Signal : des pirates volent la clé de vos sauvegardes en se faisant passer pour le support

Secure Backups, c'est quoi ?

En 2025, Signal, la célèbre messagerie privée, a lancé une nouvelle fonctionnalité : Secure Backups. Elle permet de sauvegarder vos messages et l'historique de vos conversations.

Pourquoi ça ? Par défaut, vos conversations sont enregistrées uniquement sur votre téléphone. S'il casse ou se perd, tout disparaît. C'est devenu un vrai problème pour les utilisateurs.

Côté sécurité, la sauvegarde quitte votre téléphone déjà chiffrée. Elle est protégée par une clé de 64 caractères qui ne transite jamais par les serveurs de Signal.

Le problème : la clé devient la cible

En mars 2026, une première campagne de phishing visait le code PIN et le code de vérification SMS. Cette campagne n'a pas très bien fonctionné. Les attaquants ont donc changé de stratégie.

Pourquoi ? Parce que cette clé permet de déchiffrer toutes vos conversations, sans autre vérification. Les premiers messages ont été signalés les 27 et 28 mai.

Comment ça se passe concrètement ?

L'attaquant vous écrit directement sur Signal en se faisant passer pour le « support ». Le message annonce que vos données risquent d'être perdues à cause d'un problème lié à votre sauvegarde.

Le message est bien écrit, d'allure professionnelle, et construit pour vous faire peur. C'est le principe de l'ingénierie sociale : vous pensez protéger vos données alors que vous êtes en train de les donner à un pirate.

Exemple publié sur X : Lien

Qui est visé ?

Les premiers signalements concernent surtout des militants et des journalistes. Ça se comprend : ils utilisent des messageries sécurisées pour éviter que leurs communications soient compromises.

Le FBI et la CISA ont ensuite publié une alerte attribuant la campagne à des acteurs russes.

Pourquoi en parler maintenant ?

Cette campagne a très peu d'écho en France. Quelques médias tech l'ont relayée, mais elle n'a pas été beaucoup expliquée au grand public. Les attaques ont pourtant un réel impact potentiel.

Le risque est réel et il ne concerne pas que les militants. Et comme il n'existe pas de correctif technique, la prévention est notre meilleure défense.

Signal peut-il faire quelque chose ?

Pas vraiment, et c'est ça qui est compliqué. Il ne s'agit pas d'une faille technique, mais d'une manipulation. Les autorités le disent clairement : aucun correctif technique ne peut empêcher quelqu'un de communiquer volontairement sa clé à un pirate.

Le seul vrai moyen de contrer ce type d'attaque, c'est la prévention. C'est pour ça que j'écris cet article.

Ce qu'il faut retenir

Signal ne vous demandera jamais votre clé, votre PIN ou votre code de vérification. Son support ne les réclame jamais.
Si un message vous indique que vous devez agir immédiatement pour éviter de perdre vos données, méfiez-vous. Vérifiez directement dans l'application, jamais via un lien reçu.
Activez le verrouillage d'inscription (Registration Lock) pour renforcer votre compte. Attention : cela n'annule pas l'accès aux sauvegardes que l'attaquant pourrait obtenir avec votre clé.
En cas de doute, demandez conseil à un proche ou à un professionnel de la cybersécurité avant d'agir.

Le risque zéro n'existe pas, mais une attaque dont on a entendu parler a beaucoup moins de chances de marcher.

Sources

Source : TechCrunch
Source : Clubic