CERTFR-2026-ALE-003 : ANSSI alerte sur les messageries

Le 20 mars 2026, le CERT-FR publie l’alerte CERTFR-2026-ALE-003 co-signée par cinq agences gouvernementales françaises simultanément : l’ANSSI, le COMCYBER, la DGA, la DGSE et la DGSI. Cette mobilisation interministérielle exceptionnelle, coordonnée par le Centre de Coordination des Crises Cyber (C4), signale une recrudescence de campagnes ciblant les comptes de messageries instantanées — Signal, WhatsApp, Telegram — de personnalités politiques, journalistes, dirigeants industriels et agents des secteurs régaliens. Le contexte est préoccupant : les méthodes employées contournent les protections classiques sans nécessiter d’exploitation technique complexe, reposant sur l’ingénierie sociale avancée, le vol de session et la compromission directe d’appareils. Dans un contexte géopolitique tendu, la co-signature de cinq agences gouvernementales sur une même alerte constitue un signal d’alarme rare que les organisations françaises ne doivent pas sous-estimer. C’est la première fois depuis plusieurs années qu’une telle convergence d’agences de renseignement et de cyberdéfense est rendue publique sous forme d’alerte commune.

L’alerte et son contexte

La référence CERTFR-2026-ALE-003 est publiée le 20 mars 2026 par le CERT-FR au nom du C4. La co-signature par l’ANSSI, le COMCYBER, la DGA, la DGSE et la DGSI est un événement rare dans l’histoire de la cybersécurité française, indiquant une menace évaluée au plus haut niveau interministériel. Les attaques visent spécifiquement les messageries instantanées chiffrées — Signal en particulier — pourtant perçues comme sécurisées. L’objectif est l’accès aux historiques de conversations, l’usurpation d’identité via le hijacking de compte, et l’atteinte à la confidentialité de communications sensibles. Pour contextualiser cette alerte dans le cadre réglementaire, consultez notre analyse de la directive NIS2 et son application en France selon l’ANSSI. La liste complète des mesures recommandées est disponible sur le site officiel du CERT-FR.

Aucun CVE spécifique n’est mentionné dans l’alerte : les vecteurs privilégiés sont l’ingénierie sociale avancée, le vol de session via des attaquants AiTM (Adversary-in-the-Middle), la compromission physique ou logicielle de l’appareil cible, et l’exploitation de fonctionnalités légitimes pour transférer un compte sur un appareil contrôlé par l’attaquant. Ces techniques partagent des caractéristiques avec les campagnes EvilTokens PhaaS contre Microsoft 365, qui utilisent également des techniques AiTM pour contourner le MFA.

Vecteurs d’attaque ciblant les messageries

Les attaques sur les messageries instantanées prennent plusieurs formes selon le profil de la cible. L’ingénierie sociale directe consiste à convaincre la victime de scanner un QR code malveillant ou de valider un transfert de compte — Signal et WhatsApp proposent des fonctionnalités multi-appareils qui peuvent être détournées sans exploitation technique. Le vol de session exploite une compromission préalable de l’appareil (malware, accès physique) pour extraire les clés de session des messageries sans intervention de la victime. La compromission de la sauvegarde cloud (iCloud, Google Drive) permet de récupérer l’historique des conversations si les sauvegardes ne sont pas chiffrées correctement. Ces vecteurs sont particulièrement efficaces contre des cibles qui utilisent leurs messageries personnelles pour des communications sensibles, comme l’analysent nos articles sur EvilGinx et le phishing AiTM avec bypass MFA.

Recommandations

• Vérifier les appareils liés à chaque compte (Signal : Paramètres > Appareils liés ; WhatsApp : Paramètres > Appareils associés) et révoquer tout appareil non reconnu
• Activer le verrouillage de registre sur Signal (Paramètres > Compte > Verrouillage du registre) pour bloquer les transferts non autorisés
• Désactiver les sauvegardes cloud des messageries sur iCloud et Google Drive, ou s’assurer qu’elles sont chiffrées de bout en bout
• Mettre à jour tous les appareils et applications immédiatement pour réduire la surface d’exploitation
• Signaler toute activité suspecte au CERT-FR : cert.ssi.gouv.fr/contact

Dans le même contexte de surveillance des communications, notre article sur Silver Fox APT et les campagnes d’espionnage illustre les méthodes utilisées par des acteurs étatiques pour compromettre les canaux de communication de leurs cibles.

Conclusion

Face à l'évolution constante des menaces, une posture de sécurité proactive est indispensable. Les techniques et recommandations présentées dans cet article constituent des fondations solides pour renforcer la résilience de votre infrastructure.