Qui peut vraiment lire vos messages ?

Cette affaire résume dix ans de dossiers. J'ai repris les cas documentés depuis 2016 (pièces de procès, réponses des éditeurs à la justice, rapports de transparence, alertes des agences de sécurité, travaux académiques) pour répondre à une question simple : qui peut lire vos messages, et comment ?

#Que choisir ?

• Pour tout le mondeSignalLe meilleur chiffrement disponible, un code ouvert, et presque rien à livrer à la justice. Gratuit.
• Sans numéro de téléphoneOlvid ou ThreemaAucun numéro ni e-mail : le piège du faux support qui réclame votre code SMS ne fonctionne pas.
• En entreprise, pour le sensibleElement auto-hébergé ou WireChiffré de bout en bout, avec un serveur sous votre contrôle ou chez un éditeur européen.

Et deux choses à éviter pour tout ce qui compte : Telegram, qui n'est pas chiffré de bout en bout par défaut, et les SMS, lisibles par l'opérateur.

Voici comment se rangent les messageries grand public face à l'adversaire le plus exigeant, un État. La lecture combine chiffrement, données conservées, vérifiabilité du code et attaques connues.

1. SignalCrypto de référence, code ouvert, quasi aucune donnée conservée
2. OlvidSans numéro, certifiée par l'ANSSI, protocole moins éprouvé
3. ThreemaSans numéro, suisse, payante
4. iMessage (ADP des deux côtés)Solide, mais cible n°1 des spywares et code fermé
5. WhatsAppContenu protégé, mais Meta voit qui parle à qui
6. Telegram, secret chatVraiment chiffré, mais limité et rarement utilisé
7. Telegram classiqueLisible par Telegram
8. SMS, RCS et appelsEn clair chez l'opérateur en France

#Les quatre portes

Le chiffrement de bout en bout (on dit E2EE) signifie que seuls les appareils des participants détiennent la clé : l'éditeur transporte des messages qu'il ne peut pas lire. C'est indispensable, mais cela ne ferme qu'une porte sur quatre.

1. 01Le contenuQui peut lire vos messages et écouter vos appels. Le chiffrement de bout en bout ferme cette porte, et seulement celle-là.
2. 02Les métadonnéesQui parle à qui, quand, d'où. Ce que l'éditeur garde, et donc ce qu'il peut livrer.
3. 03Les sauvegardesLa copie de l'historique dans un cloud : la vôtre, et celle de chacun de vos contacts.
4. 04Le téléphoneLogiciel espion, saisie, notifications : tout ce qui se passe une fois le message déchiffré.

Chacune a déjà été forcée, à grande échelle :

• Le contenu, en prenant la place de l'éditeur. En 2020, la gendarmerie française a pris le contrôle des serveurs d'EncroChat, une messagerie prisée du crime organisé, et poussé un implant vers les téléphones : plus de 115 millions de conversations interceptées et 6 558 arrestations selon Eurojust (pièce). Sky ECC (2021) a été intercepté côté infrastructure, et le FBI a carrément distribué sa propre messagerie, ANOM, à des réseaux criminels. Aucune de ces opérations n'a cassé le chiffrement.
• Les métadonnées. Même sans le contenu, un éditeur peut livrer qui parle à qui. Une ordonnance américaine de 2019 a placé un compte WhatsApp sous surveillance 60 jours, 24 heures sur 24 (pièce).
• Les sauvegardes. Sans protection avancée, la sauvegarde iCloud d'un iPhone contient vos iMessages et la clé pour les lire. C'est historiquement la voie la plus productive pour les enquêteurs.
• Le téléphone. Pegasus, Paragon ou Predator lisent les messages après leur déchiffrement. Et, on l'a vu, iOS garde dans ses notifications ce que l'application a effacé.

#Ce qui fuit, quelle que soit l'application

• Les notifications. iOS stocke le texte des aperçus hors de l'application. Toutes les notifications passent aussi par Apple ou Google, qui savent quelle app vous a notifié et quand ; Apple n'exige une décision de justice pour livrer ces données que depuis décembre 2023.
• Le numéro de téléphone. Il relie le compte à votre identité et permet de le détourner (SIM swap). Parmi les messageries comparées ici, seules Olvid et Threema s'en passent totalement.
• L'adresse IP pendant les appels. Un appel en connexion directe révèle votre position approximative à votre correspondant, sauf si l'application le relaie.
• Votre interlocuteur. Son téléphone, ses sauvegardes et ses captures d'écran sont souvent le maillon le plus faible.

#Le comparatif, porte par porte

Colonne Téléphone : aucune application ne protège d'un logiciel espion déjà installé ; la case décrit la surface d'attaque propre à l'app.

#Qui menace, et ce qu'il obtient

La bonne messagerie dépend de l'adversaire. Pour chacun, voici la technique réellement documentée en 2025 et 2026, et la parade.

#La campagne russe contre Signal et WhatsApp

C'est l'affaire la plus instructive de 2026, parce qu'elle n'utilise aucune faille logicielle.

• Février 2025. Google documente des QR codes piégés, déguisés en invitations à rejoindre un groupe Signal : en les scannant, la victime lie au compte un appareil de l'attaquant (The Hacker News).
• Février 2026. Les services allemands (BfV et BSI) décrivent un faux « Signal Support » qui obtient le code PIN ou le code SMS. Un appareil lié expose au moins 45 jours d'historique, et tout l'historique si la victime accepte le transfert proposé par Signal (The Hacker News).
• 9 mars 2026. Les services néerlandais attribuent formellement la campagne à l'État russe (AIVD). Le FBI et la CISA évoquent « des milliers de comptes » (avis FBI et CISA, pièce).
• 20 mars 2026. En France, l'alerte du Centre de coordination des crises cyber (C4) (pièce) vise les responsables politiques, hauts fonctionnaires et dirigeants de secteurs stratégiques. Elle décrit cinq techniques : faux support qui réclame le code de vérification, fausse invitation menant à un QR code, abus du transfert de compte, faux double de la victime ajouté aux groupes, vol de code PIN.
• Avril 2026. Selon Der Spiegel, le compte Signal de la présidente du Bundestag a été compromis Rapporté. Elle recommande depuis aux députés la messagerie allemande Wire (heise).

#Les autres fronts

• Logiciels espions d'État. Pegasus a infecté 1 400 téléphones via un simple appel WhatsApp manqué en 2019 ; un jury américain a condamné son éditeur NSO à 168 M$ en 2025, montant ramené à environ 4 M$ par la juge, qui a interdit à NSO de cibler WhatsApp (The Record, pièce). Des ministres français ont été infectés en 2021. En Grèce, où Predator a visé 87 personnes dont le chef de l'opposition, le fondateur d'Intellexa et trois coaccusés ont été condamnés à 8 ans de prison en 2026, avec sursis jusqu'à l'appel. En Serbie, Amnesty a montré que la police déverrouillait des téléphones pendant des gardes à vue pour y installer NoviSpy, un logiciel qui capturait l'écran des conversations Signal et WhatsApp (Amnesty Security Lab). En Italie, la justice a confirmé l'usage de Paragon contre un journaliste.
• La démocratisation des kits. En 2026, les kits d'attaque iOS Coruna et DarkSword sont passés des vendeurs de surveillance à des groupes criminels. L'un des modules de DarkSword vole les données iMessage, WhatsApp et Telegram. Les deux visent des versions d'iOS anciennes : la mise à jour suffit.
• Les opérateurs. Le groupe chinois Salt Typhoon a pris le contrôle des systèmes d'écoute légale d'opérateurs américains, appels et SMS de hauts responsables compris ; un avis conjoint de 23 agences l'attribue en août 2025 à des sociétés liées à l'État chinois, et le FBI a évoqué devant la presse plus de 80 pays touchés.
• Criminels et concurrents. Un cookie Slack acheté 10 $ a ouvert les portes d'EA, des milliers de canaux Slack ont été aspirés chez Disney, et des hackers à louer comme Dark Basin ont visé plus de 10 000 comptes.

#Signal

La référence : le meilleur chiffrement, un code ouvert, presque rien à livrer.

#Ce que Signal a déjà livré à la justice

Signal publie chaque réquisition qu'il a le droit de rendre publique (signal.org/bigbrother). Le cas le plus récent est parlant : un grand jury de Washington visait 37 numéros. Sept n'avaient pas de compte, vingt-quatre n'avaient aucune donnée pour la période, et pour les six autres, Signal a fourni deux dates. Rien d'autre (réponse publiée le 6 mars 2026, pièce). C'est la démonstration du principe : on ne peut livrer que ce qu'on garde.

#Ce qui fuit malgré tout

• Le routage. Au moment où un message passe, le serveur voit à qui il va, quand, et depuis quelle IP. Signal affirme ne pas le garder ; c'est invérifiable, mais cohérent avec toutes les réquisitions publiées.
• Le code d'inscription. Il passe par un prestataire SMS : en 2022, le piratage de Twilio a exposé environ 1 900 numéros Signal.
• Les appareils associés. Un ordinateur ou un second téléphone associé reçoit tous les messages futurs. C'est exactement ce que visent les QR codes piégés.

Audits. C'est le protocole le plus étudié du marché : analyse formelle sans faille majeure en 2017 (ePrint 2016/1013), échange de clés post-quantique corrigé après analyse en 2023 (Cryspen), nouveau mécanisme post-quantique en partie vérifié jusque dans le code en 2025 (Cryspen). Les failles pratiques logent dans la plomberie : en 2026, des chercheurs de l'ETH Zurich ont montré qu'un serveur malveillant pouvait injecter des messages sur Android, faille corrigée en quelques jours (ePrint 2026/484). Depuis août 2026, Signal vérifie automatiquement les clés de vos contacts (Signal).

Qui la possède. Une fondation américaine à but non lucratif, présidée par Meredith Whittaker, financée par un prêt sans intérêt de 105 M$ de Brian Acton, cofondateur de WhatsApp, et par des dons. Signal a menacé de quitter le Royaume-Uni et la Suède plutôt que d'affaiblir son chiffrement. Son point faible est financier : en 2024, la fondation a reçu 29,4 M$ et dépensé 38 M$ (déclaration fiscale, via ProPublica).

Guide pratiqueSécuriser son Signal →8 réglages, chemins exacts des menus · l'essentiel en 5 min

#WhatsApp

Le contenu est bien protégé, mais Meta voit tout le reste.

Ce que Meta livre. Aux États-Unis, la police peut placer un compte WhatsApp sous « pen register » : elle reçoit qui écrit à qui, l'IP et l'appareil, sans le contenu. Une ordonnance de 2019 en fixe la durée à 60 jours, 24 heures sur 24, et un document du FBI décrit des données mises à jour toutes les 15 minutes. Sur mandat s'ajoutent le carnet d'adresses et la liste des personnes qui ont la cible dans le leur.

Attaques. Pegasus via un appel manqué (2019), Paragon contre environ 90 journalistes et militants via des PDF piégés envoyés dans des groupes (TechCrunch), une chaîne zero-click combinée à une faille Apple en 2025 (SecurityWeek). Des chercheurs de l'université de Vienne ont aussi recensé plus de 3,5 milliards de comptes à partir des seuls numéros.

Gouvernance. Les deux fondateurs sont partis en 2017 et 2018, en désaccord sur la monétisation et les données. « J'ai vendu la vie privée de mes utilisateurs », a résumé Brian Acton, qui a laissé environ 850 M$ d'actions en partant (CNBC). En 2026, plusieurs procédures, dont une du procureur général du Texas, accusent Meta d'accès internes aux messages Allégation : rien n'est démontré, Meta conteste.

Guide pratiqueSécuriser son WhatsApp →6 réglages, chemins exacts des menus · l'essentiel en 7 min

#iMessage, FaceTime et le mode Isolement

Une cryptographie excellente, avec trois angles morts : l'annuaire de clés d'Apple, les sauvegardes de vos contacts, et les attaques zero-click.

#Ce qui ne va pas, concrètement

Ce qu'Apple livre. En France, au second semestre 2025 : 1 106 demandes visant des comptes, des données fournies dans 63 % des cas, et du contenu une seule fois. Aux États-Unis sur la même période, 7 845 demandes portaient sur du contenu (rapport de transparence d'Apple). La réquisition française directe n'obtient presque que des métadonnées ; le contenu passe par l'entraide internationale.

Résistances et limites. Apple a refusé en 2016 de créer un outil de déverrouillage pour le FBI. Face au Royaume-Uni, qui exigeait un accès aux sauvegardes chiffrées, Apple a préféré retirer ADP du pays en février 2025 ; le bras de fer continue en 2026. En Chine, iCloud est opéré par un partenaire local depuis 2018. Apple applique la loi de chaque pays, y compris sur la garde des clés.

#Le mode Isolement, pour les profils exposés

Le mode Isolement (Lockdown Mode) bride volontairement l'iPhone pour retirer aux logiciels espions leurs portes d'entrée : la plupart des pièces jointes bloquées dans Messages, liens sans aperçu, technologies web complexes désactivées, FaceTime limité aux personnes déjà appelées, accessoires refusés tant que l'iPhone est verrouillé.

• Ce qu'il bloque. BLASTPASS, comme l'ont confirmé Apple et Citizen Lab. Apple dit n'avoir connaissance d'aucun iPhone compromis par un logiciel espion mercenaire avec ce mode activé.
• Ce qu'il ne fait pas. Nettoyer un téléphone déjà infecté, ni protéger du vol de compte, des métadonnées, des sauvegardes ou des SMS.
• Ce qu'il coûte. Des sites cassés et des pièces jointes refusées. Chaque exception accordée rouvre une partie de la surface.

Si vous recevez une notification de menace d'Apple, la consigne du CERT-FR est de ne rien réinitialiser, ne rien supprimer, ne pas redémarrer, et de le contacter (Journal du Geek).

Guide pratiqueSécuriser son iPhone, iMessage et FaceTime →7 réglages, chemins exacts des menus · l'essentiel en 4 min Guide pratiqueSécuriser son téléphone Android →5 réglages, chemins exacts des menus · l'essentiel en 3 min

#Telegram : chiffré ne veut pas dire privé

Telegram chiffre toujours. La question est qui détient la clé.

Autrement dit, vos conversations par défaut, tous vos groupes et tous les canaux sont lisibles par Telegram, qui peut donc les livrer, ou se les faire voler (FAQ Telegram).

Ce que Telegram conserve. Selon sa politique de confidentialité : adresse IP, appareils et historique des noms d'utilisateur jusqu'à 12 mois ; contacts synchronisés sans limite de durée ; conversations classiques et médias jusqu'à leur suppression. Une lettre de Telegram à la justice américaine, versée le 15 octobre 2026 à un dossier fédéral, montre ce qu'il livre en pratique : un numéro, un identifiant et une IP de dernière connexion datée de onze mois plus tôt (CyberInsider, pièce).

#Depuis l'affaire Durov, Telegram coopère massivement

En août 2024, Pavel Durov est arrêté au Bourget, puis mis en examen à Paris et libéré contre une caution de 5 M€ (TechCrunch). L'enquête vise douze infractions, dont le refus de communiquer les informations nécessaires aux interceptions légales (communiqué du parquet de Paris, pièce). Un mois plus tard, Telegram change sa politique : il livre désormais IP et numéro sur décision de justice dans toute affaire pénale. L'effet est immédiat :

• T1 20244 demandes
• T3 2024210 demandes
• T4 2024673 demandes
• T1 2026630 demandes
• T2 2026515 demandes

Sur l'année 2025, Telegram a accepté 2 224 demandes françaises (pièce) visant 4 821 utilisateurs, plus que de demandes américaines. Telegram affirme de son côté n'avoir jamais divulgué « 0 octet de messages » Allégation : c'est invérifiable, et son serveur peut techniquement les lire. L'instruction contre Durov reste ouverte, sans procès.

Ailleurs. Une enquête d'iStories (2025) a documenté des liens entre un prestataire réseau de Telegram et des clients du FSB, sans preuve d'accès aux données Rapporté ; Telegram dément. Le risque le plus concret est ailleurs : voler le dossier de session de Telegram sur ordinateur donne accès au compte sans mot de passe ni code (Kaspersky).

Guide pratiqueSécuriser son Telegram →5 réglages, chemins exacts des menus · l'essentiel en 4 min

#Telegram ou WhatsApp ? Le match en détail

C'est la question qu'on me pose le plus. Les deux applications sont souvent présentées comme équivalentes : elles ne protègent pas du tout la même chose.

#Ce qui est vraiment chiffré

Telegram chiffre vos conversations ordinaires et vos groupes entre votre téléphone et ses serveurs : Telegram détient les clés, sa FAQ le dit en toutes lettres. Seuls les secrets chats sont chiffrés de bout en bout, et ils ont trois limites : ils se font à deux seulement, ils restent attachés à un seul appareil, et il faut les ouvrir à la main pour chaque contact. Les appels à deux sont chiffrés de bout en bout, comme les nouveaux appels de groupe lancés en 2025 (Telegram). Les stories, les canaux et les anciens salons vocaux ne le sont pas.

WhatsApp chiffre de bout en bout, par défaut, les messages, groupes, appels, pièces jointes, messages vocaux et statuts, sur tous vos appareils (livre blanc de sécurité). Quatre exceptions à connaître :

• Les sauvegardes iCloud et Google Drive ne sont chiffrées de bout en bout que si vous l'activez. Depuis fin 2025, une simple clé d'accès suffit (WhatsApp).
• Les comptes professionnels qui passent par l'interface de Meta ou d'un prestataire : le message est déchiffré chez l'entreprise ou son prestataire. WhatsApp l'indique dans la conversation.
• Meta AI : ce que vous lui écrivez est traité par Meta, dans des enclaves sécurisées selon Meta, ce que l'utilisateur ne peut pas vérifier.
• Les signalements : signaler un contact envoie ses derniers messages en clair à WhatsApp.

#Le protocole : fait maison contre standard

MTProto, le protocole de Telegram, a été conçu en interne. Sa première version n'atteignait pas les garanties attendues (Jakobsen et Orlandi, 2015). En 2022, une équipe de Royal Holloway et de l'ETH Zurich a trouvé quatre attaques sur la version 2.0, corrigées depuis, puis prouvé la sécurité de la version corrigée. Conclusion des chercheurs : rien de cassé en pratique, mais des garanties plus fragiles qu'un protocole standard. Surtout, MTProto protège les conversations ordinaires contre l'extérieur, pas contre Telegram.

WhatsApp utilise le protocole de Signal, le plus étudié du marché. Son point faible est ailleurs : l'appartenance aux groupes est gérée par le serveur, pas par la cryptographie. Un serveur malveillant pourrait ajouter un membre à un groupe, et seul l'avertissement affiché dans la conversation vous alerterait (Rösler et al., 2018 ; confirmé par une analyse formelle de 2025). En revanche, WhatsApp vérifie automatiquement depuis 2023 que la clé d'un contact n'a pas été substituée, grâce à un annuaire de clés auditable (Meta, audité par Cloudflare).

Le paradoxe du code ouvert. Les applications de Telegram sont open source, et l'on peut vérifier que celle du magasin correspond au code publié (compilations reproductibles). Celle de WhatsApp est fermée. Mais lire le code d'une application qui laisse vos messages lisibles sur le serveur ne protège pas vos messages : le code ouvert de Telegram rassure sur l'application, pas sur ce que Telegram peut faire de vos conversations.

#Ce que chacun garde, et livre

Les deux applications sont exposées de façon opposée.

• Telegram détient le contenu de vos conversations ordinaires et de vos groupes, jusqu'à ce que vous les supprimiez, mais déclare peu de métadonnées : IP, appareils et noms d'utilisateur jusqu'à 12 mois (politique de confidentialité). Depuis le 23 septembre 2024, il livre IP et numéro pour toute affaire pénale. En 2025, selon ses propres chiffres compilés par un chercheur, la France a obtenu des données sur 4 821 utilisateurs, et l'Allemagne sur plus de 12 000 (Te-k).
• WhatsApp ne détient pas le contenu, mais produit un graphe social très riche : qui écrit à qui, quand, depuis quelle IP, avec quel carnet d'adresses. Un document interne du FBI de 2021 décrit ces données livrées sur le flux, toutes les 15 minutes environ (Rolling Stone). Meta a reçu 374 516 demandes de données dans le monde au premier semestre 2025, tous services confondus (Meta).

Autrement dit : face à un juge, WhatsApp livre avec qui vous parlez ; Telegram livre qui vous êtes, et pourrait techniquement livrer ce que vous dites.

#Qui est derrière

Telegram est basé à Dubaï et contrôlé par Pavel Durov, financé par des obligations (1,7 Md$ en mai 2025, avec BlackRock et le fonds d'Abou Dhabi Mubadala). Une enquête de l'OCCRP et d'iStories (juin 2025) a montré que son infrastructure réseau est gérée par des sociétés liées à des prestataires du FSB russe, sans preuve d'accès aux données Allégation ; Telegram dément. L'Ukraine a interdit Telegram sur les appareils de l'État en septembre 2024.

WhatsApp appartient à Meta. Il relève du droit américain (CLOUD Act, FISA 702) et, en Europe, du régulateur irlandais, qui l'a sanctionné de 225 M€ en 2021 pour manque de transparence. La Chambre des représentants américaine l'a interdit sur ses appareils en juin 2025.

Deux risques différents : un droit étranger, mais un cadre et un régulateur connus d'un côté ; une gouvernance concentrée et opaque de l'autre.

#Les attaques réelles

• WhatsApp est la cible n°1 des logiciels espions parce qu'il est installé partout : Pegasus en 2019 par un simple appel manqué (avis de sécurité), Paragon en 2025 via des PDF piégés, une faille zero-click chaînée avec une faille Apple en août 2025 (TechCrunch), et l'aspiration de 3,5 milliards de profils à partir des seuls numéros.
• Telegram souffre surtout de failles d'usage. Le dossier de session de l'application ordinateur suffit à rouvrir votre compte sans code : c'est la cible classique des logiciels voleurs de mots de passe. En 2024, une vidéo piégée (EvilVideo) installait une application malveillante sur Android (ESET). En Iran et en Russie, des comptes d'opposants ont été pris en interceptant le SMS de connexion.

#Arnaques et criminalité

L'ONU a documenté en 2024 la migration des marchés de données volées et des services de blanchiment vers Telegram. Huione Guarantee, la plus grande place de marché illicite jamais recensée (plus de 27 Md$ de transactions), y a prospéré jusqu'à sa fermeture en mai 2025 (Elliptic). Sur WhatsApp, le risque est plus individuel : l'arnaque « coucou maman » et le vol de compte par un code SMS soutiré.

#Le verdict, profil par profil

#Cinq idées reçues

1. « Telegram est chiffré de bout en bout. » Seulement en secret chat, à deux, sur un appareil. Vos groupes sont lisibles par Telegram.
2. « WhatsApp, c'est comme Signal. » Même chiffrement, mais application fermée, métadonnées chez Meta, sauvegardes en clair par défaut et groupes gérés par le serveur.
3. « Telegram ne donne rien à la police. » Faux depuis septembre 2024 : IP et numéro, pour des dizaines de milliers de comptes par an.
4. « Open source veut dire sûr. » Le code ouvert de Telegram ne change rien au fait que son serveur détient vos conversations.
5. « Chiffré, donc WhatsApp ne sait rien de moi. » Il sait avec qui vous parlez, quand et d'où. C'est souvent tout ce qu'une enquête demande.

Guide pratiqueSécuriser son WhatsApp →6 réglages, chemins exacts des menus · l'essentiel en 7 min

#Olvid et Threema : sans numéro de téléphone

Ce sont les deux seules messageries de cette analyse qui n'utilisent ni numéro ni e-mail. Le piège du faux support qui réclame votre code SMS n'a donc aucune prise.

#Olvid, l'option française

Olvid est la seule messagerie certifiée CSPN par l'ANSSI (version Android, 2021, après une première évaluation en 2020). Une circulaire l'a imposée aux ministres en 2023, avant qu'une nouvelle circulaire ne fasse de Tchap la règle en 2025. Une première analyse académique, encore en révision (ePrint 2026/1622), confirme ses propriétés de base mais conclut qu'il n'atteint pas certains niveaux de sécurité modernes que Signal atteint. Son serveur relais a été hébergé chez AWS : il ne voit que du chiffré, mais relève du droit américain. Olvid ne publie pas de rapport de transparence.

#Threema, suisse et payante

Les demandes étrangères, françaises comprises, doivent passer par l'entraide judiciaire suisse (rapport de transparence). Les sept attaques trouvées par l'ETH Zurich en 2023 ont été corrigées, et le cabinet Cure53 l'a audité en 2020 et 2024. Point de vigilance : les fondateurs sont partis en 2024 et le fonds allemand Comitis Capital a annoncé le rachat de l'entreprise en janvier 2026 (heise). Ce n'est pas une faille, mais un facteur de confiance à suivre.

Guide pratiqueSécuriser son Olvid →5 réglages, chemins exacts des menus · l'essentiel en 3 min Guide pratiqueSécuriser son Threema →4 réglages, chemins exacts des menus · l'essentiel en 3 min

#SMS, RCS et appels téléphoniques

À éviter pour tout ce qui compte.

• Les SMS sont lisibles par l'opérateur et interceptables. Les appels classiques ne sont chiffrés que jusqu'à l'antenne.
• Les relevés d'appels et de SMS, et votre localisation par antenne, sont conservés un an en France et accessibles sur réquisition.
• Le RCS, successeur du SMS, peut être chiffré de bout en bout entre iPhone et Android depuis mai 2026 (Google). Mais c'est encore en test, et aucun des quatre opérateurs français ne l'active (Selectra) : en France, un échange entre un iPhone et un Android reste lisible par l'opérateur.
• Le SIM swap permet à un attaquant de récupérer votre numéro, donc vos codes de connexion reçus par SMS.

Après Salt Typhoon, le FBI lui-même a recommandé aux Américains de passer aux applications chiffrées.

Guide pratiqueProtéger son numéro, ses SMS et ses appels →5 réglages, chemins exacts des menus · l'essentiel en 8 min

#Au bureau : Teams, Slack, Google Chat

Changement de modèle. Dans une messagerie grand public, l'éditeur est le verrou. Au bureau, c'est l'employeur. Et dans les grandes suites américaines, le chat n'est pas chiffré de bout en bout : le service doit lire les messages pour la recherche, l'archivage, la conformité et l'IA.

Microsoft Teams. La documentation officielle est claire : les messages ne sont pas chiffrés de bout en bout. Les messages privés sont copiés dans la boîte de chaque participant et restent récupérables après suppression ; les échanges avec Copilot aussi. La même documentation prévient que les messages masqués dans l'application « ne sont pas un indicateur fiable » de ce qui est conservé (Microsoft Learn).

Interrogé sous serment par le Sénat en juin 2025 sur la possibilité que des données de clients français soient transmises aux autorités américaines, le directeur des affaires publiques de Microsoft France a répondu :

Non, je ne peux pas le garantir, mais, encore une fois, cela ne s'est encore jamais produit.

Anton Carniaux, Microsoft France, audition au Sénat, 10 juin 2025 (pièce)

Les propres rapports de Microsoft montrent pourtant qu'en 2025, à chaque semestre, le contenu d'un client entreprise européen stocké hors des États-Unis a été remis à la police américaine (rapport Microsoft, second semestre 2025).

Slack. Aucun chiffrement de bout en bout, et un historique cherchable : une cible de choix. Chez EA (2021), un cookie de session acheté 10 $ a suffi (VICE). Chez Disney (2024), 1,1 To issu de milliers de canaux a été aspiré après le vol d'identifiants via un faux outil d'IA (TheWrap). Rippling accuse un concurrent d'avoir fait chercher son nom dans Slack par un employé infiltré, environ 23 fois par jour Allégation (TechCrunch) : les journaux qui permettent l'espionnage permettent aussi de le détecter.

Google Chat et Zoom. Dans le procès Epic contre Google, le juge a sanctionné Google en 2023 pour avoir laissé ses chats internes s'effacer au bout de 24 heures alors qu'il devait les conserver ; Google a ensuite dû en produire plus de 20 000 (CNBC). Zoom, lui, a été sanctionné en 2020 par l'autorité américaine de la concurrence pour avoir vanté un chiffrement de bout en bout alors qu'il détenait les clés.

L'avertissement de la DGSI. En avril 2026, le renseignement intérieur décrit le cas d'un sous-traitant français qui utilisait un unique outil de messagerie étranger, avec archivage et résumés automatiques : ses procédés industriels se retrouvaient exposés et soumis à un droit étranger. Sa recommandation : héberger en France et préférer des solutions certifiées (DGSI, Flash ingérence n° 119, pièce).

Le faux support informatique. De 2023 à 2026, des groupes comme APT29 (renseignement russe) ou Storm-1811 ont contacté des salariés via le chat externe de Teams en se faisant passer pour le support, sans aucune faille, jusqu'au rançongiciel (Microsoft).

#Le B2B chiffré : Wire, Element et Tchap

Ces outils déplacent les clés chez les participants.

• Element auto-hébergé est l'option la plus souveraine : le serveur est chez vous, sous le droit de votre hébergeur. Il faut savoir l'opérer. C'est la base de Tchap et de la messagerie de la Bundeswehr.
• Wire est l'alternative gérée et européenne, avec une version agréée par l'agence allemande BSI pour les données sensibles de l'administration.
• Le piège de l'archivage. Toute couche qui garde une copie lisible pour la conformité recrée une porte. TeleMessage, un clone de Signal qui archivait les messages de responsables américains, a été piraté en une vingtaine de minutes en mai 2025. L'archivage est pourtant parfois obligatoire : les régulateurs américains ont infligé plus de 3 Md$ d'amendes aux banques de Wall Street dont les salariés négociaient sur WhatsApp, hors des canaux archivés (American Banker).
• La leçon Tchap. En 2026, une intrusion via un compte compromis a exposé les données de plus de 73 000 agents et rendu lisibles les salons publics, non chiffrés par conception. Les conversations privées sont restées chiffrées.

#Ce que l'employeur peut lire, en France

• Ce qui passe par l'outil professionnel est présumé professionnel et consultable. Seul ce qui est clairement identifié comme personnel est protégé (arrêt Nikon de 2001 et jurisprudence suivante).
• La surveillance doit être annoncée à l'avance et proportionnée (CEDH, Bărbulescu, 2017), après consultation du CSE dans les entreprises d'au moins 50 salariés.
• Depuis juin 2025, un salarié peut obtenir au titre du RGPD le contenu de ses e-mails professionnels (CMS Francis Lefebvre). Par analogie, cela peut viser les messages de chat.
• Un compte WhatsApp ou Signal personnel reste hors de portée de l'employeur. Il n'entre dans un procès que si un participant le produit.

Guide pratiqueSécuriser Teams et Slack en entreprise →7 réglages, chemins exacts des menus · l'essentiel en 25 min

#Ce que la loi permet d'exiger

Un éditeur ne livre que ce qu'il détient. Le droit décide qui peut demander ; la conception technique décide ce qui existe.

Les juges européens posent aussi des limites. La CJUE impose à l'État qui infiltre des téléphones de prévenir les pays où se trouvent les cibles (C-670/22, 2024), et la CEDH a jugé en 2024 qu'obliger un éditeur à affaiblir le chiffrement de bout en bout n'est pas nécessaire dans une société démocratique (Podchasov contre Russie).

#Qui possède quoi

La pression sur un éditeur passe par trois leviers : le droit de son pays, la personne de ses dirigeants, et ses fournisseurs.

#Se protéger, application par application

Les réglages détaillés, avec les chemins exacts dans les menus d'iPhone et d'Android, sont dans les guides pratiques. Si vous ne deviez faire que trois choses aujourd'hui :

1. Sur Signal et WhatsApp, verrouillez le compte. Un code PIN avec le blocage d'inscription sur Signal, la vérification en deux étapes (un mot de passe) sur WhatsApp, puis supprimez tout appareil associé ou connecté que vous ne reconnaissez pas.
2. Masquez le contenu des notifications. C'est ainsi que le FBI a relu des messages Signal effacés.
3. Mettez à jour le jour même. C'est la seule parade fiable contre les attaques zero-click.

Et trois réflexes qui ne sont dans aucun menu :

• Personne ne vous demandera jamais votre code ou votre PIN légitimement. Ni Signal, ni WhatsApp, ni votre banque.
• Ne scannez jamais un QR code reçu par message. Un QR code d'appareil lié donne votre compte.
• Pour le vraiment sensible, choisissez le bon outil : Signal, Olvid ou Threema, avec des messages éphémères.

#Ce qu'il faut retenir

• Le chiffrement tient. D'EncroChat à Pegasus, aucune affaire documentée ne repose sur une cryptographie cassée. Les attaques visent le serveur, le compte ou le téléphone.
• Choisissez selon ce qui existe, pas selon le marketing. Signal ne peut livrer que deux dates ; WhatsApp livre qui parle à qui ; Telegram livre IP et numéro par milliers et peut lire vos conversations par défaut.
• Au bureau, le contenu appartient à l'organisation. Teams, Slack et Google Chat sont lisibles par l'administrateur, l'éditeur et un juge. Pour le sensible, il faut un outil chiffré de bout en bout, idéalement hébergé sous votre contrôle.
• Les comptes sont la nouvelle cible. La campagne russe de 2026 n'a utilisé aucune faille : un faux support, un QR code, un code PIN.
• Le téléphone reste le dernier rempart. Mises à jour immédiates, notifications masquées, mode Isolement pour les profils exposés.

#Méthode, preuves et limites

Cette analyse repose sur des décisions de justice, des pièces de procès, les réponses publiées par les éditeurs, leurs rapports de transparence et leurs guides destinés aux forces de l'ordre, les alertes des agences (C4 et CERT-FR, BfV et BSI, AIVD, FBI et CISA), des travaux de Citizen Lab, d'Amnesty et de Google, des articles académiques et la presse d'investigation. Toutes les pièces sont réunies, avec leurs liens, dans les pièces du dossier.

Chaque fait a été vérifié en octobre 2026. Quand un fait n'est pas établi par un tribunal, un document officiel ou une analyse technique publiée, il porte une étiquette : Rapporté pour un fait rapporté par la presse sans confirmation officielle, Allégation pour une accusation d'une partie, non jugée.

Ce que l'on ne sait pas : ce que les outils d'extraction (Cellebrite, GrayKey) ou les logiciels espions font contre les toutes dernières versions d'iOS ; la fiabilité des chiffres de Telegram, auto-déclarés ; l'hébergement actuel du relais d'Olvid. Cette analyse ne constitue pas un avis juridique.

Une erreur, une source manquante, un cas à ajouter ? Écrivez-moi sur LinkedIn. Je corrige et je date chaque mise à jour.