Comment des espions russes ont pu "cracker" Telegram

Un rapport de 35 pages concernant Donald Trump comporte une série de "révélations" fracassantes - et non-vérifiées - selon lesquelles le gouvernement russe serait notamment en mesure de faire chanter le futur président américain grâce à des informations compromettantes, comme par exemple une vidéo de Trump regardant des prostituées uriner sur un lit dans un hôtel de luxe à Moscou.

Ce rapport, qui a été publié par BuzzFeed News mardi soir, affirme également que les services secrets russes, le FSB (successeur du KGB), sont parvenus à "cracker" Telegram, une application de messagerie qui se veut sûre, confidentielle et cryptée.

"Selon notre source, le FSB est désormais capable de hacker ce logiciel, dont l'utilisation n'est par conséquent plus sûre", écrit l'auteur du rapport, qui se réfère à des déclarations provenant supposément d'un "agent du FSB spécialisé dans la cybersécurité."

Telegram a été fondé par l'entrepreneur russe Pavel Durov, devenant rapidement une alternative très populaire à d'autres applications moins sécurisées telles que WhatsApp ou Signal, en particulier dans des pays comme la Russie ou l'Iran. L'application se présente comme étant cryptée et donc très sûre, mais le chiffrement de bout en bout n'est pas activé par défaut (les utilisateurs doivent ouvrir un "Chat Secret" pour l'activer) et les chercheurs en sécurité et experts en cryptographie ont à plusieurs reprises mis en cause la sûreté réelle de l'application. Surtout que le gouvernement iranien est supposément parvenu à compromettre des dizaines de comptes Telegram l'année dernière.

Le rapport, rédigé par quelqu'un qui se présente comme un ex-espion britannique, ne fournit aucun détail concernant la manière dont le FSB pourrait avoir cracké l'application - les sept lignes reproduites ci-dessus constituant l'unique moment où Telegram est mentionné. On ignore donc ce qu'il entend exactement par "cracké".

Durov met en cause la véracité du rapport dans un message qu'il nous a adressé.

"Personnellement, je pense que le rapport est faux, m'a-t-il affirmé par Telegram. Mais si ce n'est pas le cas, il fait probablement référence à l'interception d'un SMS par le FSB en avril 2016."

Dans ce cas précis, l'opérateur mobile russe MTS avait, dit-on, aidé le gouvernement de Vladimir Poutine à s'introduire dans les comptes Telegram d'au moins deux activistes, comme expliqué dans cette analyse détaillée des faits. Les pirates ne s'étaient pas attaqués à Telegram, mais s'étaient emparés des comptes des victimes en coupant leur réseau téléphonique, en s'emparant de leur numéro, et en se connectant à leurs comptes en se faisant passer pour eux.

Cela fonctionne car, par défaut, Telegram (comme bien d'autres applications de messagerie) n'exige qu'un simple numéro de téléphone pour identifier l'utilisateur. Cela signifie que quiconque parvient à connaître votre numéro de téléphone peut se faire passer pour vous et se connecter à votre compte Telegram.

"Pas besoin de faire de la crypto-analyse très poussée", nous a assuré Frederic Jacobs, un chercheur en cybersécurité qui a étudié ces attaques.

Pour éviter ce genre d'attaque, qui a visiblement eu lieu aussi en Iran, Durov et Telegram recommandent d'activer l'authentification en deux étapes. J'ai demandé à Durov s'ils avaient observé d'autres attaques similaires à celle d'avril en Russie, et il m'a répondu qu'il y en avait peut-être eu une autre, "mais depuis tout le monde a activé la validation en deux étapes."

Si vous ne l'activez pas, le FSB (ou les services de votre propre gouvernement) peuvent facilement s'introduire dans votre compte, et rien n'a changé sur l'appli Telegram depuis que ces attaques ont été rapportées. Sachant que les cryptographes trouvent aujourd'hui encore des failles dans la sécurité de Telegram, le FSB a peut-être trouvé d'autres moyens de hacker certains comptes, ou d'intercepter des messages.

L'ambassade russe à Washington n'a pas répondu à nos demandes de commentaires.