Un expert explique : les utilisateurs de WhatsApp sont si facilement espionnés – sans même s’en apercevoir

Publié le 19 décembre 2025 à 06h02. Une faille de sécurité majeure affecte les applications de messagerie chiffrées comme WhatsApp et Signal, permettant potentiellement à des attaquants de surveiller l’activité des utilisateurs sans qu’ils s’en rendent compte.

• Des chercheurs ont découvert que des « messages silencieux » peuvent être envoyés, révélant quand un utilisateur est en ligne, dort ou se déplace.
• Cette vulnérabilité repose sur l’exploitation des confirmations de livraison, qui ne peuvent pas être désactivées sans compromettre le chiffrement de bout en bout.
• Plus de trois milliards d’utilisateurs pourraient être concernés, mais ni Meta (WhatsApp) ni la Signal Foundation n’ont encore réagi de manière significative.

Des chercheurs de l’Université de Vienne ont mis en évidence une faille de sécurité préoccupante dans les applications de messagerie populaires WhatsApp et Signal. Grâce à une technique astucieuse, des attaquants peuvent déterminer si un utilisateur est actif, même sans que celui-ci reçoive de notification visible. Cette méthode repose sur l’envoi de « messages silencieux », qui exploitent le fonctionnement interne des confirmations de livraison.

La plupart des utilisateurs de WhatsApp connaissent les coches grises et bleues qui indiquent respectivement l’envoi et la lecture d’un message. Or, ces confirmations de livraison constituent une porte d’entrée inattendue pour la surveillance. Contrairement aux accusés de lecture, il est impossible de les désactiver sans compromettre le chiffrement de bout en bout, qui est pourtant un argument de vente majeur de ces applications.

Des « messages silencieux » : un principe simple, des conséquences graves

Normalement, chaque message WhatsApp ou Signal déclenche une notification sur le smartphone de son destinataire. Mais les chercheurs ont découvert qu’il est possible d’envoyer des messages qui restent totalement invisibles, ces fameux « messages silencieux ». L’attaque consiste à envoyer une réaction – un emoji – à un message qui n’existe pas, ou à supprimer une réaction immédiatement après l’avoir envoyée. WhatsApp traite ces demandes en arrière-plan et renvoie une confirmation de livraison, sans afficher quoi que ce soit à l’utilisateur.

« L’utilisateur n’est pas au courant de l’attaque. Il n’y a aucune notification, aucun avis dans l’application, aucun moyen de reconnaître ou de bloquer les messages silencieux. »

Étude « Careless Whisper », Université de Vienne

Les chercheurs ont identifié trois techniques d’envoi de ces messages silencieux :

1. Réaction à ses propres messages : l’attaquant réagit avec un emoji à un message qu’il s’est envoyé à lui-même.
2. Suppression de la réaction : l’attaquant envoie une réaction puis la supprime immédiatement.
3. Réaction à un ID de message invalide : l’attaquant envoie une réaction à un identifiant de message inexistant. WhatsApp ne vérifie pas l’existence de ce message et envoie quand même une confirmation.

Comment votre téléphone révèle votre activité

L’attaque repose sur la mesure du temps d’aller-retour (RTT) entre l’envoi du message silencieux et la réception de la confirmation de livraison. Ce délai fournit des informations précieuses sur l’état de votre appareil :

1. Écran allumé, application active (environ 300 à 350 millisecondes) : vous utilisez activement WhatsApp ou Signal.
2. Écran allumé, application en arrière-plan (environ 500 à 1 000 ms) : votre téléphone est déverrouillé, mais vous utilisez une autre application.
3. Écran éteint, veille (environ 1 500 à 2 000 ms) : votre appareil est en mode économie d’énergie.

En envoyant continuellement des messages silencieux (toutes les quelques secondes), un attaquant peut établir un profil d’activité détaillé, apprenant ainsi vos heures de réveil, de travail, de trajet et de coucher.

Hermann Sauer, fondateur et directeur général de Comidio GmbH, a développé avec TrutzBox des solutions de confidentialité numérique. Cet expert en sécurité informatique s’engage depuis plus de 20 ans en faveur de la protection des données et de l’anonymat en ligne. Il fait partie de notre Cercle d’experts. Le contenu représente son opinion personnelle basée sur son expertise individuelle.

Ce que l’attaquant peut savoir de vous

Les possibilités de surveillance vont au-delà de la simple détection d’activité :

1. Heures de sommeil : heure précise du coucher et du lever.
2. Horaires de travail : moments où vous êtes au travail et quand vous terminez.
3. Utilisation de la messagerie : indication si vous êtes en conversation active.
4. Détection multi-appareils : utilisation de WhatsApp sur ordinateur ou sur téléphone.
5. Commutation réseau : utilisation du WiFi (domicile) ou du réseau mobile (déplacement).
6. Informations de localisation : alternance régulière entre WiFi et réseau mobile révèle vos trajets domicile-travail.

Comment se protéger (ou pas)

Malheureusement, il n’existe actuellement aucune protection complète. Les accusés de livraison ne peuvent pas être désactivés sans compromettre le chiffrement de bout en bout.

Voici ce que vous pouvez faire :

1. WhatsApp : accédez à Paramètres → Confidentialité → Avancé → « Bloquer les messages des inconnus ». Cela protège au moins contre les attaques provenant de numéros inconnus.
2. Signal : Signal ne propose pas d’option comparable.

Attention : ces options ne protègent pas contre les attaques de personnes déjà dans vos contacts.

Les chercheurs viennois ont signalé cette vulnérabilité à Meta (WhatsApp) et à la Signal Foundation en septembre 2024. La réponse a été décevante : Meta n’a pas jugé le problème suffisamment grave, et Signal n’a pas répondu.

En décembre 2025, la vulnérabilité reste exploitable. Un outil permettant d’automatiser la surveillance est même disponible en ligne. Cette situation met en lumière un problème fondamental dans l’architecture des applications de messagerie.

L’étude « Careless Whisper » souligne un dilemme moderne : les mêmes mécanismes qui permettent le chiffrement de bout en bout peuvent être détournés à des fins de surveillance. À moins que Meta et Signal ne mettent en œuvre des contre-mesures, plus de trois milliards d’utilisateurs resteront vulnérables.

Par ailleurs, le messager suisse Threema offre une alternative : cette vulnérabilité ne peut pas être exploitée car les confirmations de livraison y sont gérées différemment.

Source : Étude : « Careless Whisper : Exploiting Stealthy End-to-End Leakage in Mobile Instant Messengers » – Gegenhuber et al., Université de Vienne, 2024