militaires officielles. L'avis de sécurité néerlandais confirme que ces mêmes TTP sont maintenant utilisées à grande échelle contre des cibles gouvernementales de l'OTAN. Parmi les acteurs impliqués figurent APT44 (Sandworm) et UNC5792, agissant sous le contrôle direct de l'État russe.
La vérification de l'identité et de l'appareil ne sont pas des fonctionnalités. Ce sont des prérequis.
La mise en œuvre de communications sécurisées comporte deux niveaux incontournables. Le premier concerne la sécurité du canal : un chiffrement de bout en bout qui protège le contenu des messages lors de leur transmission et de leur stockage. Les applications de messagerie grand public ont largement réglé ce problème. Le deuxième niveau, celui qui a été exploité dans l’avis de sécurité néerlandais, concerne l’identité et l’intégrité des appareils : une garantie cryptographique que l’expéditeur d’un message est bien la personne authentifiée par l’organisation, sur un appareil contrôlé par celle-ci.
Sans ces deux niveaux de protection, le chiffrement du canal est comme une porte verrouillée dont on laisse la clé à l'extérieur. La faille de sécurité néerlandaise n'a pas eu besoin de forcer la serrure. Il a suffi de demander à quelqu'un de remettre la clé, et le système était incapable de vérifier la légitimité de cette demande.
L'exigence de sécurité à deux niveaux
Couche 1 — Sécurité du canal : Chiffrement de bout en bout avec gestion des clés au sein de l’entreprise. Le contenu des messages est protégé en transit et au repos grâce à des clés cryptographiques qui restent toujours sous le contrôle de l’organisation.
Couche 2 — Identité et intégrité de l’appareil : Identité de l’utilisateur vérifiée par cryptographie et liée à un appareil géré par l’entreprise. Aucune inscription sans autorisation administrative. Aucun accès sans la présence des deux facteurs.
Les communications sécurisées BlackBerry sont la norme pour les missions essentielles
BlackBerry® Secure Communications a été conçu pour sécuriser les deux niveaux de sécurité. La surface d'attaque exploitée dans l'avis de sécurité néerlandais n'existe pas dans l'architecture de la solution BlackBerry, car les conditions structurelles qui l'ont rendue possible (inscription des appareils en libre-service, authentification par SMS, procédures de récupération des comptes clients) n'ont jamais été mises en place .
01 | Couche de base de vérification d'identité cryptographique Chaque utilisateur de BlackBerry Secure Communications est inscrit avec une authentification cryptographique unique, émise et gérée par l'entreprise. L'authentification ne repose pas sur un numéro de téléphone ni sur un code SMS à usage unique. Aucun pirate ne peut hameçonner cette authentification, car aucune authentification de ce type n'est possible. L'identité est vérifiée lors de l'inscription et revérifiée à chaque session. |
02 | Couche de base d'enregistrement des appareils contrôlée par l'entreprise L'inscription des appareils à BlackBerry Secure Communications se fait exclusivement par le biais d'une procédure d'approvisionnement autorisée par l'entreprise. Aucun utilisateur ne peut inscrire lui-même un appareil secondaire. Aucun code QR numérisé en dehors de cette procédure ne permet d'associer un appareil à un compte. L'ensemble des techniques d'association d'appareils utilisées lors de la campagne néerlandaise est, de fait, impossible. |
03 | Liaison de session et attestation continue de l'appareil Couche de fondation Les sessions actives sont liées à l'appareil vérifié. Si un appareil est remplacé, perdu ou présente un comportement anormal, la session est invalidée. L'attestation continue garantit qu'un appareil vérifié ne peut pas être remplacé discrètement pendant la session. Les administrateurs reçoivent des alertes en cas d'activité anormale d'un appareil et peuvent interrompre les sessions à distance et en temps réel. |
04 | Chiffrement de bout en bout avec propriété des clés d'entreprise Les clés de chiffrement sont générées et gérées au sein de l'entreprise, et non par une plateforme tierce. Aucun fournisseur externe de gestion des clés ne peut être usurpé, car l'autorité en matière de clés reste au sein de l'organisation. Les organisations conservent ainsi la maîtrise totale de leurs données cryptographiques et peuvent appliquer des politiques de rotation, de révocation et d'audit des clés. |
05 | Vérification administrative, vérification de l'accès et effacement à distance Chaque inscription, session, connexion d'appareil et événement d'accès est enregistré et auditable par les administrateurs de l'entreprise. Un contrôle d'accès basé sur les rôles détermine qui peut communiquer avec qui. Les appareils compromis ou perdus peuvent être effacés à distance. L'accès silencieux prolongé qui a caractérisé la faille de sécurité aux Pays-Bas — les victimes ignorant tout pendant des jours, voire des semaines — est difficile à maintenir dans un environnement offrant une visibilité administrative complète. |
06 | Aucune dépendance à l'infrastructure infonuagique grand public BlackBerry Secure Communications ne fait transiter aucune donnée par l'infrastructure infonuagique du consommateur ni par des serveurs tiers. Les données des messages demeurent sous le contrôle de l'organisation. Il n’existe aucune procédure de récupération de compte utilisateur susceptible d’être détournée, aucun service d’assistance externe permettant une usurpation d’identité, et aucune modification de la politique de la plateforme pouvant altérer la sécurité de l’organisation sans son autorisation explicite. |
07 | Cryptographie validée FIPS 140-2 et déploiement souverain Pour les déploiements gouvernementaux et de défense, BlackBerry Secure Communications prend en charge le chiffrement validé FIPS 140-2 et le déploiement sur place ou dans le nuage souverain. La sécurité est gérée par l'organisation, et non par la feuille de route du produit ou les conditions d'utilisation d'une plateforme grand public. |
La norme change. L'écart persiste.
La déclaration du directeur du MIVD constitue la directive officielle la plus claire que le secteur de la sécurité ait reçue depuis des années. La messagerie chiffrée grand public ne peut pas remplacer les communications sécurisées de niveau entreprise. L'avis néerlandais ne présage pas d'une nouvelle attaque ; il représente la conséquence inévitable et prévisible du déploiement d'outils conçus pour le grand public dans des environnements exigeant une résistance aux attaques.
La surface d'attaque n'est pas une vulnérabilité qui sera corrigée par un simple correctif. Il s'agit d'une caractéristique architecturale inhérente aux applications de messagerie grand public, qu'il est impossible de supprimer sans compromettre leur ergonomie, pourtant essentielle à leur commercialisation. Les organisations qui exigent des communications sécurisées pour des informations classifiées, sensibles ou critiques pour leurs opérations ont besoin d'une plateforme conçue dès le départ pour répondre à cette exigence, avec une identité vérifiée et un enrôlement contrôlé des appareils comme couches fondamentales et indispensables.
Les applications de messagerie grand public chiffrent les communications. Elles ne vérifient pas l'identité de la personne ni ne contrôlent l'appareil. Ces deux failles ne sont pas des cas isolés : elles constituent l'attaque. Toute organisation gérant des communications sensibles doit se demander si ces failles sont acceptables. Pour les employés du gouvernement néerlandais dont les comptes ont été compromis en mars 2026, la réponse est arrivée avant même qu'ils aient à se poser la question.
%3Aquality(100)&w=3840&q=75)