Les utilisateurs de WhatsApp sont confrontés à une menace croissante pour la sécurité de leurs conversations, avec l’émergence d’attaques sophistiquées capables de contourner le cryptage standard des appareils. Face à ces risques, les experts en sécurité insistent sur l’importance cruciale des sauvegardes chiffrées de bout en bout pour protéger durablement l’historique des échanges.
La semaine a été marquée par la découverte de deux types d’attaques distinctes. Le 23 décembre, des chercheurs de Koi Security ont mis en évidence une attaque de la chaîne d’approvisionnement, baptisée « Caution Lotus », qui a déjà compromis des milliers de développeurs et, par extension, leurs utilisateurs. Parallèlement, on observe une recrudescence des attaques d’ingénierie sociale, connues sous le nom de « GhostPairing », ciblant directement les utilisateurs de WhatsApp.
« Caution Lotus » se dissimule dans un paquet npm malveillant, déguisé en bibliothèque API Web WhatsApp légitime. Ce paquet, un fork de la bibliothèque populaire @whiskeysockets/baileys, a été téléchargé plus de 56 000 fois avant d’être détecté. Contrairement aux logiciels malveillants traditionnels, Lotusbail fonctionne comme prévu, permettant aux développeurs d’intégrer les fonctionnalités de WhatsApp tout en exécutant un processus malveillant en arrière-plan.
Selon Tuval Admoni, chercheur principal chez Koi Security : « Lorsque vous utilisez cette bibliothèque pour l’authentification, vous ne faites pas que relier votre application, vous reliez également l’appareil de l’attaquant. » Il explique que cela donne aux attaquants un accès permanent et complet au compte WhatsApp de la victime, sans que celle-ci ne s’en aperçoive.
Le malware détourne la connexion WebSocket utilisée pour lier les appareils sur WhatsApp. Une fois qu’un développeur ou un utilisateur se connecte via la bibliothèque compromise, Lotusbail intercepte les clés de session et les jetons d’authentification, créant ainsi une session « fantôme » qui ajoute l’appareil de l’attaquant au compte de la victime comme client de confiance. Cela permet aux attaquants de synchroniser l’historique des messages, de télécharger des médias et de lire les conversations en temps réel, contournant ainsi le cryptage standard.
L’attaque « GhostPairing », quant à elle, exploite la fonctionnalité multi-appareils de WhatsApp via l’ingénierie sociale. Elle commence par un message provenant d’un contact compromis, souvent promettant une photo ou un lien. Si la victime clique sur le lien, une fausse page de vérification apparaît, demandant un numéro de téléphone ou un scan de code QR. Cette action déclenche une requête légitime d’association d’appareil dans le navigateur de l’attaquant. Si l’utilisateur complète le processus, il autorise inconsciemment le navigateur de l’attaquant comme appareil lié.
L’équipe indienne d’intervention en cas d’urgence informatique (CERT-In) a émis une alerte le 24 décembre, avertissant que « des acteurs malveillants exploitent la fonctionnalité de liaison d’appareils de WhatsApp pour prendre le contrôle de comptes… sans exigence d’authentification ». Une fois la liaison réussie, les attaquants obtiennent un « contrôle total » du compte, sans avoir besoin du mot de passe ou de la carte SIM de l’utilisateur.
Face à ces menaces, Google a publié le 24 décembre une mise à jour majeure de l’infrastructure de sauvegarde Android, permettant aux utilisateurs de contrôler individuellement les applications sauvegardées. Cependant, les analystes en sécurité soulignent que cette mise à jour ne résout pas le problème fondamental de la protection des données. Une sauvegarde cloud standard, qu’elle soit sur Google Drive ou iCloud, est chiffrée en transit et au repos, mais le fournisseur cloud détient généralement la clé de déchiffrement.
Un analyste en cybersécurité a déclaré : « La mise à jour de Google est une victoire pour la gestion du stockage, mais ne doit pas être confondue avec une panacée en matière de sécurité. Si vous excluez une application de la sauvegarde, vous perdrez les données en cas de panne de l’appareil. Si vous l’incluez sans cryptage de bout en bout, vous faites confiance au fournisseur de cloud pour l’histoire de votre vie. »
C’est pourquoi la fonction de sauvegarde chiffrée de bout en bout (E2EE) de WhatsApp est considérée comme la dernière ligne de défense cruciale. Pour activer cette protection, les utilisateurs doivent se rendre dans Paramètres > Chats > Sauvegarde de chat > Sauvegarde chiffrée de bout en bout. Les experts recommandent de conserver la clé à 64 chiffres hors ligne, dans un coffre-fort physique ou un gestionnaire de mots de passe sécurisé.
À l’approche de 2026, la course aux armements entre sécurité et commodité devrait s’intensifier. Le succès de Lotusbail démontre que les attaquants s’attaquent aux outils des développeurs, tandis que GhostPairing prouve que l’ingénierie sociale reste une méthode efficace pour contourner le cryptage. Il est probable que Meta réagisse dans les mois à venir avec des protocoles d’authentification plus stricts, tels que la réauthentification biométrique obligatoire ou l’intégration de clés de sécurité matérielles.
En attendant, la vigilance face aux liens inconnus et l’activation proactive des sauvegardes E2EE restent les meilleures pratiques pour assurer la sécurité numérique personnelle. Les utilisateurs sont invités à vérifier immédiatement leur liste d’« Appareils liés » dans les paramètres WhatsApp et à activer les sauvegardes E2EE pour préserver la confidentialité de leurs échanges.
