Imaginez : en à peine 20 minutes, un hacker met la main sur les échanges privés du secrétaire d'État américain, de la directrice du renseignement national, et même du vice-président. C’est pourtant ce qui s’est passé, en exploitant une faille introduite par un outil censé… améliorer la transparence.
L’entreprise TeleMessage, basée en Israël, propose à ses clients – entreprises, agences publiques – des versions modifiées d’applications de messagerie chiffrée, comme Signal, WhatsApp ou Telegram. Objectif affiché : archiver automatiquement les échanges, afin de se conformer aux obligations légales de traçabilité dans certains secteurs, notamment la finance ou les administrations. Mais cette couche d’archivage a ouvert une brèche inattendue. Les messages, normalement chiffrés de bout en bout, sont en réalité capturés et stockés sur des serveurs externes, parfois mal protégés. Résultat : un pirate a pu récupérer des fragments de conversations sensibles, ainsi que des noms, numéros de téléphone et identifiants d’accès à l’interface de TeleMessage.
Interrogé par 404Media, le hacker explique que "ce n’était vraiment pas très difficile". Parmi ses trouvailles : des échanges impliquant des hauts responsables politiques, des agents de la douane américaine, des policiers de Washington et des salariés de géants de la cryptomonnaie comme Coinbase. TeleMessage se défend : dans une vidéo désormais retirée, la société affirme ne pas compromettre le chiffrement de Signal. Pourtant, la fondation Signal, à l’origine de l’application, rappelle qu’elle ne peut garantir la sécurité des versions modifiées. Une affaire qui pose une question centrale : jusqu’où peut-on altérer un outil sécurisé au nom de la conformité réglementaire, sans mettre en péril la confidentialité des échanges ?
Hébergé par Acast. Visitez acast.com/privacy pour plus d'informations.