Pas de logiciel espion. Pas de faille. Pas de clé cassée. Pour lire des conversations WhatsApp et Telegram, des enquêteurs allemands ont ajouté un appareil au compte de la personne visée, et les messages sont arrivés chez eux comme chez elle. Le chiffrement de bout en bout n’a pas cédé. Il a fait son travail, mais pour un destinataire de plus.

Ce qui s’est passé

Le 2 septembre, le site allemand netzpolitik.org publie une ordonnance interne du Zollkriminalamt, l’office central des enquêtes douanières. Datée du 20 février 2026, elle acte que la surveillance des messageries est devenue un outil permanent de la douane depuis le 1er août 2025, après un projet pilote lancé fin 2023.

Le texte cite WhatsApp, Telegram et Signal en exemple, s’appuie sur « l’assistance technique d’autres administrations fédérales », et ne décrit pas le mode opératoire.

Les cas concrets connus viennent de la police, et ils concernent WhatsApp et Telegram. En 2020, l’office fédéral de police criminelle a activé WhatsApp Web sur un de ses ordinateurs, en scannant le QR code avec des téléphones remis volontairement lors d’une audition de témoins.

En 2022, la police de Basse-Saxe a ouvert en douce une session supplémentaire sur le compte Telegram d’un suspect. Il l’a repérée et coupée quelques heures plus tard. Trop tard, l’historique était déjà copié.

Pour Signal, aucune surveillance effective par une autorité allemande n’est documentée à ce jour. La messagerie figure dans la liste d’exemples de l’ordonnance, c’est tout. La technique, elle, est bien documentée contre Signal ailleurs.

En février 2025, Google a décrit des groupes liés à la Russie qui piègent leurs cibles avec de faux QR codes d’invitation à un groupe. En février 2026, le renseignement intérieur allemand et l’agence fédérale de cybersécurité ont alerté sur une campagne de phishing visant Signal, probablement pilotée par un État, qui donne accès aux messages des 45 derniers jours.

La pratique est contestée. En janvier 2026, la Cour fédérale de justice a jugé que rejoindre en douce un compte Telegram relève de la surveillance à la source, un régime distinct de la simple écoute. L’ordonnance douanière, signée avant la publication de cet arrêt, s’appuie encore sur la décision de 2020. Les autorités refusent de détailler leurs méthodes et ne publient aucun chiffre. Aucune déclaration de Signal ni de Meta n’a été trouvée sur ce dossier.

Le chiffrement tient, c’est l’appareil lié qui fuit

Signal et WhatsApp chiffrent chaque message pour chacun de tes appareils. Ton iPhone, ton Mac, ton iPad, chacun détient ses propres clés et chacun est un « bout » légitime de la conversation. Ajouter un appareil, c’est ajouter un destinataire autorisé. Rien n’est forcé, le cercle s’élargit.

Imagine qu’on fasse faire un double des clés de ta boîte aux lettres. La serrure est intacte, le facteur ne remarque rien, et quelqu’un d’autre relève ton courrier tous les matins.

Aucun antivirus ne verra rien, parce qu’il n’y a rien à détecter. Juste une fonction normale, utilisée par la mauvaise personne. Même le Lockdown Mode d’Apple, excellent contre les logiciels espions, ne bloque pas un appareil que ton propre téléphone a autorisé. Il désamorce les colis piégés, il ne refoule pas les invités que tu as toi-même fait entrer. On avait déjà vu Signal tenir pendant que les notifications iPhone parlaient à sa place. Même film, autre porte.

Pour entrer, il y a trois chemins. L’accès physique, ton téléphone déverrouillé entre d’autres mains le temps de scanner un QR code, saisie, audition ou conjoint curieux. Le piège, un faux QR code d’invitation, un faux message du support, un faux concours où l’on te réclame un code. Et le code SMS intercepté, surtout efficace sur Telegram. Sur Signal et WhatsApp, il réinscrit le compte sur un autre téléphone, ce qui te déconnecte et se remarque.

Que l’intrus soit un enquêteur, un service étranger ou un proche, la parade est la même. L’appareil lié se voit dans une liste, et cette liste, tu peux la lire.

Ce que tu fais maintenant

Signal sur iPhone. Ouvre les réglages de Signal, section des appareils liés. Chaque ligne affiche un nom, la date de liaison et la dernière activité. Si tu n’as jamais lié d’ordinateur ni de tablette, la liste doit être vide.

Délie tout ce que tu ne reconnais pas, le Mac revendu et l’iPad oublié compris. L’aide de Signal le dit sans détour, en cas de doute, supprime tous les appareils. Ensuite, dans les réglages du compte, active le verrou d’enregistrement. Il exige ton PIN Signal à toute tentative de réinscrire ton numéro ailleurs.

WhatsApp sur iPhone. Onglet Paramètres, Appareils connectés. Chaque ligne affiche l’appareil et sa dernière activité. Touche chaque appareil inconnu, puis Déconnexion, un par un. Dans les réglages du compte, active la vérification en deux étapes. Si quelqu’un tente de réinscrire ton numéro, WhatsApp lui demandera ton code, un PIN à six chiffres ou désormais un mot de passe complet. Ajoute aussi une clé d’accès si l’app te la propose.

Depuis mars 2026, WhatsApp peut afficher un avertissement quand une demande de liaison paraît suspecte. Si tu n’as rien demandé, refuse. Mais l’alerte ne se déclenche que sur des signaux de comportement suspect, pas à chaque liaison.

Sur ton Mac. Signal Desktop et l’app WhatsApp sont eux-mêmes des appareils liés. Ils ne voient pas les autres, tout se gère depuis l’iPhone. Mais un Mac partagé ou sans FileVault, avec ces apps ouvertes, c’est une copie lisible de tes conversations. Google a documenté des groupes qui volaient directement les bases de Signal Desktop.

Un Mac qui ne doit plus lire tes messages, tu le délies depuis l’iPhone. Celui que tu gardes mérite FileVault activé et une session qui ne tourne pas en administrateur. Un piège côté WhatsApp, si tu te déconnectes du téléphone principal, les appareils connectés restent actifs quatorze jours. Seule la déconnexion appareil par appareil coupe net.

La règle qui couvre presque tout. Ne scanne jamais un QR code Signal et ne saisis jamais un code de liaison WhatsApp qui ne s’affiche pas sur ton propre ordinateur, à l’instant où tu le relies toi-même. Et rouvre ces deux listes au moindre signe bizarre, des messages marqués comme lus que tu n’as pas ouverts, un message du « support » dans l’app (Signal ne te contactera jamais par ce biais), un QR code reçu en guise d’invitation.

Délier coupe l’accès pour la suite. Ça ne rappelle pas ce que l’intrus a déjà copié, le suspect de Basse-Saxe l’a appris à ses dépens. D’où l’intérêt de regarder la liste avant d’en avoir besoin.

À lire, Stalkerware domestique, le malware du conjoint jaloux et Arrête de vivre en administrateur sur ton Mac.

Sources

• netzpolitik.org, Messenger-Überwachung, 2 septembre 2026, ordonnance du Zollkriminalamt et cas policiers de 2020 et 2022.
• Avis commun BfV et BSI sur le phishing par messageries, 6 février 2026.
• Bundesgerichtshof, 3 StR 495/25, 20 janvier 2026.
• Google Threat Intelligence Group, 19 février 2025, détournement des appareils liés de Signal.
• Privacy Guides, 30 septembre 2026, synthèse en anglais.
• Signal, Linked Devices, aide officielle.
• Signal, How to protect yourself on Signal, aide officielle.
• Signal, Signal PIN, aide officielle, verrou d’enregistrement.
• WhatsApp, vérifier les appareils connectés, aide officielle.
• WhatsApp, se déconnecter sur l’appareil principal, aide officielle, délai de quatorze jours.
• Meta, New Anti-Scam Tools, 11 mars 2026, avertissement de liaison suspecte.