Campagne d’espionnage des services de renseignement russes ciblant les comptes Signal et les applications de messagerie chiffrée

Analyse technique et stratégique – FBI/CISA PSA I-032026-PSA — 20 mars 2026 | TLP:CLEAR

1. Executive Summary — Board Level / Strategic View

Le 20 mars 2026, le Federal Bureau of Investigation (FBI) et la Cybersecurity and Infrastructure Security Agency (CISA) ont conjointement publié un avis de sécurité public (PSA I-032026-PSA) signalant une campagne active d’acteurs cyber associés aux Russian Intelligence Services (RIS) ciblant les comptes d’applications de messagerie commerciale (CMA). L’application principalement visée est Signal, bien que la campagne soit documentée comme applicable à d’autres CMA. Cet avis fait suite à un avertissement similaire émis début mars 2026 par les agences de renseignement néerlandaises MIVD et AIVD, et aux travaux publiés en février 2025 par Google Threat Intelligence Group.

La campagne ne repose pas sur une compromission cryptographique ni sur une vulnérabilité technique des applications elles-mêmes. Les acteurs RIS exploitent des mécanismes de social engineering et de phishing pour obtenir un accès non autorisé à des comptes individuels, en contournant entièrement le chiffrement de bout en bout. Le PSA précise explicitement que le chiffrement des CMA n’a pas été compromis.

Les profils ciblés correspondent à des individus à haute valeur de renseignement : fonctionnaires gouvernementaux américains en exercice ou anciens, personnels militaires, figures politiques et journalistes. La campagne est mondiale et a conduit à la compromission de plusieurs milliers de comptes individuels.

Une fois un compte compromis, les acteurs disposent de la capacité de lire les messages passés et futurs, d’accéder aux listes de contacts, d’émettre des messages au nom de la victime, et de conduire des campagnes de phishing secondaires depuis une identité de confiance. L’impact sur la confidentialité des communications est direct et immédiat, indépendamment de la robustesse du protocole cryptographique sous-jacent.

Sur le plan réglementaire, les organisations soumises à la directive NIS2, au règlement DORA ou au RGPD sont exposées à des risques de violation de données personnelles si leurs personnels utilisent des CMA à des fins professionnelles sur des appareils non managés. Une compromission de compte CMA contenant des données personnelles de tiers peut constituer une violation de données au sens de l’article 33 RGPD, avec obligation de notification à l’autorité de contrôle compétente dans un délai de 72 heures.

Les arbitrages stratégiques prioritaires concernent : l’inventaire et l’audit des appareils liés aux comptes Signal des personnels à profil sensible, la définition ou la mise à jour d’une politique formelle d’usage des CMA, le renforcement des procédures d’authentification sur ces applications, et la diffusion immédiate d’une communication de sensibilisation ciblée.

2. Threat Landscape Positioning

2.1 Contexte global

Les services de renseignement russes ont historiquement ciblé les infrastructures de communication des gouvernements adversaires, des organisations non gouvernementales, des médias et des personnels militaires. L’adoption généralisée du chiffrement de bout en bout dans les CMA grand public a conduit ces acteurs à réorienter leurs TTPs vers l’exploitation de la couche humaine plutôt que la couche cryptographique. Le ciblage des CMA s’inscrit dans une logique d’adaptation opérationnelle documentée sur plusieurs années.

2.2 Historique

Les premières documentations publiques d’abus de la fonctionnalité de liaison d’appareils (linked devices) de Signal par des acteurs alignés sur la Russie remontent à 2024. En février 2025, Google Threat Intelligence Group a publié une analyse documentant plusieurs clusters d’activité russes ciblant Signal : UNC5792 et UNC4221, évalués comme agissant en soutien d’objectifs de renseignement russes. APT44 (Sandworm / Seashell Blizzard, attribué au GTsST/GRU) a été documenté dans l’usage de QR codes malveillants lors d’opérations d’accès physique (close-access operations) sur des appareils capturés sur le terrain en Ukraine, permettant l’association de comptes Signal à une infrastructure contrôlée par l’acteur.

En décembre 2025, Amazon a documenté une opération de longue durée attribuée à l’agence de renseignement militaire russe ciblant des infrastructures critiques occidentales entre 2021 et 2025, attribuée au groupe Sandworm. En mars 2026, les agences MIVD et AIVD néerlandaises ont publié un avertissement sur une campagne à grande échelle ciblant Signal et WhatsApp, avant que le FBI et la CISA publient leur avis conjoint le 20 mars 2026.

2.3 Acteurs impliqués

Acteur	Attribution	TTP documentée
APT44 / Sandworm / Seashell Blizzard	GRU / GTsST	QR codes malveillants, close-access operations
COLDRIVER / UNC4057 / Star Blizzard	FSB	Linked device abuse WhatsApp
Turla	FSB Center 16	Script PowerShell, staging Signal Desktop DB
UNC5792, UNC4221	RIS (Google TIG)	Phishing remote, impersonation
UNC1151	Biélorussie	Robocopy, staging Signal Desktop

2.4 Modèle opérationnel

Cette campagne n’est pas à finalité financière. Elle s’inscrit dans un cadre de collecte de renseignement stratégique combinant des approches SIGINT et HUMINT digital, visant à obtenir un accès en temps réel aux communications chiffrées de cibles à haute valeur. Le modèle repose sur l’exploitation du facteur humain plutôt que sur des vulnérabilités techniques, ce qui le rend particulièrement résistant aux contre-mesures purement technologiques.

2.5 Cartographie MITRE ATT&CK

Technique ID	Nom	Usage documenté
T1566	Phishing	Vecteur d’Initial Access principal
T1566.004	Spearphishing via Service	Messages directs imitant le support Signal
T1078	Valid Accounts	Account takeover via credentials phishés
T1098	Account Manipulation	Linked device abuse
T1539	Steal Web Session Cookie	Analogie : vol d’accès authentifié
T1119	Automated Collection	Staging Signal Desktop DB
T1041	Exfiltration Over C2 Channel	Variantes malware Turla / UNC1151

2.6 Tendances observées (12–24 mois)

La progression observée sur la période 2024–2026 montre une industrialisation croissante du phishing ciblant les CMA, avec des kits de phishing dédiés imitant les interfaces d’authentification et de support de Signal. L’extension documentée à WhatsApp et Telegram confirme une stratégie agnostique au niveau applicatif. L’implication de multiples clusters d’acteurs russes (GRU, FSB, alliés biélorusses) indique une priorisation institutionnelle de ce vecteur d’attaque.

3. Technical Deep Dive

3.1 Initial Access Vectors

Vecteur 1 — Linked Device Feature Abuse

La fonctionnalité Signal Linked Devices permet d’associer un compte Signal à plusieurs appareils via la lecture d’un QR code. Un QR code encode une URI de liaison qui, une fois scannée par l’application Signal de la victime, autorise l’association d’un nouvel appareil au compte.

L’acteur construit un QR code malveillant encodant une URI de liaison vers un appareil sous son contrôle. Ce QR code est transmis à la victime via un message de phishing imitant soit un contact connu, soit un service de support Signal officiel (invitation à rejoindre un groupe, alerte de sécurité).

Si la victime scanne le QR code ou clique sur le lien associé, l’appareil de l’acteur est lié au compte Signal de la victime. Dès lors, tous les messages futurs envoyés et reçus sont délivrés simultanément à la victime et à l’acteur en temps réel. La victime conserve l’accès à son compte, ce qui retarde la détection. L’appareil lié reste actif jusqu’à sa suppression manuelle depuis Settings > Linked Devices. En l’absence de vigilance, la persistance peut être indéfinie.

Dans le cas de WhatsApp, l’abus de la fonctionnalité Linked Devices présente une caractéristique supplémentaire : contrairement à Signal, l’association d’un appareil peut permettre l’accès aux messages historiques antérieurs à la compromission. La victime peut ne pas être immédiatement déconnectée, réduisant encore la probabilité de détection spontanée.

APT44 a par ailleurs documenté l’usage de cette technique en close-access operations : des QR codes malveillants appliqués sur des documents ou interfaces physiques en zones de conflit (Ukraine) ont permis d’associer des appareils capturés sur le terrain à une infrastructure contrôlée par l’acteur.

Vecteur 2 — Account Takeover (Full)

L’acteur initie une tentative d’enregistrement du numéro de téléphone de la victime sur une nouvelle instance Signal sous son contrôle. Signal génère et envoie un OTP (One-Time Password) par SMS au numéro cible. Simultanément, l’acteur contacte la victime via un message de phishing imitant une notification officielle de sécurité Signal — chatbot support, alerte d’activité suspecte, notification de connexion non autorisée — créant un sentiment d’urgence.

Le message de phishing demande à la victime de transmettre le code de vérification reçu par SMS (l’OTP que l’acteur a lui-même déclenché) ainsi que le PIN de verrouillage du compte (Registration Lock PIN). Si la victime transmet ces éléments, l’acteur complète l’enregistrement, prend le contrôle exclusif du compte, et la victime est déconnectée de son instance Signal.

3.2 Exploitation Chain

Linked Device Feature Abuse

Reconnaissance de la cible et identification de contacts connus
Construction d’un QR code malveillant encodant une URI de liaison Signal vers un appareil attaquant
Livraison du QR code via message de phishing (impersonation contact ou service support)
Interaction de la victime avec le QR code ou le lien
Association automatique de l’appareil attaquant au compte Signal de la victime
Collecte passive en temps réel de la totalité des messages entrants et sortants

Account Takeover

Initiation d’un enregistrement Signal sur un nouvel appareil avec le numéro de téléphone de la cible
Signal génère et envoie un OTP par SMS au numéro cible
L’acteur envoie un message de phishing urgent imitant le support Signal à la victime
La victime transmet l’OTP et le PIN à l’acteur via le canal de phishing
L’acteur complète l’enregistrement et prend le contrôle exclusif du compte
La victime est déconnectée de son instance Signal

3.3 Payload Characteristics

Dans le vecteur de base (linked device abuse et account takeover), aucun malware n’est requis. Le payload est purement fonctionnel : l’association de l’appareil attaquant constitue en elle-même le mécanisme d’accès persistant et de collecte. Le PSA FBI/CISA mentionne que des variantes évolutives pourraient intégrer des composants malware pour les cibles les plus résistantes au social engineering.

Variantes malware documentées :

Turla (FSB) : script PowerShell léger déployé en contexte post-compromission pour staging et exfiltration de la base de données Signal Desktop
UNC1151 (acteur biélorusse) : usage de l’utilitaire légitime Robocopy pour staging du contenu des répertoires Signal Desktop

Chemins de stockage Signal Desktop :

Windows : %APPDATA%\Signal\
macOS   : ~/Library/Application Support/Signal/
Linux   : ~/.config/Signal/

La base de données des messages Signal Desktop est chiffrée par une clé dérivée stockée localement, accessible sans connaissance des credentials de l’utilisateur sur un système compromis.

3.4 Persistence Mechanisms

Pour le Linked Device Abuse, la persistance est inhérente à la fonctionnalité légitime de Signal : l’appareil lié reste actif jusqu’à sa suppression explicite depuis Settings > Linked Devices. Aucun artefact système n’est créé sur l’appareil de la victime. La persistance peut être indéfinie en l’absence d’audit régulier.

Pour l’Account Takeover, la persistance est totale : l’acteur contrôle le compte et peut en modifier les paramètres de sécurité, y compris le PIN de verrouillage, empêchant une récupération simple.

3.5 Defense Evasion Techniques

Absence totale de malware dans le vecteur de base : aucune signature détectable par les solutions EDR ou antivirus
Exploitation exclusive de fonctionnalités légitimes des applications (linked devices, enregistrement de compte)
Impersonation de contacts connus ou de services officiels pour augmenter la crédibilité
Faible empreinte réseau : aucun C2 visible depuis l’appareil de la victime dans le cas du linked device abuse
Maintien de l’accès victime au compte (linked device abuse) : aucune alerte native de déconnexion
Ciblage préférentiel d’appareils personnels non managés, hors périmètre de surveillance SOC/MDM

3.6 Lateral Movement

Post-compromission d’un compte CMA, les acteurs disposent des capacités suivantes :

Accès aux listes de contacts du compte compromis, permettant l’identification de nouveaux profils cibles à haute valeur
Capacité d’émettre des messages depuis l’identité de la victime (trusted identity phishing), augmentant significativement la crédibilité des tentatives de phishing secondaires
Accès aux conversations de groupe, permettant l’identification des participants et la récupération d’informations sur les organisations impliquées

Le lateral movement est ainsi principalement réalisé par propagation via le réseau social numérique de la victime, exploitant la confiance établie entre les contacts.

3.7 Command and Control Architecture

Dans le vecteur de base, aucune architecture C2 traditionnelle n’est requise. L’instance Signal de l’acteur (appareil lié) reçoit directement les messages de la victime via l’infrastructure Signal légitime. Dans les variantes incluant un composant malware (Turla, UNC1151), une infrastructure C2 distincte est utilisée pour l’exfiltration des fichiers Signal Desktop.

3.8 Data Exfiltration Patterns

Messages entrants et sortants en temps réel (linked device abuse) ou accès au contenu complet après account takeover
Listes de contacts et métadonnées de conversation (participants de groupe, horodatages)
Fichiers et pièces jointes échangés via le compte compromis
Variantes malware : contenu complet de la base de données locale Signal Desktop, incluant l’historique des messages

3.9 Indicateurs comportementaux documentés

Le PSA FBI/CISA ne publie pas d’IoCs techniques (hashes, domaines, adresses IP). Les indicateurs documentés sont comportementaux. Patterns de phishing identifiés dans les messages reproduits dans le PSA :

Impersonation d’un « Signal Security Support ChatBot » signalant une fuite de données ou une tentative d’accès non autorisé
Demande de transmission d’un code de vérification reçu par SMS
Demande de transmission du PIN du compte Signal
Notification d’un appareil connecté non reconnu avec une adresse IP et une localisation géographique
Annonce d’une mise à jour obligatoire des conditions d’utilisation nécessitant une « vérification en deux étapes »

4. Detection and Response Engineering

4.1 Détection préventive

Audit régulier de la liste des appareils liés : Settings > Account > Linked Devices — supprimer tout appareil non reconnu
Activation du Registration Lock (PIN) : Settings > Account > Registration Lock
Maintien à jour des applications CMA : Signal a publié des mises à jour iOS et Android durcissant les mécanismes de linked devices en réponse aux campagnes documentées
Activation de la fonction d’expiration automatique des messages pour les conversations sensibles

4.2 Détection comportementale

Surveillance des tentatives de réception d’OTP Signal non sollicitées sur les appareils des personnels sensibles (indicateur d’une tentative d’account takeover en cours)
Détection de messages entrants depuis des contacts connus contenant des demandes inhabituelles : partage de code OTP, scan de QR code, validation de compte
Sur les appareils managés : surveillance des accès aux répertoires Signal Desktop par des processus non standard (PowerShell, cmd.exe, Robocopy)

4.3 Use Cases SOC

UC1 — Détection de phishing Signal Alerte sur réception de messages contenant les termes-clés associés aux patterns documentés (Signal Security, verification code, chatbot support, data leak, suspicious activity) depuis des identités inconnues ou non vérifiées. Applicable uniquement sur des dispositifs managés avec solutions MAM/MDM permettant l’inspection des notifications.

UC2 — Corrélation OTP non sollicité / contact entrant Corrélation entre la réception d’un SMS OTP Signal non initié par l’utilisateur et la réception d’un message entrant sur Signal dans les minutes suivantes. Ce pattern correspond précisément à la séquence d’un account takeover en cours.

UC3 — Accès aux fichiers Signal Desktop Sur les systèmes managés Windows : détection via EDR/Sysmon des accès à %APPDATA%\Signal\ par des processus hors whitelist. Corrélation avec les Windows Event IDs : 4663 (accès objet), Sysmon Event ID 11 (FileCreate), Event ID 1 (création de processus).

4.4 Threat Hunting

Identifier les personnels disposant d’appareils liés non reconnus dans Signal via campagne de sensibilisation et procédure d’audit auto-déclaratif
Sur les endpoints managés Windows : chasse aux processus ayant accédé à %APPDATA%\Signal\ dans les 90 derniers jours, hors processus Signal.exe lui-même
Identifier les scripts PowerShell ayant accédé aux répertoires de données Signal Desktop ou ayant utilisé des cmdlets de copie (Copy-Item, Robocopy) sur ces chemins
Analyser les logs MDM pour détecter des installations ou activations inhabituelles d’applications de messagerie sur des appareils d’entreprise

4.5 Blind Spots

L’abus de la fonctionnalité linked devices ne génère aucun événement détectable côté infrastructure SOC si l’appareil victime est personnel et non managé
Aucune solution EDR ou MDM ne surveille nativement les listes d’appareils liés aux comptes Signal
Les messages de phishing transitent dans Signal, non visible par les passerelles de filtrage email ou les proxies web d’entreprise
L’absence de malware dans le vecteur de base élimine toute possibilité de détection par signature antivirale
La session victime restant active (linked device abuse), les systèmes de détection d’anomalie de connexion ne sont pas déclenchés

5. Risk and Impact Analysis

5.1 Impact opérationnel

La compromission de comptes CMA de personnels à profil sensible entraîne une exfiltration directe de communications confidentielles. L’accès aux listes de contacts et aux conversations de groupe expose les réseaux relationnels des organisations ciblées. La capacité d’émettre des messages depuis l’identité de la victime permet des opérations de désinformation ou de manipulation ciblée. Dans le contexte géopolitique documenté (Ukraine, aide militaire), la compromission de communications entre officiels gouvernementaux et militaires représente un impact opérationnel de premier ordre.

5.2 Impact supply chain

Les comptes compromis sont exploités comme vecteurs de phishing vers les contacts des victimes, incluant des prestataires, partenaires et fournisseurs. Ce mécanisme de propagation par confiance déléguée (trusted identity phishing) constitue un risque de contamination transverse au-delà des cibles initiales.

5.3 Impact réglementaire

Référentiel	Risque
NIS2 (Article 21)	Non-conformité sur la gestion des risques SI si usage CMA non encadré
RGPD (Articles 33–34)	Obligation de notification à l’autorité de contrôle sous 72h si données personnelles compromises
DORA (Article 6)	Risque TIC non géré pour les entités financières

5.4 Modélisation qualitative du risque

Critère	Niveau
Probabilité d’exploitation — profils à haute valeur	HIGH
Sévérité de l’impact pour les profils ciblés	HIGH
Risque global — profils directement ciblés	CRITICAL
Risque — organisations hors profil cible direct	MODERATE
Maturité de détection requise	HIGH

6. Mitigation Strategy

6.1 Actions immédiates de containment

Auditer immédiatement la liste des appareils liés sur tous les comptes Signal des personnels à profil sensible : Settings > Account > Linked Devices : supprimer tout appareil non reconnu
Activer le Registration Lock (PIN) si ce n’est pas déjà fait : Settings > Account > Registration Lock
Ne jamais partager un code OTP ou un PIN Signal avec quiconque, indépendamment de la légitimité apparente de la demande du support Signal qui ne demande jamais ces informations via un message direct
Diffuser immédiatement une note de sensibilisation interne reproduisant les patterns de phishing documentés dans le PSA FBI/CISA du 20 mars 2026
Établir une procédure de vérification out-of-band pour toute demande inhabituelle reçue via CMA, même depuis un contact connu (appel téléphonique, email séparé)

6.2 Hardening tactique

Activer l’expiration automatique des messages pour toutes les conversations contenant des informations sensibles
Mettre à jour immédiatement les applications Signal sur tous les appareils concernés : les dernières versions iOS et Android intègrent des mécanismes durcis contre ces campagnes
Pour les appareils managés : déployer des règles MDM/MAM encadrant l’usage des CMA non approuvées pour les communications professionnelles
Scanner périodiquement les participants des groupes de discussion sensibles pour détecter des doublons ou des identités inconnues

6.3 Améliorations structurelles

Définir et formaliser une politique d’usage des CMA dans l’organisation : périmètre autorisé, types d’information admissibles, appareils autorisés, procédures de vérification
Évaluer le remplacement des CMA grand public par des solutions de messagerie sécurisée managées (Wire for Business, Mattermost auto-hébergé, solutions certifiées) pour les communications professionnelles sensibles
Intégrer le risque CMA dans le modèle de menace de l’organisation et dans les évaluations de risque périodiques

6.4 Recommandations CERT/CSIRT

Mettre à jour les playbooks d’incident response pour intégrer un scénario de compromission de compte CMA : indicateurs, procédure de vérification, étapes de containment, notification réglementaire si applicable
Définir les indicateurs comportementaux de compromission : réception d’OTP Signal non initié, appareil lié non reconnu, messages envoyés depuis le compte victime sans action de l’utilisateur
Alimenter les plateformes de partage de menaces (MISP, ISAC sectoriels) avec les patterns comportementaux et les messages de phishing documentés

7. Strategic Outlook (6–12 mois)

7.1 Évolution probable des TTPs

Les évolutions probables dna s les 6 à 12 mois incluent l’intégration systématique de composants malware pour les cibles les plus résistantes au phishing pur, l’extension confirmée à WhatsApp, Telegram et d’autres CMA, et l’usage de l’intelligence artificielle générative pour personnaliser les messages de phishing (adaptation linguistique, contextualisation des prétextes, impersonation améliorée).

7.2 Industrialisation

La structure de la campagne composée de kits de phishing standardisés, messages types adaptables, ciblage multi-plateforme indique un niveau d’industrialisation avancé. L’extension prévisible inclut le ciblage de profils au-delà des fonctionnaires et militaires : cadres du secteur de la défense, chercheurs en politique étrangère, directeurs d’organisations humanitaires, journalistes couvrant les conflits. La réutilisation des comptes compromis comme vecteurs de phishing de seconde génération constitue un mécanisme d’amplification documenté.

7.3 Implications géopolitiques

La campagne s’inscrit directement dans le contexte du conflit en Ukraine et des tensions entre la Russie et les pays occidentaux. L’engagement simultané du GRU (APT44), du FSB (Turla, COLDRIVER) et d’alliés biélorusses (UNC1151) suggère une coordination institutionnelle au niveau des services de renseignement russes sur ce vecteur. Une intensification en période de tensions géopolitiques accrues ou d’événements diplomatiques majeurs est à anticiper.

7.4 Impact sur la surface d’attaque future

L’adoption croissante des CMA dans les environnements professionnels élargit mécaniquement la surface d’attaque exposée à ce vecteur. Les organisations qui n’encadrent pas formellement l’usage des CMA et qui ne conduisent pas d’audit régulier des appareils liés s’exposent à une exposition croissante, difficile à instrumenter par les outils de détection conventionnels.

8. Références

FBI / CISA : https://www.ic3.gov/PSA/2026/PSA260320
CISA : https://www.cisa.gov/resources-tools/resources/russian-intelligence-services-target-commercial-messaging-application-accounts
Google Threat Intelligence Group : https://cloud.google.com/blog/topics/threat-intelligence/russia-targeting-signal-messenger
TechCrunch — MIVD / AIVD : https://techcrunch.com/2026/03/09/russian-government-hackers-targeting-signal-and-whatsapp-users-dutch-spies-warn/
The Record — Recorded Future : https://therecord.media/russian-hackers-target-signal-whatsapp-warn-dutch-intelligence-agencies
CyberScoop : https://cyberscoop.com/fbi-cisa-issue-psa-on-russian-intelligence-campaign-to-target-messaging-apps/
CISA Phishing Guidance : https://www.cisa.gov/resources-tools/resources/phishing-guidance-stopping-attack-cycle-phase-one
CISA Mobile Communications Best Practice Guidance : https://www.cisa.gov/resources-tools/resources/mobile-communications-best-practice-guidance
MITRE ATT&CK — T1566 : https://attack.mitre.org/techniques/T1566/
MITRE ATT&CK — T1098 : https://attack.mitre.org/techniques/T1098/