Qui peut vraiment lire vos messages ? / Sources
Les pièces du dossier
Les 82 documents primaires sur lesquels repose l'analyse : décisions de justice, pièces de procès, alertes des agences, guides et rapports des éditeurs, audits et enquêtes forensiques. Chaque lien pointe vers la source d'origine, avec une copie archivée quand elle existe.
- Les campagnes contre les comptes
- Ce que les éditeurs livrent à la justice
- Telegram et l'affaire Durov
- Logiciels espions et attaques sur le téléphone
- Au bureau : Teams, Slack, Google Chat et le B2B chiffré
- Ce que la loi permet d'exiger
- Audits, spécifications et recherche
Les campagnes contre les comptes
Les alertes officielles sur le vol de comptes Signal et WhatsApp en 2025 et 2026 : faux support, QR codes, codes PIN.
Note d'alerte : ciblage des messageries instantanéesPDF
L'État français décrit la prise de comptes Signal et WhatsApp par faux support, QR code, transfert de compte et faux doubles dans les groupes.
Russian Intelligence Services Target Commercial Messaging Application Accounts
Le FBI et la CISA décrivent des milliers de comptes de messagerie compromis par faux support, sans casser le chiffrement.
Russian Intelligence Services Continue to Target Commercial Messaging Applications
Le vol de la clé de récupération des sauvegardes Signal permet de lire l'historique ; la campagne est attribuée au renseignement russe.
Cybersecurity Advisory : phishing via messaging apps Signal and WhatsAppPDF
Les services néerlandais attribuent à la Russie le piratage de comptes Signal et WhatsApp d'agents publics.
Gemeinsamer Sicherheitshinweis 01/2026 : Phishing über MessengerdienstePDF
Les services allemands décrivent le faux « Signal Support » et l'accès aux messages des 45 derniers jours après l'association d'un appareil.
Signals of Trouble : Russia-aligned threat actors actively targeting Signal
De faux QR codes d'invitation associaient l'appareil de l'attaquant au compte, sans casser le chiffrement.
Circulaire n° 6497/SG sur la sécurité des messageries instantanées dans la sphère publique
L'État impose Tchap à ses agents et aux cabinets ministériels en raison du risque d'interception.
Ce que les éditeurs livrent à la justice
Réquisitions publiées, ordonnances, guides destinés aux forces de l'ordre et rapports de transparence.
Government Communication : toutes les réquisitions publiées
Dans sept affaires, Signal n'a pu livrer que la date de création du compte et la date de dernière connexion.
Réponse de Signal au grand jury de Washington (37 numéros)PDF
Sur 37 numéros visés, Signal n'a fourni que deux dates pour les six comptes actifs, et rien d'autre.
FBI pulls deleted Signal texts from iPhone notifications
Dans l'affaire Prairieland, le FBI a extrait des messages Signal de la base de notifications d'iOS après la suppression de l'application.
Ordonnance de pen register sur un compte WhatsApp (DEA)PDF
Un compte WhatsApp a été placé sous surveillance 60 jours, 24 heures sur 24 : correspondants, IP et appareils, sans le contenu.
Pen register sur un compte WhatsApp : mémorandum de la juge HowellPDF
Un juge fédéral a estimé que le seul numéro d'un compte WhatsApp suffit pour placer ses métadonnées sous surveillance.
Information for law enforcement authorities
Le barème de Meta : assignation pour l'abonné, ordonnance pour les en-têtes et les IP, mandat pour le contenu lorsqu'il est accessible.
Legal Process Guidelines : Government & Law Enforcement within the United StatesPDF
Apple détaille ce qu'elle peut livrer d'iCloud, dont les sauvegardes, et ce qui devient inaccessible avec la Protection avancée des données.
Transparency Report : Government and Private Party Requests, second semestre 2025PDF
Les demandes reçues pays par pays, France comprise, et la part à laquelle Apple a répondu.
Seules les autorités suisses sont acceptées, et Threema ne peut livrer que des dates, une empreinte du numéro et un jeton de notification.
162 demandes recevables en 2025 ; le contenu, chiffré de bout en bout, n'est pas livrable.
Global requests for user information : jeu de données complet
France, second semestre 2025 : 9 803 demandes, avec des données livrées dans 81 % des cas.
Telegram et l'affaire Durov
Les pièces qui montrent comment Telegram est passé du refus à la coopération.
Certification de Telegram, Exhibit B, US v. Al-MuhtadiPDF
Telegram livre à la justice américaine le numéro, l'identifiant et une IP de connexion datée de onze mois.
Communiqué sur la mise en examen de Pavel DurovPDF
Le dirigeant de Telegram est mis en examen, notamment pour refus de communiquer les informations nécessaires aux interceptions légales.
Politique de confidentialité, § 8.3 Law Enforcement Authorities
Sur décision de justice, Telegram peut livrer l'adresse IP et le numéro de téléphone d'un suspect.
telegram-transparency : les chiffres du bot de transparence
Les demandes françaises acceptées par Telegram passent de 4 à 210 par trimestre juste après l'arrestation de Durov.
Telegram's compliance with data requests skyrockets
Aux États-Unis, Telegram passe de 14 demandes satisfaites en neuf mois à 900 en un trimestre.
End-to-End Encryption, Secret Chats
Le chiffrement de bout en bout de Telegram est limité aux secret chats, à deux, activés à la main.
Telegram, the FSB, and the Man in the Middle
Selon l'enquête, un prestataire réseau de Telegram a des liens avec des clients du FSB ; Telegram dément.
Logiciels espions et attaques sur le téléphone
Enquêtes forensiques, décisions contre NSO et kits d'attaque iOS.
Jury Verdict, WhatsApp v. NSO GroupPDF
Un jury condamne NSO à environ 168 M$ pour l'attaque de 1 400 téléphones via WhatsApp.
Ordonnance : injonction permanente et réduction des dommages, WhatsApp v. NSOPDF
La juge interdit à NSO de cibler WhatsApp et ramène les dommages punitifs à environ 4 M$.
Order Denying Motion for Contempt, WhatsApp v. NSOPDF
La juge refuse de déclarer NSO en outrage : la violation de l'injonction n'est pas suffisamment établie.
FORCEDENTRY : NSO Group iMessage Zero-Click Exploit Captured in the Wild
Pegasus s'installait sans aucun clic via iMessage, grâce à un faux GIF.
BLASTPASS : NSO Group iPhone Zero-Click, Zero-Day Exploit Captured in the Wild
Une chaîne zero-click via une pièce Wallet piégée était bloquée par le mode Isolement.
Virtue or Vice ? A First Look at Paragon's Proliferating Spyware Operations
Le logiciel espion Graphite de Paragon a visé des utilisateurs de WhatsApp, en Italie et ailleurs.
Graphite Caught : First Forensic Confirmation of Paragon's iOS Spyware
Première preuve forensique de Graphite sur iPhone, contre des journalistes européens.
Forensic Methodology Report : How to catch NSO Group's Pegasus
La méthode publique pour détecter Pegasus sur un téléphone, avec l'outil libre MVT.
A Digital Prison : surveillance and the suppression of civil society in Serbia
Pendant des gardes à vue, la police serbe a déverrouillé des téléphones puis installé le logiciel espion NoviSpy.
Coruna : The Mysterious Journey of a Powerful iOS Exploit Kit
Un kit de 23 exploits iOS est passé d'un vendeur de surveillance à des groupes criminels ; la mise à jour suffit à s'en protéger.
The Proliferation of DarkSword : iOS Exploit Chain Adopted by Multiple Threat Actors
Une même chaîne d'attaque iOS a été réutilisée par plusieurs acteurs, contre des versions anciennes d'iOS.
La liste officielle de ce que le mode Isolement désactive pour réduire la surface d'attaque.
Countering Chinese State-Sponsored Actors Compromise of Networks Worldwide (AA25-239A)
23 agences de 13 pays attribuent l'intrusion dans les réseaux télécoms (Salt Typhoon) à des sociétés liées à l'État chinois.
Au bureau : Teams, Slack, Google Chat et le B2B chiffré
Documentation des éditeurs, procès et alertes sur les outils de travail.
Les chats Teams sont chiffrés en transit et au repos avec des clés de Microsoft, sans chiffrement de bout en bout.
Manage end-to-end encryption for Teams meetings and one-to-one calls
Le chiffrement de bout en bout de Teams ne couvre que les appels à deux et certaines réunions, et doit être activé.
Audition de Microsoft France, commission d'enquête sur la commande publique
Sous serment, Microsoft France ne peut pas garantir que des données de Français ne seront pas transmises sur injonction américaine.
Enterprise Disclosures to Law Enforcement : July to December 2025PDF
Microsoft reconnaît avoir remis à la police américaine du contenu d'un client entreprise stocké hors des États-Unis.
Flash ingérence n° 119 : applications et solutions étrangères dans l'environnement professionnelPDF
La DGSI décrit une entreprise exposée par un outil de messagerie étranger qui archivait les échanges et en générait des résumés.
Slack exige un mandat pour livrer le contenu, et notifie le client sauf interdiction.
Slack Enterprise Key Management
Avec EKM, le client contrôle ses clés, mais ce n'est pas du chiffrement de bout en bout : Slack déchiffre pour fonctionner.
Complaint, People Center (Rippling) v. DeelPDF
Selon la plainte (des allégations), un employé infiltré a fouillé le Slack interne, et un canal piège l'a démasqué.
Findings of Fact and Conclusions of Law re Chat Preservation, Epic v. GooglePDF
Google a laissé ses chats internes s'effacer après 24 heures malgré son obligation de les conserver ; le juge l'a jugé intentionnel.
Le chiffrement côté client de Google Workspace est une option des éditions Enterprise, avec des clés détenues par l'organisation.
How the knock-off Signal app used by Trump officials got hacked in 20 minutes
Le clone d'archivage TeleMessage, qui gardait des copies lisibles, a été piraté en une vingtaine de minutes.
Wire décrit ses protocoles Proteus et MLS et publie son code critique sous licence libre.
L'administrateur d'un serveur Matrix ne peut pas voir les données chiffrées de bout en bout.
Ce que la loi permet d'exiger
Décisions de justice, textes européens et français, lois étrangères.
Un fournisseur américain doit livrer les données qu'il possède, garde ou contrôle, où qu'elles soient stockées.
Annual Statistical Transparency Report, année 2025PDF
349 823 personnes ciblées en 2025 au titre de la section 702, contre 291 824 en 2024.
Règlement (UE) 2023/1543 relatif aux injonctions européennes de production (e-Evidence)
Une autorité judiciaire d'un autre État membre peut exiger directement des données d'un fournisseur sous 10 jours.
Règlement (UE) 2026/1881, dérogation ePrivacy
L'UE prolonge jusqu'en avril 2028 l'analyse volontaire des messages qui ne sont pas chiffrés de bout en bout.
Arrêt C-670/22, M.N. (EncroChat)
L'infiltration de téléphones situés dans un autre État membre doit lui être notifiée, et la défense doit pouvoir contester la preuve.
Dismantling encrypted criminal EncroChat communications
Plus de 115 millions de conversations EncroChat interceptées en contrôlant le service, et 6 558 arrestations.
Le recours aux moyens de l'État couverts par le secret de la défense pour capter des données, comme dans EncroChat, est conforme à la Constitution.
Cour de cassation, Assemblée plénière, n° 21-83.146
Refuser de donner le code de déverrouillage d'un téléphone chiffré peut constituer un délit.
Cour de cassation, chambre sociale, n° 23-19.022
Un salarié peut obtenir, au titre du RGPD, l'accès aux courriels de sa messagerie professionnelle.
Bărbulescu c. Roumanie, Grande Chambre, req. n° 61496/08
Un employeur ne peut surveiller la messagerie d'un salarié sans l'avoir informé au préalable, et de façon proportionnée.
Podchasov c. Russie, req. n° 33696/19
Obliger une messagerie à conserver toutes les communications et à les déchiffrer pour les services viole le droit à la vie privée.
Décret n° 2026-920 portant injonction de conservation des données de connexion
Les opérateurs et hébergeurs doivent conserver un an les données de trafic et de localisation.
Apple Inc v Secretary of State for the Home Department, [2025] UKIPTrib 1
Le gouvernement britannique a émis une injonction technique contre Apple, et le tribunal a refusé que l'affaire reste secrète.
Audits, spécifications et recherche
Les preuves formelles, audits et spécifications sur lesquels reposent les niveaux de chiffrement.
The PQXDH Key Agreement Protocol
La spécification publique de l'échange de clés de Signal résistant aux futurs ordinateurs quantiques.
Technology preview : Sealed sender for Signal
Le mécanisme qui masque l'expéditeur au serveur de Signal.
A Formal Security Analysis of the Signal Messaging Protocol
La première preuve formelle du protocole Signal.
Message Injection Attacks Against Signal
Deux attaques pratiques contre l'intégrité dans Signal, l'une sur les noms d'utilisateur, l'autre sur Sealed Sender.
WhatsApp Encryption Overview, technical white paper, version 9PDF
La description officielle du chiffrement des messages, des appels, des groupes et des sauvegardes de WhatsApp.
Hey there ! You are using WhatsApp : Enumerating Three Billion Accounts
Plus de 3,5 milliards de comptes WhatsApp énumérés à partir des seuls numéros, sans limitation effective.
iMessage with PQ3 : the new state of the art in quantum-secure messaging
Le protocole post-quantique d'iMessage, avec renouvellement régulier des clés.
A Formal Analysis of Apple's iMessage PQ3 Protocol
Une preuve formelle de PQ3 indépendante d'Apple.
Advancing iMessage security : iMessage Contact Key Verification
La validation des clés de contact permet de détecter un appareil ajouté à l'insu de l'utilisateur.
Advanced Data Protection for iCloud
Ce que la Protection avancée des données chiffre de bout en bout, sauvegarde iCloud comprise.
Rapport de certification ANSSI-CSPN-2021/12, Olvid 0.9.2 pour AndroidPDF
Olvid pour Android a obtenu la certification CSPN de l'ANSSI, qui précise qu'elle ne vaut pas recommandation.
Formal Security Analysis of the Olvid Messenger
Les propriétés de base d'Olvid sont prouvées, mais pas certains niveaux de sécurité modernes atteints par Signal.
Specifications of Olvid : Application and ServerPDF
La spécification cryptographique complète d'Olvid, publiée par l'éditeur.
Three Lessons from Threema : Analysis of a Secure Messenger
Sept attaques contre l'ancien protocole de Threema, corrigées avec le protocole Ibex.
La preuve de sécurité du protocole Ibex de Threema.
Four Attacks and a Proof for Telegram
Quatre attaques contre le protocole MTProto de Telegram, puis une preuve après correctifs.
Practically-exploitable Cryptographic Vulnerabilities in Matrix
Un serveur malveillant pouvait casser la confidentialité et l'authenticité dans Element, depuis corrigé.
Security Review, Phase 1 for WirePDF
L'audit indépendant du protocole et du code de Wire, le plus récent publié.