Cyberespionnage : le FBI exhorte à éviter les messages non chiffrés entre iPhone et Android

Les autorités américaines, FBI en tête, alertent leurs concitoyens et concitoyennes : chacune de leurs conversations est potentiellement espionnée en raison d’une cyberattaque massive. Les communications RCS entre iPhone et Android ou non cryptées sont particulièrement sensibles à cette opération de « cyberespionnage » menée, selon les États-Unis, par la Chine. Explications.

Salt Typhoon, la « cyberattaque sans précédent » qui touche les États-Unis

Les Américains et Américaines doivent-ils arrêter de s’échanger des SMS ? C’est une des recommandations faites par les autorités américaines mardi 3 décembre 2024 à l’occasion d’une conférence de presse. Lors de celle-ci, un haut responsable – anonyme – du FBI, ainsi que Jeff Greene, de la CISA (Cybersecurity and Infrastructue Security Agency), ont révélé qu’une cyberattaque « sans précédent », comme l’écrit NBC, avait touché les sociétés de télécommunications américaines AT&T, Verizon et Lumen Technologies, l’équivalent de nos Orange ou SFR. L’ampleur de la compromission est telle que la CISA est incapable de dire quand le problème sera réglé.

Impossible de prédire un délai pour l’éviction totale, a reconnu Jeff Greene, de la CISA.

Avec ce piratage, baptisé Salt Typhoon par Microsoft, les attaquants ont accès à trois types d’informations, a expliqué le haut responsable du FBI :

• Les métadonnées d’appel, qui indiquent quel appareil a appelé tel autre à telle heure,
• Les appels téléphoniques directs visant des cibles spécifiques,
• L’accès au système CALEA, qui permet aux forces de l’ordre et aux services de renseignement de suivre les communications de certains citoyens sur décision judiciaire ; des informations classifiées y figurent.

Attribuée à la Chine, cette campagne qualifiée de « cyberspionnage », est, selon NBC, « l’une des plus importantes compromissions de renseignements de l’histoire des États-Unis ».

Les échanges RCS entre iPhone et Android, une cible facile

Si on peut logiquement penser que les efforts d’espionnage se concentrent sur des cibles sensibles, tous les clients des opérateurs attaqués peuvent être touchés. Une faille inquiète tout particulièrement : le format RCS. Adopté par Apple et Google sur les iPhone et Android, il vient remplacer le traditionnel SMS. Cependant, si les iMessages échangés entre iPhone sont chiffrés, que les Google Messages envoyés entre appareils Android le sont aussi, ceux échangés via RCS entre iPhone et Android ne le sont pas encore.

En effet, c’est seulement à l’automne 2024 que le format RCS est devenu interopérable entre les deux systèmes d’exploitation mobiles. Mais pas le cryptage de bout en bout. En attendant qu’une telle fonctionnalité soit déployée, les messages RCS envoyés entre iPhone et Android sont donc non seulement interceptables, mais également exploitables par les cyberespions. Cela a notamment poussé le FBI à prévenir les deux candidats à la présidence américaine lors de la campagne, dès le mois d’octobre.

Comment protéger vos communications : les conseils du FBI

Face à l’ampleur de l’attaque, le FBI et la CISA ont donc pris la décision d’alerter leurs concitoyens. Ainsi, les deux responsables ont exhorté les Américaines et Américains à utiliser des applications de messagerie cryptées. « Même si l’adversaire a la capacité d’intercepter la data, si elle est chiffrée, l’attaque sera inutile », a expliqué le directeur adjoint exécutif de la CISA.

Le chiffrement est votre ami, a rappelé Jeff Greene.

« Notre suggestion, et ce que nous disons à nos collaborateurs en interne, n’est pas nouvelle : le chiffrement est votre ami, que cela soit pour des messages texte ou si vous avez la possibilité d’utiliser une communication vocale cryptée. » Le FBI a également transmis une série de conseils : « Celles et ceux qui souhaitent mieux protéger leurs communications auraient intérêt à envisager l’utilisation d’un smartphone qui reçoit automatiquement les mises à jour du système d’exploitation en temps opportun, d’un cryptage géré de manière responsable et une authentification multifacteur résistante au phishing pour les boîtes email, les comptes de réseaux sociaux et les outils collaboratifs. »

WhatsApp, Signal ou encore Telegram sont autant d’exemples d’applications de messagerie proposant un chiffrement de bout en bout. Pour rappel, le site cybermalveillance.gouv propose un guide en ligne pour savoir comment protéger vos appareils mobiles. Sur BDM, vous trouverez des informations et des ressources sur les messageries cryptées, la double authentification, la gestion sécurisée des mots de passe, et bien d’autres !