Le chiffrement ne protège pas du phishing
Le service de renseignement allemand BfV et l’administration chargée de la sécurité numérique du pays ont publié une alerte au sujet d’attaques de phishing menées sur Signal par un « cyberacteur probablement contrôlé par l’État ».
Le service de contre-espionnage allemand BfV et le BSI (équivalent à l’ANSSI) ont communiqué conjointement pour signaler une vague de phishing sur Signal. Selon eux, un « cyberacteur probablement contrôlé par l’État » utilise la messagerie chiffrée pour viser notamment « des personnalités de haut rang issues du monde politique, militaire et diplomatique, ainsi que des journalistes d’investigation en Allemagne et en Europe ».
Des fonctions de sécurité légitimes exploitées par les pirates
« Les pirates exploitent les fonctions de sécurité légitimes des applications et les combinent avec des techniques d’ingénierie sociale. L’objectif est d’accéder discrètement aux discussions individuelles et de groupe ainsi qu’aux listes de contacts des personnes concernées », expliquent les deux agences allemandes dans un document [PDF].
Il y a tout juste un an, Google avait déjà détecté une campagne de phishing sur l’application de messagerie chiffrée menée par des pirates proches de la Russie contre des troupes militaires ukrainiennes.
Les services allemands évoquent l’utilisation de la même fonction de liaison vers un nouvel appareil via un QR-code : « Les pirates contactent leur cible sous un prétexte crédible et la persuadent de scanner un QR-Code. Ce code connecte effectivement un nouvel appareil au compte de la cible. Cependant, cet appareil est contrôlé par les pirates », expliquent-ils.
Comme Google, ils précisent que WhatsApp a le même genre de fonctionnalité qui pourrait donc tout aussi bien être utilisée de façon maligne. En décembre dernier, Gen Digital signalait justement une attaque sur la messagerie de Meta via la récupération de codes de vérification via QR code avec un lien supposé renvoyer l’utilisateur vers une photo à consulter.
Se faire passer pour l’assistance de Signal
Mais les services allemands ajoutent avoir détecté une autre manière de faire s’appuyant moins sur une fonctionnalité particulière de la messagerie que sur de l’ingénierie sociale. Ainsi, « les pirates se font passer pour l’équipe d’assistance officielle ou le chatbot d’assistance du service de messagerie (« Signal Support » ou « Signal Security ChatBot »). Ils contactent directement leur cible par message instantané. La conversation commence généralement par une prétendue alerte de sécurité. Les pirates créent également une pression immédiate en affirmant que sans action immédiate, la perte de données privées est imminente », expliquent-ils.
Et les pirates d’ajouter encore de la pression en affirmant que « seule la transmission du code PIN de sécurité privé de la personne ciblée ou d’un code de vérification reçu par SMS peut empêcher cette perte ». En récupérant le code PIN de l’utilisateur, les pirates peuvent alors s’enregistrer sur un autre appareil et contrôler la messagerie.
Encore une fois, WhatsApp n’est pas non plus à l’abri de ce genre d’attaque puisque la messagerie de Meta a, elle aussi, implémenté un système de code PIN pour sa vérification en deux étapes.