Un outil gratuit espionne votre activité sur WhatsApp et Signal

Un chercheur vient de publier un outil open source qui met en lumière une faille majeure dans WhatsApp et Signal. Sans accéder au contenu de vos messages, il permet de déduire vos routines quotidiennes, vos horaires de sommeil et même vos déplacements grâce à des métadonnées accessibles en clair.

Une faille silencieuse et invisible

La vulnérabilité n'a rien à voir avec le chiffrement de bout en bout. Elle exploite un mécanisme technique inévitable : lorsque votre iPhone reçoit un signal réseau d'une messagerie, il renvoie automatiquement un accusé de réception. Ce "ping" invisible se mesure en millisecondes et révèle l'état de votre appareil.

Le chercheur derrière le projet "Device Activity Tracker" a démontré qu'il suffit de mesurer le temps de réponse (RTT) pour profiler votre activité. Un temps court indique un iPhone actif et déverrouillé, probablement connecté en Wi-Fi. Un délai plus long suggère une connexion cellulaire ou un appareil en veille. Aucune réponse signifie mode avion ou hors ligne.

Cette technique s'appuie sur une recherche universitaire de l'Université de Vienne, mais contrairement à un papier académique abstrait, l'outil est fonctionnel, gratuit et disponible sur GitHub. Plus préoccupant encore : il utilise des "messages fantômes" comme des réactions à des conversations inexistantes, ce qui ne génère aucune notification visible.

Des métadonnées plus bavardes qu'on ne croit

Accumulées sur plusieurs jours, ces mesures permettent de cartographier votre vie : quand vous êtes chez vous, à quel moment vous vous endormez, vos trajets domicile-travail. Et ce, sans jamais lire un seul de vos échanges. Un rappel que le chiffrement protège le contenu, mais laisse énormément de traces indirectes exploitables tant que des métadonnées restent disponibles.

Apple mise beaucoup sur la confidentialité avec iMessage, mais cette faille concerne spécifiquement les messageries tierces comme WhatsApp et Signal, très populaires sur iPhone. Signal a déjà renforcé ses limitations de débit pour limiter les abus, mais WhatsApp reste plus vulnérable selon les tests réalisés.

Se protéger (partiellement)

Il n'existe pas de solution miracle. Sur WhatsApp, activez le blocage des messages de comptes inconnus dans les réglages de confidentialité avancés. Limitez également la visibilité de votre statut "en ligne" et de votre "vu à".

Sur Signal, privilégiez l'utilisation d'un nom d'utilisateur et masquez votre numéro dans les paramètres de découverte. Surtout, ne diffusez jamais votre numéro de téléphone publiquement : c'est la première porte d'entrée pour ce type d'attaque.

Cette démonstration rappelle une réalité inconfortable : même les messageries les plus sécurisées laissent des empreintes techniques exploitables. Et quand un outil de recherche devient public, il est raisonnable de penser que des acteurs malveillants disposent déjà de techniques équivalentes, voire plus sophistiquées.

Télécharger l'app gratuite WhatsApp Messenger