Le fait que quelqu'un puisse espionner WhatsApp et Telegram, qui sont désormais devenus le centre de nos conversations quotidiennes, peut immédiatement faire dresser les cheveux sur la tête.
Nous vous expliquions il y a quelque temps comment cela est théoriquement possible mais difficile à mettre en œuvre, cependant une récente "découverte" de la firme de sécurité milanaise InTheCyber montre que il existe une méthode viable pour le faire; selon eux ce serait "un jeu d'enfant".
Pratique oui, même assez simple, mais cela dans le monde réel pourrait trouver beaucoup de difficulté.
Pouquoi? Simple : tout est basé sur le fait que lorsque l'authentification se produit (non autorisé) pour se connecter à WhatsApp ou Telegram il le téléphone du titulaire légitime du compte doit être éteint.
La faille découverte par InTheCyber, telle que rapportée par le Corriere, n'est pas spécifique à WhatsApp ou Telegram mais concerne une faiblesse du répondeur téléphonique des opérateurs français. Le tout est basé sur le fait que les deux systèmes de messagerie s'authentifier sur un appareil en utilisant un code envoyé par SMS (ou via IM pour Telegram, dans certains cas).
En cas d'échec de l'authentification par SMS, il s'agit lancé un appel automatique de communiquer ce code directement par téléphone.
Espionner WhatsApp et Telegram : le répondeur arrive !
C'est là qu'intervient le répondeur ; non, pas celui de WhatsApp, celui de notre opérateur téléphonique ! Soi le téléphone du titulaire du compte est éteint et son répondeur est actif, le message contenant le code d'accès est déposé au secrétariat.
La faiblesse desservie : de nombreux opérateurs français autorisent accéder au secrétariat en appelant simplement depuis votre numéro ou par un autre numéro ; dans ce dernier cas, vous devrez spécifier le numéro de la boîte aux lettres à laquelle vous souhaitez accéder et spécifier un code d'accès. Malheureusement, peu d'utilisateurs modifient ce code - et il existe des guides sur le net qui proposent les codes par défaut.
Entre autres, il existe des applications qui permettent de « simuler » l'identification de l'appelant d'un numéro qui ne l'est pas vraiment, induisant ainsi le répondeur en erreur et en obtenant un accès automatique à celui-ci.
Morale de l'histoire : théoriquement, pour avoir accès à WhatsApp et Telegram, il faut avoir le numéro de téléphone de l'utilisateur victime, le code par défaut de son répondeur et effectuer la procédure de connexion lorsque le téléphone de ce dernier est usé.
Une série de circonstances qui ne sont pas faciles à réaliser, il faut bien l'avouer.
Que se passe-t-il si l'attaque réussit ?
Ceci dit, venons-en au fait : espionner WhatsApp avec cette méthode n'est qu'à moitié possible, comme pour restaurer les sauvegardes existantes il est également nécessaire d'avoir les informations d'identification Gmail de la victime ; cependant, vous pouvez lire les messages reçus à partir du moment de l'accès (et éventuellement y répondre), au moins jusqu'à la la victime elle-même ne se rend pas compte d'un accès indésirable et le révoque.
Histoire légèrement différente pour Telegram, qui stocke à la place les messages sur un serveur : en cas d'accès indésirable, ceux-ci seront disponibles immédiatement, cependant il n'y aura aucun moyen d'accéder aux discussions secrètes. C'est jusqu'à ce que, une fois de plus, la victime se rende compte d'un accès indésirable.
Les opérateurs téléphoniques français ni les opérateurs Telegram n'ont répondu au rapport d'InTheCyber ; Le personnel de WhatsApp, d'autre part, a répondu que ce n'était pas un problème de compétence car la faiblesse était des systèmes de répondeur.
Comment résoudre?
Quant à WhatsApp, pour être plus sûr (malgré la survenance des circonstances c'est assez difficile) on peut en toute sécurité désactiver le répondeur sur un téléphone éteint ou inaccessible ou, peut-être, changez le code d'accès (dans ce cas, cependant, le problème des applications "fake dial" resterait).
Quant à Telegram, il est possible éviter facilement cette situation sans même éteindre le répondeur, il suffit activation de l'authentification à deux facteurs - soit la demande d'un mot de passe supplémentaire au code PIN d'accès - de Menu> Paramètres> Confidentialité et sécurité.
Morale de l'histoire
Le problème existe, c'est un fait ; cependant, cela ne doit pas déclencher un alarmisme insensé, car la survenance simultanée des conditions de réussite de l'attaque (surtout téléphone éteint !) est assez rare. Si on veut en être sûr, les solutions sont simples : désactiver la messagerie vocale si on utilise WhatsApp, activer l'authentification à deux facteurs si on utilise Telegram.
Ceci, du moins, jusqu'à ce que les opérateurs mettent en place un mécanisme d'accès plus sécurisé au répondeur !
