L'ingénierie sociale contourne les messageries chiffrées

L'ingénierie sociale parvient à contourner les messageries chiffrées, non pas en exploitant une faille technique, mais en détournant une fonction tout à fait légale : l'association d'un compte de messagerie à un ordinateur.

Une méthode fondée sur l'ingénierie sociale

Netzpolitik a eu accès à un document de l'Office des enquêtes criminelles des douanes (Zollkriminalamt) qui décrit un cas concret. Un couple s'était rendu au commissariat pour témoigner au sujet de leur fille. Les enquêteurs leur ont demandé de déverrouiller leurs téléphones et de leur montrer leurs messages WhatsApp, sous prétexte d'en faire des captures d'écran.

À l'insu des parents, ils ont ensuite activé la fonction permettant d'associer le compte à un nouvel appareil, puis scanné le QR code depuis leur propre ordinateur. WhatsApp, Telegram et Threema permettent de synchroniser un compte avec une application web, Signal proposant un client desktop dédié. Une fois la liaison établie, l'intégralité des échanges passés et futurs devient accessible aux enquêteurs.

Le document décrit ce procédé comme un moyen « d'enregistrer les données échangées via les messageries instantanées sans avoir à infiltrer le système informatique avec un logiciel de surveillance (interception à la source) ».

« d'enregistrer les données échangées via les messageries instantanées sans avoir à infiltrer le système informatique avec un logiciel de surveillance (interception à la source) », Zollkriminalamt, Office des enquêtes criminelles des douanes allemandes.

Un outil devenu permanent depuis 2025

Selon les documents consultés par Netzpolitik et relayés par Cybernews, cette pratique testée fin 2023 est devenue un outil officiel et permanent à partir du 1er août 2025, après que les autorités ont fait état de « succès d'enquête significatifs » dans des affaires de criminalité grave et organisée.

Pour obtenir la liaison avec le compte visé, les enquêteurs disposent de plusieurs moyens : accès physique au smartphone, interception d'un code de vérification par SMS lors d'une surveillance téléphonique classique, ou phishing autorisé par la justice. Dans le cas de Signal, une liaison réussie donne accès aux 45 jours précédents de messages, selon un avertissement des services allemands du renseignement intérieur (BfV) et de l'agence fédérale de cybersécurité (BSI) daté du 6 février 2026. Pour WhatsApp, l'historique récupérable peut remonter jusqu'à un an, d'après le centre d'aide de l'application.

Une justice qui recadre la pratique

En janvier 2026, la Cour fédérale de justice allemande a estimé que la connexion secrète à des conversations Telegram par cette méthode constituait bien une forme de surveillance à la source, une ingérence plus grave qui exige des garanties juridiques supplémentaires. Cette décision a partiellement remis en cause l'argument des autorités, qui présentaient jusque là la technique comme une simple exploitation de fonctionnalités existantes, sans intrusion dans un système informatique.

Ce même avertissement du BfV et du BSI, publié en février 2026, signalait qu'un acteur probablement étatique détournait cette fonction de liaison d'appareils contre des politiques, des diplomates et des journalistes, un ciblage qui rappelle les opérations de surveillance de dissidents chinois récemment démantelées ailleurs. Environ 300 victimes ont été identifiées en Allemagne, parmi lesquelles la présidente du Bundestag, Julia Klöckner.

Un précédent français avec les perquisitions ciblées

En France, l'ancien ministre de l'Intérieur Gérald Darmanin avait révélé devant l'Assemblée nationale un autre « truc » permettant de contourner le chiffrement : des visites domiciliaires ciblées pour consulter directement les appareils de personnes radicalisées. Après l'assassinat de Samuel Paty, le nombre de ces perquisitions était passé de 25 à 277, soit une hausse de 1 108 %, et celui des saisies de 14 à 141, soit +1 007 %.

« L'utilisation des messageries des réseaux sociaux par des terroristes est très inquiétante », Gérald Darmanin, ancien ministre de l'Intérieur.

Les utilisateurs peuvent vérifier eux-mêmes si un appareil inconnu est relié à leur compte. Sur WhatsApp comme sur Signal, la fonction se trouve dans les réglages, sous l'intitulé « appareils liés ». Sur Telegram, elle apparaît dans le menu « appareils ». Les sessions non reconnues peuvent y être supprimées directement.