Au sein des agences gouvernementales et des organisations d'infrastructures essentielles, les responsables de la sécurité affichent une grande confiance dans la sécurité de leurs messages et communications. Le problème est que cette confiance repose souvent sur des hypothèses ou des assurances de fournisseurs, plutôt que sur les capacités et l'architecture requises face aux menaces actuelles.

BlackBerry a publié aujourd'hui son rapport « État des communications sécurisées 2026 » , une enquête menée auprès de 700 décideurs en matière de sécurité au sein des gouvernements et des infrastructures critiques aux États-Unis, au Royaume-Uni, au Canada et à Singapour. Les résultats mettent en lumière une tension manifeste : les organisations dont les missions sont essentielles s'appuient sur des outils de messagerie conçus pour la commodité, et non pour répondre aux exigences opérationnelles, de souveraineté et de protection contre les menaces propres aux environnements sécurisés.

L'« application » dans la pièce : WhatsApp, Signal et l'illusion de la sécurité

Commençons par un chiffre qui devrait faire réfléchir tous les responsables de la sécurité : 83 % des répondants indiquent que WhatsApp est utilisé pour des discussions sensibles au sein de leur organisation.

Ce n'est pas un comportement marginal, mais une pratique courante. Et cela se produit alors même que les services de renseignement américains, britanniques et européens publient de nouveaux avertissements concernant des campagnes d'espionnage d'État ciblant spécifiquement les comptes WhatsApp et Signal appartenant à des responsables politiques et des journalistes.

Le paysage des menaces s'est élargi : les attaques ciblent de plus en plus non seulement les réseaux, mais aussi les comptes, les appareils et les applications intégrés aux opérations quotidiennes.

Le chiffrement n'est pas synonyme de sécurité : la confiance repose sur des angles morts.

88 % des responsables de la sécurité se disent confiants dans la sécurité de leur application de messagerie actuelle, mais cette confiance repose souvent sur des hypothèses désuètes quant à ce que le chiffrement est censé protéger.

Le rapport souligne d'importantes lacunes dans la façon dont les responsables de la sécurité comprennent et mettent en œuvre les capacités de chiffrement.

• 52 % des répondants pensent à tort que le chiffrement protège les métadonnées, notamment les données de localisation, les adresses IP et les schémas de communication.

• 47 % pensent à tort que cela empêche l'usurpation d'identité, les deepfakes ou les attaques par spoofing.

• 41 % pensent que les communications restent sécurisées même après la compromission d'un appareil.

Le chiffrement de bout en bout (E2EE) protège le contenu des messages lors de leur transmission. Il ne protège pas les métadonnées. Il ne permet pas de vérifier l'identité du destinataire d'une conversation. Et il ne peut pas protéger les communications une fois qu'un appareil a été compromis — un scénario de plus en plus exploité par des acteurs criminels et étatiques.

Au fil du temps, le terme « chiffré » est devenu un raccourci pour « sécurisé », occultant d'importantes limitations architecturales et opérationnelles.

Le paradoxe de la souveraineté : vouloir contrôler, choisir la dépendance

Ces résultats révèlent une contradiction structurelle plus profonde. 55 % des répondants affirment que le contrôle souverain est une priorité pour leurs systèmes de communication, notamment la résidence des données sur le territoire national, l'infrastructure nationale et une exposition réduite à la juridiction étrangère.

Pourtant, 98 % de ces mêmes organisations utilisent des plateformes de messagerie grand public hébergées sur des infrastructures étrangères. Leurs serveurs et centres de données sont situés à l'étranger et soumis à des lois étrangères. Il ne s'agit pas d'un simple problème de conformité qu'une mise à jour de politique peut résoudre, mais d'une impossibilité architecturale.

Le risque dépasse le cadre de l'accès aux données. Les plateformes hébergées à l'étranger peuvent être limitées, suspendues ou fermées en fonction des décisions de politique étrangère du pays hôte, sans recours légal national. Lors d'une crise géopolitique, au moment même où la sécurité des communications est cruciale, la disponibilité et la continuité de ces services peuvent être compromises.

Par ailleurs, 52 % des répondants craignent que les réseaux de télécommunications puissent être surveillés ou perturbés, un risque déjà mis en évidence par des campagnes comme Salt Typhoon et, plus récemment, UNC3886 à Singapour. Mais la surface d'attaque s'élargit rapidement. Les attaquants ne se contentent plus de l'accès au réseau, mais ciblent de plus en plus les couches environnantes : les comptes, les appareils et les applications que les utilisateurs utilisent quotidiennement.

L'écart entre la confiance et la compétence

Ces vulnérabilités deviennent particulièrement dangereuses lorsque les organisations sont soumises à des pressions. 90 % se disent confiantes dans leur capacité à gérer un incident majeur, mais seulement 49 % disent disposer d'une plateforme unifiée pour coordonner la réponse aux crises.

En cas de crise, la plupart se rabattent sur les discussions de groupe, les échanges de courriels et les chaînes téléphoniques : des outils familiers qui n'ont jamais été conçus pour le commandement et le contrôle en temps réel ni pour une coordination interagences sécurisée.

Le piège du « suffisant »

Pris ensemble, ces résultats suggèrent que de nombreuses organisations fonctionnent sur la base d'hypothèses plutôt que de capacités validées en continu. 96 % des responsables de la sécurité sont favorables à l'obligation d'utiliser des appareils vérifiés et sécurisés pour les communications sensibles, tandis que 41 % estiment que leur système de chiffrement actuel assure déjà cette protection.

Ils veulent une infrastructure souveraine, mais utilisent des plateformes incapables de la leur fournir. Ils se disent confiants quant à leur capacité à faire face aux crises, mais n'ont pas les systèmes nécessaires pour la mettre en œuvre.

Le problème n'est pas seulement dans le chiffrement, mais aussi dans l'architecture. Les plateformes grand public génèrent et conservent des métadonnées, sont soumises à des lois étrangères sur l'accès aux données et ne disposent pas de la surveillance, des pistes d'audit et de la vérification d'identité requises par les environnements à haute sécurité.

L'échec ne réside pas dans les technologies de sécurité elles-mêmes, mais dans la traduction : entre ce que font réellement les outils de sécurité et ce que les responsables de la sécurité pensent qu'ils font.

Trois questions que tout responsable de la sécurité devrait se poser aujourd'hui

1. Quelles menaces spécifiques nos outils de communication actuels permettent-ils de contrer, et lesquelles nécessitent des contrôles distincts ? Ne présumez pas que « chiffré » signifie « sécurisé ».

2. Notre infrastructure est-elle à la hauteur de nos exigences de souveraineté ? Si votre politique exige un contrôle national, mais que vos plateformes fonctionnent sur des serveurs étrangers, ce décalage est d’ordre architectural et non procédural.

3. Si une crise survient demain, avons-nous un système unifié pour une réponse coordonnée ?  Ou bien nous fions-nous aux discussions de groupe et aux échanges de courriels ?

Ces défis révèlent un besoin plus général : des systèmes de communication conçus pour des environnements à haut risque, avec une identité vérifiée, des métadonnées contrôlées, une auditabilité et une clarté juridictionnelle.

Conçu spécifiquement pour ce qui est en jeu

^BlackBerry® Secure Communications est conçu pour répondre à ces exigences, en fournissant une communication sécurisée de niveau gouvernemental et une gestion de crise avec une identité vérifiée, un chiffrement robuste et une infrastructure souveraine configurable.

Le rapport « État des communications sécurisées 2026 » est disponible dès maintenant . Consultez-le pour évaluer le niveau de risque de votre organisation en matière de communications et comprendre les avantages d'une sécurité intégrée dès la conception.